Ivanti Connect Secure CVE-2026-111357 e 118527: patch per gli altri due zero-day della catena, chi ha aggiornato a ottobre deve rifarlo

La CVE-2026-111357, la privilege escalation che nella catena di attacco contro Ivanti Connect Secure portava gli attaccanti fino a root, ha ora una correzione: Ivanti l'ha rilasciata il 29 ottobre 2026 insieme a quella per una seconda falla sfruttata, la CVE-2026-118527, aggiungendo entrambe all'advisory del 13 ottobre sulla CVE-2026-104935. La CVE-2026-111357 è una missing authentication for critical function con CVSS v3.1 pari a 8.8, che consente a un attaccante locale già autenticato sull'appliance di elevare i propri privilegi; il punteggio definitivo del vendor è più alto della stima di 7.0 circolata a metà ottobre. La CVE-2026-118527, con CVSS pari a 4.3, nasce dall'uso di nomi di file prevedibili e permette a un attaccante autenticato di caricare da remoto file con contenuto a sua scelta in una posizione del disco nota in anticipo. Ivanti conferma che le tre vulnerabilità sono state concatenate negli attacchi, che al momento della divulgazione avevano colpito un numero limitato di clienti, e scrive che le nuove versioni chiudono tutte le falle sfruttate. ACN ha aggiornato il proprio alert il 1° novembre con i dettagli delle due CVE, entrambe con sfruttamento rilevato.

Il dato che conta per chi gestisce il prodotto è che le build correttive di metà ottobre non bastano più. La 25.1.1.2 e la 22.8R2.5, che chiudevano la CVE-2026-104935 sui rispettivi rami, sono ancora vulnerabili alle due nuove CVE, corrette nella 25.1.1.3 e nella 22.8R2.6: chi le aveva installate dopo il primo advisory deve aggiornare di nuovo, come sottolinea anche SecurityWeek. Non sono affette la 25.1.3.0 e le successive, sulla nuova piattaforma hardware o sui nuovi modelli virtuali, e nemmeno il ramo 22.7. Ivanti spiega di aver pubblicato a ottobre la sola correzione della CVE-2026-104935 perché era già in collaudo e chiudeva la via d'ingresso principale, senza attendere quella per l'escalation, scoperta durante l'indagine; parte della vulnerabilità era stata individuata dal programma di sicurezza interno e corretta già nella 25.1.3.0 di luglio, e gli attacchi sono arrivati mentre il vendor ne riportava la correzione sugli altri rami supportati. La CISA ha inserito le due CVE nel catalogo KEV il 30 ottobre, con scadenza di remediation al 2 novembre 2026 per la CVE-2026-111357 e al 13 novembre per la CVE-2026-118527, e per la prima richiede alle agenzie federali anche il triage forense previsto dalla direttiva BOD 26-04, cioè la ricerca di una compromissione già avvenuta oltre all'aggiornamento.

Il quadro degli attacchi resta quello ricostruito da Volexity, che ha aggiornato il proprio rapporto del 13 ottobre segnalando la patch: l'attore UTA0576, mai documentato prima e ritenuto con bassa confidenza di matrice criminale, ha concatenato le tre falle per eseguire codice come root senza credenziali su un'appliance con tutti gli aggiornamenti allora disponibili, con la prima attività osservata il 3 ottobre. Una volta dentro ha rubato le credenziali di dominio usate dall'appliance, interrogato Active Directory alla ricerca di password LAPS e chiavi di ripristino BitLocker e ripulito i log, senza installare backdoor: per questo, come avevamo scritto in un nostro precedente alert del 14 ottobre sulla CVE-2026-104935 di Ivanti Connect Secure, l'Integrity Checker Tool di Ivanti può non accorgersi della compromissione. Quella notizia segnalava il terzo anello della catena ancora senza correzione: la correzione del 29 ottobre lo chiude. A doversene preoccupare è chiunque esponga su internet un gateway Connect Secure, fisico, virtuale o in cloud, sui rami 22.8 e 25.1.1, e in particolare chi ha aggiornato a ottobre ritenendo chiusa la questione; restano da verificare anche le appliance sul ramo 25.1.2, esposte alla CVE-2026-104935, per le quali la strada indicata dal vendor è il passaggio alla 25.1.3.0 o successiva.

• Versioni affette: Ivanti Connect Secure 25.1.1.2 e precedenti e 22.8R2.5 e precedenti (CVE-2026-111357 e CVE-2026-118527); 25.1.1.1 e precedenti, 25.1.2.2 e precedenti e 22.8R2.4 e precedenti per la CVE-2026-104935. Non sono affetti il ramo 22.7 e la 25.1.3.0 e successive.
• Azione raccomandata: aggiornare alla 25.1.1.3, che il vendor raccomanda anche a chi è sul ramo 22.8, oppure, se il passaggio al 25.1 non è subito possibile, alla 22.8R2.6, che chiude tutte le vulnerabilità della catena; per il ramo 25.1.2 passare alla 25.1.3.0 o successiva, che richiede la nuova piattaforma hardware (ISA4500, ISA6500 o ISA8500) o istanze virtuali e cloud ricostruite dal nuovo modello; pianificare in ogni caso la migrazione al 25.1 prima della fine del supporto dei rami 22.7 e 22.8, fissata al 31 gennaio 2027; eseguire con regolarità l'Integrity Checker Tool, come chiede Ivanti, senza considerarlo sufficiente, e condurre verifiche forensi di rete e di memoria almeno a partire dalla fine di settembre usando gli indicatori pubblicati da Volexity; in caso di sospetta compromissione seguire la procedura di ripristino del vendor, con ripristino di fabbrica o ricostruzione dell'appliance, reset delle password di dominio, amministrative e locali, revoca dei certificati e rinnovo delle chiavi API; ruotare comunque l'account di servizio di dominio configurato sull'appliance per l'autenticazione LDAP.

Fonti: ACN, Ivanti, CISA, Volexity, SecurityWeek