Ivanti Connect Secure: falla della VPN sfruttata prima della correzione
Il 13 ottobre 2026 Ivanti ha avvisato che una falla della sua VPN Connect Secure permette a chi non ha credenziali di eseguire comandi sull'apparato, e che è già stata sfruttata. Qui trovi i fatti, le fonti e che cosa non si sa.
Scheda aggiornata al 27 ottobre 2026 In corso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 13 ottobre 2026 (sfruttata dai primi di ottobre) · Ultimo controllo delle fonti: 27 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: l'avviso di Ivanti e il rapporto di Volexity del 13 ottobre 2026.
- Ivanti pubblica l'avviso, Volexity il rapporto; la falla viene indicata come già sfruttata.
La falla in sintesi
| Identificativo | CVE-2026-104935 |
|---|---|
| Gravità | Alta: punteggio 8,6 su 10 (CVSS), secondo Rapid7 |
| Prodotti interessati | Ivanti Connect Secure (VPN): versioni 22.8R2.4 e precedenti, 25.1.1.1 e precedenti, 25.1.2.2 e precedenti |
| Correzione | Disponibile per la falla principale (vedi sotto); una falla collegata, per ottenere i permessi di amministratore, risulta ancora senza correzione |
| Già sfruttata? | Sì: l'azienda parla di sfruttamento su «un numero limitato di clienti» |
Tre cose da sapere
Che cosa è successo
Il 13 ottobre 2026 Ivanti ha pubblicato l'avviso su una falla di autenticazione nella VPN Connect Secure (CVE-2026-104935). La società di sicurezza Volexity l'ha trovata mentre indagava su un attacco a un suo cliente.
Che cosa ha comportato
Un aggressore remoto, senza credenziali, può eseguire comandi sull'apparato. Secondo Volexity il gruppo da lei chiamato UTA0576 l'ha concatenata con altre due falle fino a ottenere i permessi di amministratore anche su apparati già aggiornati.
Che cosa non si sa
Quanti apparati siano stati compromessi, chi sia l'aggressore e quando arriverà la correzione della falla ancora aperta.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il 13 ottobre 2026 Ivanti ha pubblicato un avviso su una falla di autenticazione di Connect Secure (CVE-2026-104935) che permette a un aggressore remoto, senza credenziali, di eseguire comandi sull'apparato. | Dichiarato | [1] [2] |
| Ivanti ha dichiarato che la falla è stata sfruttata su «un numero limitato di clienti», prima della pubblicazione dell'avviso. | Dichiarato | [1] [2] |
| Secondo Rapid7 il punteggio di gravità è 8,6 su 10 e la falla è stata aggiunta il 13 ottobre al catalogo delle falle sfruttate dell'agenzia americana CISA. | Riportato dalla stampa | [1] |
| Volexity ha scoperto l'attività indagando su un attacco a un suo cliente: l'aggressore, indicato come UTA0576, ha concatenato tre falle per eseguire comandi con i permessi di amministratore, anche su un apparato aggiornato all'ultima versione disponibile allora (22.8R2.4). | Riportato dalla stampa | [2] |
| L'aggressore non avrebbe lasciato programmi malevoli né accessi nascosti, avrebbe ripetuto l'attacco a ogni comando e avrebbe alterato i registri per sfuggire allo strumento di controllo dell'integrità di Ivanti. | Riportato dalla stampa | [2] |
| L'inizio dello sfruttamento non è univoco: Defused segnala i primi segni dall'1 ottobre, Volexity parla dei primi giorni di ottobre. | Riportato dalla stampa | [2] |
| Una delle falle della catena, che porta ai permessi di amministratore, risulta ancora senza correzione né identificativo; Ivanti prevede di correggerla più avanti. | Riportato dalla stampa | [1] [2] |
| Secondo Rapid7 le versioni corrette sono la 22.8R2.5, la 25.1.1.2 e la 25.1.3.0 o 25.1.3.1 (tabella da verificare nell'avviso di Ivanti). | Riportato dalla stampa | [1] |
| Shadowserver conta oltre 5.500 apparati Connect Secure raggiungibili da Internet; non è chiaro quanti siano esche o già protetti. | Riportato dalla stampa | [2] |
- Quanti apparati siano stati compromessi: Ivanti parla di «un numero limitato di clienti» senza cifre.
- Quando sarà disponibile la correzione della falla che porta ai permessi di amministratore, e quale identificativo avrà.
- Chi sia l'aggressore: Volexity usa solo l'etichetta UTA0576 per il gruppo.
Indicazioni generali, valide per qualunque organizzazione: controlla sempre l'avviso del produttore del tuo apparato, che prevale su queste note.
- Gli apparati esposti a Internet (VPN, firewall) sono i primi bersagli: vanno aggiornati fuori dal ciclo normale quando il produttore segnala uno sfruttamento in corso.
- Dopo l'aggiornamento conviene controllare se qualcuno è già entrato: correggere la falla non toglie un intruso già presente.
- Le versioni non più supportate non ricevono correzioni: pianifica per tempo il passaggio a una versione supportata.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Rapid7 | Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935) | 13 ottobre 2026 | Identificativo, gravità, versioni, catalogo CISA, terza falla. |
| [2] | BleepingComputer | Ivanti warns of Connect Secure zero-day exploited in attacks | 13 ottobre 2026 | Rapporto di Volexity, inizio dello sfruttamento, apparati esposti. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Ahold Delhaize: siti e app dei supermercati spenti in Europa e negli Stati Uniti · 12 ottobre 2026
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
- ASOS: notifica falsa nell'app e dati di clienti su piattaforme esterne · 6 ottobre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto