Ivanti Connect Secure CVE-2026-104935: zero-day in catena fino a root per rubare credenziali di dominio, invisibile all'Integrity Checker

Ivanti ha pubblicato il 13 ottobre 2026 l'advisory per la CVE-2026-104935 in Connect Secure, il gateway VPN SSL noto in passato come Pulse Connect Secure, dichiarandosi a conoscenza di uno sfruttamento attivo limitato, già in corso al momento della divulgazione. È un authentication bypass by spoofing con CVSS v3.1 pari a 8.6: un attaccante remoto non autenticato può eseguire comandi sull'appliance concatenando due difetti, ricostruiti da Volexity. Il primo è nello script di login welcome.cgi, dove il controllo di accesso guarda l'URL pubblico della richiesta mentre a scegliere lo script CGI che la gestisce davvero è l'header HTTP X-DSCGI-PATH, così una richiesta senza credenziali raggiunge funzioni protette. Il secondo è in wu.cgi, che salva il file caricato in una cartella temporanea prima di controllare che sia un archivio ZIP: in quella breve finestra una raffica di richieste parallele che puntano al file attraverso lo stesso header fa eseguire un payload Perl prima che venga cancellato, una classica race condition. Il risultato è l'esecuzione di comandi con i privilegi del server CGI. Nell'attacco osservato un terzo anello, una privilege escalation nella fiducia che il processo dsinvoked ripone nei dati di configurazione DSCache, ha portato gli attaccanti fino a root.

A scoprire gli attacchi è stata Volexity, con il monitoraggio di rete di un cliente: l'appliance colpita era una 22.8R2.4 con tutti gli aggiornamenti allora disponibili, l'attività risale al 3 ottobre e l'indagine è partita il 5, mentre i primi segnali di sfruttamento, secondo quanto riportato da BleepingComputer, risalgono al 1° ottobre. Volexity attribuisce l'operazione a UTA0576, un attore mai documentato prima e senza legami statali noti, al quale assegna con bassa confidenza una motivazione criminale e con media confidenza l'uso di modelli linguistici (LLM) per scrivere l'exploit. L'attaccante non ha installato né backdoor né web shell: rieseguiva l'intera catena per ogni comando e leggeva l'output nelle risposte HTTPS, modificava il codice solo in memoria, ripristinava la configurazione e ripuliva in modo selettivo il log di debug e quello di audit. Per questo l'Integrity Checker Tool di Ivanti non ha rilevato nulla, e la CISA avverte che lo strumento può non accorgersi della compromissione. Una volta dentro, UTA0576 ha estratto le credenziali di dominio che l'appliance usa per LDAP, ha cercato in Active Directory le password LAPS e le chiavi di ripristino BitLocker, ha condotto Kerberoasting e password spraying e ha intercettato il traffico LDAP con una copia di tcpdump rinominata dsstatmond; secondo Volexity, con alta confidenza, stava preparando il movimento laterale, e l'operazione è stata interrotta. La CISA ha inserito la CVE nel catalogo KEV il 13 ottobre, con termine di remediation fissato al 16 ottobre.

Connect Secure è usato anche da enti e aziende italiane per l'accesso remoto in VPN e, secondo i dati riportati da BleepingComputer, al 14 ottobre gli host esposti su internet nel mondo con l'impronta del prodotto erano oltre 5.600, senza che si sappia quanti fossero già aggiornati. Non è il primo zero-day sul prodotto, già colpito nel 2024 e nel 2025: in un nostro precedente alert dell'11 aprile 2025 avevamo scritto della CVE-2025-22457, sfruttata da un gruppo di spionaggio ritenuto legato alla Cina. A doversene preoccupare è chi espone su internet un gateway Connect Secure, fisico, virtuale o in cloud, soprattutto se è ancora sul ramo 22.8 o sui rami 25.1.1 e 25.1.2 e se ha configurato sull'appliance un account di servizio di dominio per l'autenticazione LDAP: quell'account, insieme alle password LAPS e alle chiavi BitLocker custodite in Active Directory, fa della VPN un trampolino verso l'intero dominio. Chi ha già aggiornato deve comunque verificare di non essere stato colpito prima, perché l'attacco non lascia tracce che l'Integrity Checker sappia riconoscere. Il terzo anello della catena ha intanto ricevuto un identificativo proprio, la CVE-2026-111357 (CVSS 7.0), che il Cyber Centre canadese segnala come sfruttata e la cui correzione Ivanti ha annunciato per le prossime settimane. Le credenziali rubate, poi, restano utili a lungo: su Ivanti EPMM, come raccontato in un nostro precedente alert dell'8 maggio, account amministrativi sottratti a gennaio sono stati riusati a maggio per sfruttare una nuova falla.

• Versioni affette: Ivanti Connect Secure 25.1.1.1 e precedenti, 25.1.2.2 e precedenti, 22.8R2.4 e precedenti (CVE-2026-104935); il ramo 22.7 non è interessato. Per la CVE-2026-111357 l'unica build finora indicata come affetta è la 22.8R2.4.
• Azione raccomandata: aggiornare subito alla build correttiva del proprio ramo, cioè 25.1.1.2 per il ramo 25.1.1, 25.1.3.0 o 25.1.3.1 per chi è sul ramo 25.1.2, 22.8R2.5 per il ramo 22.8, verificando nell'advisory Ivanti quella prevista per la propria piattaforma hardware, e pianificare il passaggio al ramo 25.x prima della fine del supporto del 22.x, fissata al 31 gennaio 2027; non affidarsi al solo Integrity Checker e condurre verifiche forensi di rete e di memoria partendo almeno dalla fine di settembre, cercando un volume anomalo di richieste a welcome.cgi in cui l'URL non coincide con l'header X-DSCGI-PATH, file inattesi nelle cartelle temporanee, catture di rete in cartelle nascoste e buchi nei log di debug e di audit, e confrontando gli indicatori di compromissione pubblicati da Volexity; in caso di sospetta compromissione seguire la procedura di ripristino indicata da Ivanti e dalla CISA (backup della configurazione, ripristino di fabbrica con aggiornamento o ricostruzione delle istanze virtuali e cloud, ripristino della configurazione, reset di tutte le password di dominio, amministrative e locali, revoca e riemissione dei certificati, rinnovo delle chiavi API e delle credenziali del license server); in ogni caso ruotare l'account di servizio di dominio configurato sull'appliance e cercare in Active Directory letture anomale degli attributi LAPS e BitLocker, Kerberoasting e password spraying partiti dall'indirizzo interno della VPN; seguire l'advisory Ivanti per la correzione della CVE-2026-111357.

Fonti: ACN, Ivanti, Volexity, CISA, Cyber Centre, BleepingComputer