Ivanti ha rilasciato aggiornamenti di sicurezza per altre due vulnerabilità nel suo gateway di accesso remoto Connect Secure (ICS), e l'azienda afferma che sono state concatenate in attacchi zero-day almeno dal 1° ottobre. Se la tua organizzazione utilizza l'appliance, questa patch per lo zero-day di Ivanti Connect Secure è una da prioritizzare.

I dettagli disponibili finora sono limitati, quindi questo post si attiene a quanto riportato e si concentra su passaggi pratici per amministratori e dipendenti che si affidano al gateway.

Cosa ha corretto Ivanti e quando sono iniziati gli attacchi

Secondo il rapporto, Ivanti ha emesso aggiornamenti che coprono due ulteriori vulnerabilità in Connect Secure, il gateway di accesso remoto che molte organizzazioni usano per consentire al personale di raggiungere i sistemi interni dall'esterno dell'ufficio. Le vulnerabilità sono state sfruttate come zero-day, il che significa che gli attaccanti le stavano usando prima che esistesse una correzione.

Il dettaglio chiave della cronologia è che gli attacchi sono in corso almeno dal 1° ottobre. La frase "almeno" è importante: segnala che questa è l'attività più remota confermata finora, non necessariamente la prima. Le organizzazioni che stavano eseguendo appliance non aggiornate durante quel periodo dovrebbero considerare la possibilità di essere state esposte, invece di presumere che la correzione da sola chiuda la questione.

Le vulnerabilità sono anche state concatenate, il che significa che gli attaccanti le hanno combinate invece di affidarsi a un singolo bug. Questo dettaglio influisce su come i difensori dovrebbero considerare il rischio.

Perché gli exploit concatenati sui gateway VPN sono così pericolosi

Un gateway di accesso remoto si trova al margine di una rete. È raggiungibile da Internet per progettazione ed è considerato affidabile per connettere utenti esterni alle risorse interne. Questa combinazione lo rende un obiettivo di alto valore: una compromissione riuscita può offrire un punto d'appoggio in un luogo che è sia esposto che ben connesso.

La concatenazione rende tutto questo più grave. Una vulnerabilità può dare a un attaccante un accesso limitato, mentre una seconda può estendere quell'accesso o trasformarlo in qualcosa di più potente. Usate insieme, due vulnerabilità che potrebbero essere gestibili singolarmente possono sommarsi in un problema molto più grande. I difensori che effettuano il triage esaminando ogni bug isolatamente possono sottovalutare l'impatto nel mondo reale.

Questo fa anche parte di un pattern più ampio. La nostra precedente copertura del bypass di autenticazione di Ivanti Connect Secure tracciato come CVE-2026-104935 descriveva un'altra vulnerabilità nello stesso prodotto che era già stata usata in attacchi. Vedere un secondo ciclo di zero-day nello stesso gateway sottolinea perché queste appliance meritano un'attenzione ravvicinata.

Come verificare se il gateway VPN di lavoro è aggiornato

Se amministri Connect Secure, inizia dalle basi:

  • Conferma la versione dell'appliance. Controlla la versione attualmente in esecuzione e confrontala con le release corrette elencate nell'advisor di sicurezza di Ivanti per queste due vulnerabilità.
  • Rivedi la cronologia degli aggiornamenti. Verifica che l'aggiornamento sia stato effettivamente applicato e che l'appliance sia stata riavviata nella build corretta, non solo scaricata.
  • Guarda indietro al 1° ottobre. Poiché gli attacchi risalgono almeno a quel giorno, rivedi i log e qualsiasi risultato di controllo di integrità da quel periodo in poi.
  • Controlla le correzioni correlate. Assicurati che anche le patch precedenti, inclusa quella per il problema CVE-2026-104935, siano in vigore.

Se sei un dipendente e non un amministratore, non puoi aggiornare l'appliance da solo, ma puoi chiedere al tuo team IT o di sicurezza se il gateway Connect Secure ha ricevuto l'ultimo aggiornamento. Una domanda breve e diretta è ragionevole e spesso ben accolta.

Cosa fare se l'appliance Connect Secure non è aggiornata

Applica le patch il prima possibile, nei limiti consentiti dal tuo processo di change. Poiché queste vulnerabilità vengono sfruttate attivamente, attendere una finestra di manutenzione ordinaria comporta un rischio reale.

Mentre ti prepari ad aggiornare, valuta la possibilità di limitare chi può raggiungere le interfacce di gestione dell'appliance e segui eventuali indicazioni di mitigazione temporanea fornite da Ivanti. Dopo il patching, esegui gli strumenti di verifica dell'integrità del fornitore se disponibili e cerca sessioni insolite, modifiche di configurazione inattese o account che non riconosci. Se trovi segni di compromissione, trattalo come un incidente: isola l'appliance, conserva i log e coinvolgi il tuo team di risposta agli incidenti prima di reimpostare credenziali che potrebbero essere passate attraverso il gateway.

Cosa significa per te

Per gli amministratori, il messaggio è chiaro: verifica la tua versione, applica le patch e indaga sul periodo dal 1° ottobre. Un'appliance aggiornata non è automaticamente pulita se è stata esposta prima dell'aggiornamento.

Per gli utenti quotidiani di una VPN aziendale, non c'è software da installare sul proprio dispositivo per questo problema, poiché il componente vulnerabile è il gateway. Tuttavia, è un buon momento per usare password forti e uniche, abilitare l'autenticazione a più fattori dove offerta e segnalare qualsiasi cosa strana, come richieste di accesso inattese o avvisi di accesso.

Punti chiave

  • Ivanti ha rilasciato aggiornamenti per altre due vulnerabilità di Connect Secure concatenate in attacchi zero-day almeno dal 1° ottobre.
  • I gateway di accesso remoto sono obiettivi attraenti perché esposti a Internet e considerati affidabili.
  • Le vulnerabilità concatenate possono essere più dannose di ciascun bug preso singolarmente.
  • Conferma la versione dell'appliance, applica subito la patch per lo zero-day di Ivanti Connect Secure e rivedi l'attività dal 1° ottobre in poi.
  • Per il contesto sul pattern in corso, leggi il nostro precedente rapporto sul bypass di autenticazione CVE-2026-104935.

Se usi o amministri Ivanti Connect Secure, controlla oggi la tua versione e applica gli aggiornamenti senza indugio.