Ivanti ha reso pubblica una vulnerabilità zero-day di Ivanti Connect Secure, già sfruttata per eseguire comandi arbitrari da remoto senza effettuare l’accesso. La falla, identificata come CVE-2026-104935, ha un punteggio di gravità CVSS pari a 8,6. Nell’avviso del 13 ottobre 2026, l’azienda ha confermato che gli attacchi hanno interessato un numero limitato di clienti. Per le imprese che utilizzano il prodotto, la risposta passa dalla verifica della versione installata e dalla scelta dell’aggiornamento previsto per la propria piattaforma.
Il problema riguarda un aggiramento dell’autenticazione attraverso lo spoofing, classificato come CWE-290. Un attaccante può sfruttarlo via rete senza disporre di credenziali e senza richiedere alcuna interazione agli utenti. La valutazione CVSS indica una complessità di attacco bassa e un impatto elevato sulla riservatezza dei dati, mentre gli effetti sull’integrità delle informazioni e sulla disponibilità del servizio risultano inferiori. Il punto centrale è quindi la possibilità di superare il controllo di accesso ed eseguire comandi sul sistema esposto.
La correzione ha seguito un percorso iniziato prima della divulgazione pubblica. Il team di sicurezza del prodotto aveva individuato inizialmente una parte della vulnerabilità e l’aveva corretta nella versione 25.1.3.0, pubblicata a luglio 2026. Lo sfruttamento è avvenuto mentre Ivanti lavorava per estendere la correzione alle altre versioni supportate. L’azienda ha inoltre riconosciuto il contributo di Volexity nella protezione dei clienti coinvolti: la disponibilità di una patch su un ramo del prodotto ha preceduto il completamento degli interventi sugli altri.
L’elenco delle release interessate comprende 25.1.1.1, 25.1.2.2 e 22.8R2.4, insieme alle versioni precedenti dei rispettivi rami. Ivanti indica invece 25.1.1.2, 25.1.3.0, 25.1.3.1 e 22.8R2.5 come versioni corrette. Il ramo 22.7 e quelli inferiori non contengono questa vulnerabilità. Per gli amministratori, la verifica deve dunque riguardare la release precisa in uso: l’appartenenza a una generazione del software, da sola, non descrive lo stato della correzione disponibile.
Le indicazioni operative cambiano anche in base all’hardware. I clienti che utilizzano la versione 25.1.1.1 sugli apparati ISA6000 o ISA8000 devono installare la 25.1.1.2. Per le organizzazioni sul ramo 22.8, Ivanti indica il passaggio alla 25.1.1.2 o a una versione successiva; se la migrazione non può essere effettuata subito, l’alternativa prevista è l’installazione della 22.8R2.5. Sono percorsi distinti, che permettono di intervenire sulla vulnerabilità tenendo conto della configurazione già presente in azienda e della possibilità di cambiare versione nell’immediato.
Il passaggio alla 25.1.3.0 introduce requisiti ulteriori: servono le piattaforme ISA4500, ISA6500 o ISA8500. Nelle installazioni fisiche la migrazione richiede nuovi server, mentre negli ambienti virtuali e cloud occorre creare nuovi dispositivi utilizzando il template appropriato. L’operazione coinvolge quindi anche l’infrastruttura su cui viene eseguito il prodotto. Prima di cambiare piattaforma, gli amministratori devono consultare la guida di aggiornamento e migrazione di Ivanti, così da seguire il percorso previsto per il proprio ambiente.
Alla gestione della falla si aggiunge una scadenza del ciclo di vita: entrambi i rami 22.7 e 22.8 raggiungeranno il termine del supporto il 31 gennaio 2027. La pianificazione delle imprese deve tenere insieme questa data e le indicazioni di aggiornamento. Per chi utilizza il ramo 22.8, la correzione disponibile e il passaggio a una versione successiva sono quindi due aspetti dello stesso lavoro di gestione della piattaforma.
Sul fronte della risposta agli attacchi, Ivanti dichiara di non disporre attualmente di indicatori di compromissione affidabili e invita i clienti che sospettano uno sfruttamento a seguire le proprie istruzioni di ripristino. L’avviso non identifica gli aggressori né fornisce dettagli sull’exploit, lasciando incerta l’estensione della campagna oltre i clienti confermati. Per le organizzazioni coinvolte, le istruzioni di recupero affiancano dunque i percorsi di aggiornamento e migrazione descritti dall’azienda.