Ivanti ha rilasciato aggiornamenti di sicurezza per due vulnerabilità dei gateway di accesso remoto Connect Secure, sfruttate insieme a una falla di bypass dell’autenticazione in attacchi osservati almeno dal 1º ottobre.
I problemi appena corretti sono CVE-2026-111357, una vulnerabilità ad alta gravità che consente l’escalation dei privilegi, e CVE-2026-118527, che permette agli aggressori autenticati di caricare file su un dispositivo non aggiornato. Gli aggressori hanno utilizzato entrambe le falle insieme a CVE-2026-104935, una vulnerabilità di bypass dell’autenticazione che Ivanti ha corretto il mese scorso.
Ivanti ha dichiarato che l’aggiornamento precedente aveva risolto il principale percorso di sfruttamento dopo che l’azienda era venuta a conoscenza di uno sfruttamento limitato nel mondo reale. Il fornitore ha spiegato che la sua priorità era fornire rapidamente protezione ai clienti, mentre la correzione per CVE-2026-104935 era sottoposta al controllo qualità per le versioni supportate.
Volexity, che ha scoperto CVE-2026-104935, ha riferito che un attore delle minacce identificato come UTA0576 combinava la falla con altre due vulnerabilità almeno dal 3 ottobre per ottenere l’esecuzione di codice non autenticata con privilegi root su dispositivi Connect Secure completamente aggiornati. Secondo Volexity, l’attore non ha distribuito malware né una web shell; invece, sfruttava nuovamente il dispositivo per ogni comando e modificava i log per occultare le attività ed eludere lo strumento Integrity Checker di Ivanti.
Anche la società di intelligence sulle minacce Defused ha segnalato indizi di sfruttamento attivo a partire dal 1º ottobre. La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha successivamente aggiunto CVE-2026-104935 al proprio catalogo delle vulnerabilità note sfruttate e ha ordinato alle agenzie federali di applicare la correzione disponibile entro venerdì.
Shadowserver, che monitora l’esposizione su Internet, tiene attualmente sotto osservazione più di 5.000 istanze Connect Secure accessibili da Internet. Non sono disponibili informazioni su quante di questi sistemi siano state messe in sicurezza contro gli attacchi in corso.
Le vulnerabilità di Ivanti sono spesso prese di mira nelle campagne zero-day perché gli appliance compromessi possono fornire accesso alle reti aziendali. Negli ultimi anni, l’azienda ha inoltre corretto altre falle di Connect Secure sfruttate nel mondo reale, comprese vulnerabilità utilizzate negli attacchi per distribuire malware.
Dal novembre 2021, CISA ha elencato 38 vulnerabilità di Ivanti come attivamente sfruttate, incluse 12 che sono state utilizzate anche in attacchi ransomware.
Fonti: BleepingComputer.