Ivanti: tre falle zero‑day aprono le porte agli hacker
Tre vulnerabilità zero‑day di Ivanti hanno permesso agli hacker di ottenere privilegi root e rubare credenziali aziendali. Le patch sono già disponibili: aggiornate subito Connect Secure per proteggere la rete.
Il 14 ottobre 2026 Luigi Zullo ha riportato che Ivanti ha scoperto tre vulnerabilità zero‑day in Connect Secure, la soluzione VPN‑gateway che protegge l’accesso alle reti aziendali. L’attacco, iniziato il 3 ottobre, ha permesso a un gruppo chiamato UTA0576 di ottenere privilegi root, sottrarre credenziali LDAP, esportare metadati di Active Directory e intercettare traffico LDAP.
Contesto / cosa cambia
- La vulnerabilità CVE-2026-104935 ha un punteggio CVSS 8,6, consentendo l’esecuzione remota di comandi senza autenticazione.
- Tre zero‑day in serie hanno permesso di bypassare l’autenticazione, caricare codice Perl e elevare i privilegi.
- Il gruppo UTA0576 ha eliminato le tracce nei log, rendendo l’indagine forense più complessa.
Cosa significa per chi compra in Italia
Le aziende italiane che utilizzano Connect Secure devono aggiornare immediatamente le proprie istanze. Ivanti ha rilasciato le patch 25.1.1.2, 25.1.3.0, 25.1.3.1 e 22.8R2.5. La mancata correzione espone i dati sensibili a furti di credenziali e a movimenti laterali all’interno della rete. Per approfondire le soluzioni di sicurezza informatica visita informatica.
Come si riconosce
- Connessioni VPN inaspettate da indirizzi IP sconosciuti.
- Processi di sistema che mostrano attività Perl o script sospetti.
- Log di autenticazione vuoti o con errori di accesso non riconosciuti.
Cosa non fare
- Non ignorare i messaggi di allerta di Ivanti.
- Non applicare patch in modo casuale senza test preliminari.
- Non trascurare la verifica dei file temporanei e delle directory di cache.
Cosa fare
- Scaricare e installare le patch consigliate da Ivanti (25.1.1.2, 25.1.3.0, 25.1.3.1 o 22.8R2.5 a seconda della versione).
- Eseguire un audit di sicurezza: controllare i log, le directory temporanee e la memoria delle istanze Connect Secure.
- Se si sospetta una compromissione, avviare un’indagine forense completa e, se necessario, isolare i dispositivi interessati.
Domande frequenti
Ho già cliccato su un link sospetto, cosa faccio?
Disconnetti immediatamente il dispositivo dalla rete, esegui una scansione antivirus e, se possibile, rimuovi il file sospetto. Consulta un esperto di sicurezza prima di riattivare la connessione.
Ivanti ha segnalato altri incidenti simili?
Sì, l’estate dello scorso anno la stessa azienda ha subito un attacco simile su Sentry. Le patch sono state rilasciate con anticipo, ma molte organizzazioni non le avevano installate.
Devo formattare il mio server per eliminare le tracce?
In genere non è necessario formattare. È sufficiente applicare le patch, rimuovere i file temporanei e verificare la configurazione della sicurezza. Se i log mostrano attività sospette persistenti, considerare una formattazione come misura finale.