Ivanti, patch insufficiente: zero-day CVE-2026-104935 lascia…

Ivanti ha rilasciato il 13 ottobre 2026 una patch parziale per la vulnerabilità zero-day CVE-2026-104935 in Connect Secure, già sfruttata dal threat actor UTA0576

{"main_topic":"cybersecurity","topics":["cybersecurity","zero-day","cve","exploit","patch"]}

Ivanti ha rilasciato il 13 ottobre 2026 una patch parziale per la vulnerabilità zero-day CVE-2026-104935 in Connect Secure, già sfruttata dal threat actor UTA0576 dal 3 ottobre. La correzione copre due delle tre falle concatenate: la terza, una privilege escalation, resta senza fix e lascia le appliance VPN esposte a compromissione persistente.

Punti chiave

CVE-2026-104935 ha punteggio CVSS 8.6 (HIGH) ed è un authentication bypass (CWE-290) che permette esecuzione di comandi arbitrari non autenticati su Ivanti Connect Secure
Il threat actor UTA0576, tracciato da Volexity, ha concatenato tre zero-day per ottenere accesso root su dispositivi completamente aggiornati, senza deployare malware o web shell
Due vulnerabilità sono state corrette il 13 ottobre 2026; la patch per la terza falla (privilege escalation) arriverà nelle prossime settimane, secondo la fonte citata
L'Integrity Checker Tool di Ivanti non rileva la compromissione perché l'exploit modifica codice esclusivamente in memoria, lasciando il filesystem intatto

Una catena di tre zero-day contro appliance fully patched

La campagna di UTA0576 dimostra un'architettura offensiva costruita per aggirare le difese perimetrali standard. Secondo l'analisi di Volexity citata da SecurityOnline, l'attacco inizia con un authentication bypass (CWE-290) in uno script di login esposto pubblicamente: l'attore manipola un header di routing per aggirare l'autenticazione. Da questa posizione, sfrutta una race condition in un handler di upload file che permette scrittura su disco prima della validazione del contenuto ZIP, ottenendo esecuzione di codice Perl. La terza fase è una privilege escalation tramite alterazione di una configurazione condivisa in memoria, che inganna un servizio di manutenzione con privilegi root.

L'intera catena opera in RAM. Questa scelta architetturale non è casuale: eliminando ogni scrittura persistente, UTA0576 rende inefficace qualsiasi strumento di integrità basato su verifica del filesystem, incluso l'Integrity Checker Tool nativo di Ivanti.

"Notably, UTA0576 deployed no malware or web shell. Instead, the threat actor re-exploited the device for every command it ran and tampered with logs to cover its tracks, evading Ivanti's Integrity Checker Tool" — Volexity (via BleepingComputer)

La persistenza è una scelta, non una necessità

Invece di installare backdoor o web shell, UTA0576 ha adottato una tecnica di re-exploitation: ogni comando richiedeva il re-sfruttamento della catena di vulnerabilità. Questo approccio riduce la superficie di rilevamento e complica l'analisi forense post-incidente, poiché non esistono artefatti persistenti da estrarre.

Secondo Volexity, citata da SecurityOnline, "the tool does not detect any modifications" perché "the exploit patches code only in memory". Il dossier non specifica se Ivanti stia sviluppando un aggiornamento dell'Integrity Checker Tool in grado di monitorare anche lo spazio di indirizzamento in memoria.

Post-compromissione, UTA0576 ha cercato password LAPS e chiavi BitLocker in Active Directory, ha deployato tool personalizzati per attacchi Kerberos e condotto password spraying. Il movente finale resta non determinato: Volexity dichiara esplicitamente che "the actor's final goal remains unclear".

Timeline e dimensione dell'esposizione

L'exploitation iniziata il 3 ottobre 2026 precede di dieci giorni il rilascio della patch parziale. BleepingComputer riporta che Defused ha confermato segni di exploitation già dal 1 ottobre 2026, indicando una possibile fase di ricognizione o test preliminare. Al momento della divulgazione, Volexity ha confermato una sola vittima.

La superficie di attacco è significativa. Shadowserver traccia oltre 5.500 istanze di Ivanti Connect Secure esposte su Internet. Ivanti dichiara oltre 40.000 clienti worldwide. Le versioni affette includono 22.8R2.4 e precedenti, 25.1.2.2 e precedenti, 25.1.1.1 e precedenti. Le versioni corrette rilasciate il 13 ottobre 2026 sono 25.1.1.2, 25.1.3.0, 25.1.3.1 e 22.8R2.5. La fonte 3 (CyberSecurityNews) precisa che le versioni del ramo 22.7 e precedenti non contengono questa vulnerabilità.

CISA ha segnalato 36 vulnerabilità Ivanti come attivamente sfruttate dal novembre 2021; 12 di queste sono state anche abusate da ransomware gangs, secondo BleepingComputer.

Intelligenza artificiale come acceleratore offensivo

Volexity attribuisce con "medium confidence" che UTA0576 abbia utilizzato large language models per costruire exploit e tool personalizzati. Questa valutazione non è una conferma: il dossier non fornisce indicatori tecnici che provino l'uso di LLM in modo indipendente dalla valutazione del vendor. La formulazione cautelare è pertanto necessaria su questo specifico claim.

Se confermato, l'elemento rappresenterebbe un'evoluzione nella democrazia dell'offensiva: la capacità di generare exploit funzionanti per catene zero-day complesse ridurrebbe il divario tra actor sponsorizzati e gruppi di minore sofisticazione. Allo stato attuale, tuttavia, resta una valutazione di confidence intermedia di un singolo vendor.

Cosa fare adesso

Aggiornare immediatamente alle versioni corrette (25.1.1.2, 25.1.3.0, 25.1.3.1, 22.8R2.5) per chiudere le due falle patchate, riconoscendo che la terza vulnerabilità rimane aperta
Verificare la presenza di accessi anomali al servizio di login Ivanti Connect Secure tra il 1 e il 13 ottobre 2026, periodo di exploitation attiva senza disponibilità di patch
Isolare l'appliance VPN dalla rete interna e limitare la visibilità su Active Directory, dato che UTA0576 ha bersagliato password LAPS e chiavi BitLocker post-compromissione
Monitorare il rilascio della patch per la privilege escalation, atteso nelle prossime settimane secondo SecurityOnline, senza assumere protezione completa fino a quel momento

L'illusione della patch come stato finale

L'incidente CVE-2026-104935 sfonda un presupposto consolidato nella gestione del rischio perimetrale: che la patch rappresenti uno stato di protezione sufficiente. UTA0576 ha dimostrato che appliance completamente aggiornate possono cadere a catene di zero-day, e che gli strumenti di integrità vendor si dimostrano inadeguati quando l'attacco vive esclusivamente in memoria.

La combinazione di re-exploitation, evasione del filesystem e apertura deliberata della terza falla suggerisce un actor che non cerca solo accesso, ma resilienza operativa contro le contromisure standard. Per le organizzazioni che mantengono Ivanti Connect Secure come singolo punto di ingresso perimetrale, il messaggio è che la sicurezza non può più delegarsi alla sola gestione delle vulnerabilità note.

Ivanti ha dichiarato: "At the time of disclosure, Ivanti is aware of limited exploitation in the wild. We are working directly with those organizations while making information, updates and remediation available to the broader customer community. If you are running one of the impacted versions, Ivanti recommends you act immediately."

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter