Una rassegna settimanale di sicurezza che copre il periodo dal 7 al 14 ottobre 2026, a cura di Sherlock Forensics, aperta da una catena di exploit Ivanti VPN che cancella i log: una presunta sequenza di attacco che elimina le proprie tracce dopo l'esecuzione. La stessa rassegna ha segnalato un Patch Tuesday record con 1.413 CVE, server di backup dirottati presso i managed service provider (MSP) e Pwn2Own Ireland conclusosi con 98 zero-day. Il riepilogo della fonte è breve, quindi questo post si attiene a quanto afferma e spiega cosa significa nella pratica.
Cosa fa la catena di exploit Ivanti
Secondo la rassegna, la catena Ivanti VPN cancella i propri log. Questo dettaglio è più importante di quanto possa sembrare a prima vista. I log sono il principale registro che i difensori usano per stabilire se un dispositivo è stato acceduto, cosa ha fatto un attaccante e quando è accaduto. Un exploit che rimuove le proprie voci lascia agli amministratori un sistema dall'aspetto pulito e nessuna traccia evidente.
L'effetto pratico è che la domanda abituale, "i log mostrano qualcosa di sospetto?", diventa inaffidabile. Un log vuoto o ordinato non è più prova di un dispositivo sano. Il riepilogo non fornisce dettagli tecnici come versioni interessate o identificatori, quindi gli amministratori dovrebbero affidarsi agli avvisi ufficiali di Ivanti per l'ambito esatto.
Gli utenti di VPN consumer sono esposti?
Per la maggior parte delle persone, la risposta è no, almeno non direttamente. La catena segnalata prende di mira i gateway VPN enterprise di Ivanti, gli apparati che le organizzazioni usano per consentire ai dipendenti di connettersi alle reti aziendali. Non è descritta come un attacco alle app VPN consumer che le persone installano su un telefono o un laptop per proteggere la propria navigazione.
Detto questo, ci sono modi indiretti in cui può toccare le persone comuni:
- Se ti connetti alla rete di un datore di lavoro tramite un gateway Ivanti, ciò che conta è l'esposizione della tua organizzazione. Il tuo dispositivo personale non è il punto debole, ma i dati che passano attraverso il gateway potrebbero esserlo.
- Se sei cliente di un'azienda che ne utilizza uno, un gateway compromesso può diventare una via d'accesso ai sistemi che contengono i dati dei clienti.
- Se gestisci una piccola impresa o lavori nell'IT, potresti essere tu la persona responsabile dell'applicazione delle patch all'apparato.
In breve, gli utenti domestici dei servizi VPN consumer non sono il bersaglio descritto, ma la vicenda è un buon promemoria del fatto che una VPN è software e hardware con le proprie vulnerabilità, non uno scudo magico.
Come verificare le patch e gli indicatori di compromissione
Poiché la catena cancella presumibilmente i log, la verifica deve andare oltre la loro lettura. Gli amministratori possono adottare questi passaggi:
- Confermare il livello di patch. Verificare la versione corrente dell'apparato rispetto all'ultimo avviso di sicurezza del fornitore e applicare gli aggiornamenti disponibili.
- Usare gli strumenti di integrità del fornitore, ma non trattarli come definitivi. Sono utili, ma un risultato pulito non dovrebbe essere la tua unica evidenza.
- Affidarsi a una registrazione indipendente. Inoltrare i log a un sistema esterno (un server di log separato o un SIEM) in tempo reale, così che un attaccante che cancella le voci locali non possa cancellare la copia.
- Cercare le lacune, non solo gli eventi. Buchi inspiegabili nelle cronologie dei log, rotazioni improvvise dei log o periodi mancanti possono essi stessi essere un segnale d'allarme.
- Esaminare i registri lato rete. I log di firewall, DNS e autenticazione di altri sistemi possono mostrare connessioni insolite verso o dal gateway anche se i registri del gateway stesso sono scomparsi.
- Ruotare le credenziali in caso di dubbio. Se non puoi escludere una compromissione, reimpostare account e segreti legati all'apparato è un passo prudente.
Se sospetti una violazione, valuta di coinvolgere uno specialista di risposta agli incidenti, poiché un attacco auto-pulente è difficile da valutare da soli.
Perché il Patch Tuesday record e i dirottamenti dei backup MSP alzano la posta in gioco
Il caso Ivanti non è arrivato da solo. La rassegna ha anche segnalato un Patch Tuesday record con 1.413 CVE, il che significa che i team IT affrontano un volume molto elevato di correzioni da valutare nello stesso momento in cui devono applicare patch a dispositivi edge come i gateway VPN. Quando tutto è urgente, la prioritizzazione diventa la vera sfida, e gli apparati esposti a Internet dovrebbero stare in cima alla lista.
La rassegna ha inoltre riportato il dirottamento di server di backup presso gli MSP. I backup dovrebbero essere la rete di sicurezza, e gli MSP detengono l'accesso a molti ambienti dei clienti contemporaneamente, quindi compromettere quello strato può moltiplicare i danni. Combinato con gli attacchi che cancellano i log, questo sottolinea perché le organizzazioni dovrebbero mantenere backup offline o immutabili e un monitoraggio indipendente.
Per un contesto più ampio su come gli attaccanti concatenano le vulnerabilità, consulta la nostra trattazione di una catena zero-day potenziata dall'AI e 543K segreti live esposti. Per un'altra recente panoramica settimanale della situazione delle minacce, leggi la rassegna di sicurezza dell'11 ottobre.
Cosa significa per te
Se usi un'app VPN consumer, questa vicenda non è un motivo per farti prendere dal panico o per smettere di usarla. Mantieni l'app aggiornata, come faresti con qualsiasi software. Se lavori per un'organizzazione che usa Ivanti, chiedi al tuo team IT o di sicurezza se il gateway è aggiornato e se i log sono archiviati in un luogo inaccessibile a un attaccante. Se amministri tu stesso un tale dispositivo, considera la catena di exploit Ivanti VPN che cancella i log come uno stimolo a verificare, non a dare per scontato.
Punti chiave
- Conferma che il tuo apparato o client VPN sia completamente aggiornato rispetto agli ultimi avvisi del fornitore.
- Non fidarti dei soli log locali; inviali a un sistema indipendente e esamina altri registri di rete.
- Dai priorità ai gateway esposti a Internet durante i cicli intensi di patch.
- Mantieni i backup isolati, così che un server di backup dirottato non possa annullare il tuo piano di ripristino.
La catena di exploit Ivanti VPN che cancella i log è un promemoria del fatto che l'assenza di prove non è prova di sicurezza. Verifica oggi lo stato delle tue patch e rivedi i tuoi log tramite mezzi indipendenti anziché attraverso il dispositivo stesso.
