Ivanti Connect Secure: le nuove correzioni cambiano quale patch serve
Le release di manutenzione del 13 ottobre non correggono due ulteriori falle. Gli attacchi osservati richiedono anche verifiche su accessi e credenziali.
Le organizzazioni che hanno aggiornato Ivanti Connect Secure dopo l'allerta del 13 ottobre devono verificare un altro passaggio. Ora sono disponibili le correzioni per due ulteriori vulnerabilità utilizzate nella stessa catena d'attacco, assenti dalle precedenti release di manutenzione dei rami 25.1.1 e 22.8. Conta quindi quale versione sia installata sul gateway, non soltanto il ricordo di averlo aggiornato il mese scorso.
L'analisi pubblicata da Rapid7 il 2 novembre identifica CVE-2026-111357 e CVE-2026-118527 come le vulnerabilità aggiuntive corrette nell'aggiornamento Ivanti del 29 ottobre. CISA le ha inserite entrambe nel catalogo delle vulnerabilità già sfruttate. La priorità deriva dunque da attacchi osservati, non soltanto dalla possibilità teorica di costruirne uno.
La catena conta più del singolo punteggio
Le due falle riguardano l'elevazione dei privilegi e il caricamento di contenuti controllati dall'attaccante in una posizione prevedibile. Rapid7 riporta i punteggi assegnati da Ivanti: rispettivamente 8,8 e 4,3. Presa isolatamente, una vulnerabilità che richiede un utente autenticato può sembrare meno urgente di una porta d'ingresso accessibile a chiunque.
Una catena d'attacco va però valutata nel suo insieme. Una debolezza può fornire proprio l'accesso necessario per sfruttare quella successiva. Il problema iniziale, CVE-2026-104935, consentiva di aggirare l'autenticazione; i passaggi successivi permettevano operazioni più potenti. Il punteggio moderato di un componente non rende moderato il rischio del percorso completo.
L'indagine di Volexity documenta l'ottenimento dei privilegi root su un apparato che, al momento dell'intrusione, era aggiornato. I ricercatori hanno osservato furto di credenziali e ricognizione, comprese interrogazioni sui segreti di Active Directory. Sono elementi che estendono la risposta oltre il controllo del software presente sulla VPN.
Quali versioni contengono le nuove correzioni
Rapid7 indica queste sostituzioni per i due rami interessati. Prima di scegliere il percorso di aggiornamento, l'amministratore deve confrontare modello e famiglia di versione con l'avviso Ivanti corrente.
| Famiglia | Release di manutenzione interessata e precedenti | Release con le correzioni aggiuntive |
|---|---|---|
| Connect Secure 25.1.1 | 25.1.1.2 | 25.1.1.3 |
| Connect Secure 22.8 | 22.8R2.5 | 22.8R2.6 |
La tabella non invita a trasferire indiscriminatamente ogni apparato sullo stesso ramo: contano anche l'hardware supportato e le altre famiglie disponibili. Il punto è che 25.1.1.2 e 22.8R2.5, pur avendo corretto la vulnerabilità iniziale, non completano il lavoro richiesto da questo incidente.
La scheda CISA relativa a CVE-2026-111357 indica il 2 novembre come scadenza per l'intervento e richiede una valutazione forense. Si tratta di una direttiva federale statunitense, non di una scadenza legale automaticamente applicabile alle aziende italiane. Per chi gestisce un gateway esposto resta un segnale tecnico preciso: lo sfruttamento è confermato e la verifica degli accessi precedenti fa parte della risposta.
Ripristinare la fiducia attorno al gateway
Una VPN collega connessioni esterne a servizi che l'organizzazione considera interni. Le credenziali a disposizione del gateway possono quindi essere importanti quanto il dispositivo stesso. Se l'indagine individua un'esposizione, chiudere la porta d'ingresso originaria non revoca una password o una credenziale di servizio già copiata.
Conservare le prove ed esaminare l'attività di autenticazione collegata all'apparato deve accompagnare il piano di aggiornamento. Occorre separare lo stato attuale della macchina dalle operazioni compiute attraverso di essa in precedenza. Il rapporto Volexity mostra bene il problema: l'attaccante riutilizzava il percorso di sfruttamento invece di lasciare una normale web shell individuabile cercando file sospetti.
Annotare il nuovo numero di versione è la parte più semplice. La verifica decisiva riguarda le identità e i sistemi raggiungibili attraverso quel gateway: bisogna stabilire se meritino ancora la fiducia che avevano prima dell'intrusione.
