Un bypass di autenticazione recentemente divulgato in Ivanti Connect Secure è già utilizzato negli attacchi, e CISA esorta le organizzazioni ad agire rapidamente. Identificato come CVE-2026-104935, la falla è classificata ad alta gravità, e un analista citato nella copertura di Cyber Daily lo descrive come "incredibilmente semplice" da sfruttare. Se la tua organizzazione utilizza questo gateway VPN, la patch per lo zero-day di Ivanti Connect Secure dovrebbe salire in cima alla tua lista.

I dettagli pubblici sono ancora limitati, quindi questo articolo si attiene a quanto è stato riportato e si concentra sui passi pratici che puoi intraprendere.

Cos'è CVE-2026-104935 e perché viene sfruttato

CVE-2026-104935 è un bypass di autenticazione in Ivanti Connect Secure. In parole semplici, un bypass di autenticazione consente a un attaccante di superare il passaggio di login che dovrebbe tenere gli estranei lontani da un sistema. Invece di rubare una password o ingannare un utente, l'attaccante salta completamente il controllo.

Due dettagli spiegano perché questo sta attirando l'attenzione. Primo, la falla è descritta come uno zero-day che gli attaccanti hanno già preso di mira. Secondo, un analista l'ha definita "incredibilmente semplice" da sfruttare. I bug semplici che non richiedono credenziali e poca competenza tendono a diffondersi rapidamente, perché più attaccanti possono usarli e la scansione automatizzata diventa praticabile.

CISA ha esortato ad agire rapidamente. L'articolo di origine non ci fornisce ulteriori dettagli tecnici, come i numeri di versione interessati o l'identità degli attaccanti, quindi consulta l'avviso ufficiale di Ivanti per questi dettagli piuttosto che affidarti a riassunti di seconda mano.

Il tuo gateway VPN è interessato? Come verificare i segni di compromissione

Inizia dalle basi: conferma se utilizzi Ivanti Connect Secure, compresi gli appliance più vecchi o dimenticati nelle filiali, negli ambienti di test o nei deployment cloud. I gateway non gestiti sono spesso quelli che rimangono non patchati.

Poi confronta la versione installata con le versioni elencate nell'avviso di Ivanti. Se ti trovi in un intervallo interessato, presupponi che il dispositivo sia a rischio finché non viene aggiornato.

Poiché gli attacchi sono segnalati in corso, la sola patch potrebbe non essere sufficiente. Un bypass sfruttato prima che esistesse una correzione potrebbe aver lasciato tracce. Passi ragionevoli includono:

  • Esaminare i log di autenticazione e amministrazione per login inaspettati, specialmente da indirizzi IP sconosciuti o in orari insoliti.
  • Cercare account nuovi o modificati, modifiche alla configurazione o file sconosciuti sull'appliance.
  • Eseguire qualsiasi strumento di verifica dell'integrità fornito dal vendor e seguire le sue indicazioni su cosa significano i risultati.
  • Verificare se l'interfaccia di gestione è raggiungibile da internet pubblico quando non è necessario.

Se trovi qualcosa di sospetto, trattalo come un incidente: isola il dispositivo, preserva i log e segui le indicazioni del vendor e di CISA prima di rimetterlo online.

Passi di patching e mitigazione secondo le indicazioni di CISA

L'istruzione più chiara è applicare la correzione del vendor non appena è disponibile per la tua versione. L'esortazione di CISA ad agire rapidamente segnala che aspettare una finestra di manutenzione ordinaria è una scelta rischiosa in questo caso.

Una sequenza pratica è questa:

  1. Applica l'aggiornamento. Installa la patch fornita da Ivanti o segui qualsiasi mitigazione temporanea pubblicata dal vendor se una correzione non è ancora disponibile per la tua release.
  2. Limita l'esposizione. Limita l'accesso di gestione a reti fidate e, ove possibile, metti controlli aggiuntivi davanti al gateway.
  3. Ruota le credenziali se si sospetta una compromissione. Ciò include gli account locali e qualsiasi segreto memorizzato sull'appliance o raggiungibile attraverso di essa.
  4. Monitora in seguito. Mantieni un logging elevato per un periodo dopo il patching, poiché un'intrusione precedente potrebbe non manifestarsi immediatamente.
  5. Documenta e segnala. Registra ciò che hai trovato e fatto, e segui qualsiasi obbligo di segnalazione applicabile alla tua organizzazione.

Per le versioni esatte delle patch e i passi di mitigazione, affidati direttamente a Ivanti e CISA, poiché tali istruzioni possono essere aggiornate man mano che la situazione evolve.

Perché gli appliance VPN sono obiettivi di alto valore

I gateway VPN si trovano al bordo di una rete, esposti a internet per progettazione. Questo li rende raggiungibili da chiunque, e una compromissione riuscita può offrire una via diretta verso i sistemi interni. Gli attaccanti li apprezzano anche perché questi dispositivi spesso operano con privilegi ampi e possono gestire credenziali per molti utenti.

Gli appliance perimetrali possono anche essere più difficili da monitorare rispetto a laptop o server, poiché potrebbero non supportare gli stessi agenti di sicurezza. Questa lacuna concede agli attaccanti più tempo per operare inosservati. Il pattern fa parte di un più ampio spostamento in cui gli attaccanti prendono di mira l'infrastruttura che protegge l'accesso, un tema che appare anche nella nostra analisi di come l'IA stia passando da aiutante degli attaccanti a operatore autonomo nelle recenti campagne di spionaggio, dove velocità e scala favoriscono l'attaccante.

Cosa significa per te

Se amministri Ivanti Connect Secure, questo è un compito urgente: identifica i tuoi dispositivi, applica le patch e verifica i segni di compromissione. Non presumere che un log silenzioso significhi un dispositivo pulito.

Se sei un dipendente o un utente remoto di una VPN aziendale, non puoi applicare la patch al gateway da solo, ma puoi chiedere al tuo team IT se è interessato e se la correzione è stata applicata. Usa password forti e uniche e l'autenticazione a più fattori sui tuoi account, e segnala qualsiasi richiesta di login inaspettata o avviso sull'account. Nota che un bypass di autenticazione può aggirare i login, quindi queste abitudini riducono il rischio ma non sostituiscono il patching.

Se utilizzi un servizio VPN consumer, questo problema specifico riguarda il prodotto enterprise di Ivanti, non le app consumer. Rimane comunque un promemoria utile che qualsiasi sistema di accesso remoto esposto a internet necessita di aggiornamenti regolari.

Punti chiave

  • Tratta la patch per lo zero-day di Ivanti Connect Secure per CVE-2026-104935 come urgente, poiché gli attacchi sono segnalati già in corso.
  • Conferma quali dei tuoi gateway utilizzano Ivanti Connect Secure e verifica le loro versioni rispetto all'avviso di Ivanti.
  • Esamina i log e l'integrità dell'appliance per segni di compromissione, anche dopo il patching.
  • Segui le indicazioni di CISA e le istruzioni ufficiali di Ivanti man mano che vengono aggiornate.
  • Approfitta di questo momento per rivedere come la tua organizzazione protegge l'infrastruttura di accesso remoto, inclusa l'esposizione delle interfacce di gestione e il monitoraggio dei dispositivi perimetrali.

Prima applica la patch, poi indaga, e continua a monitorare: questo ordine ti dà la migliore possibilità di stare al passo con questa minaccia.