Ivanti Connect Secure CVE-2026-104935: bypass autenticazione sfruttato

Ivanti ha divulgato CVE-2026-104935 il 13 ottobre 2026: un bypass dell'autenticazione tramite spoofing in Ivanti Connect Secure che consente a un attaccante remoto e non autenticato di eseguire comandi arbitrari sull'apparato. Ivanti lo ha valutato CVSS 8.6 e — ed è questo che lo porta in cima alla coda — ha confermato che è già sfruttato, "con impatto su un numero limitato di clienti al momento della divulgazione", ringraziando Volexity per il supporto. CISA lo ha inserito nel catalogo Known Exploited Vulnerabilities lo stesso giorno, fissando la scadenza federale di remediation al 16 ottobre.

Notizia in evoluzione — pubblicata alle 17:23 (15:23 UTC) del 13 ottobre 2026. Aggiornata man mano che vendor e CISA pubblicano.

Aggiornamento — 13 ottobre 2026, 23:32 CEST

Nelle ore successive alla prima pubblicazione tre elementi si sono consolidati, tutti da fonti primarie:

• NVD ha completato l'analisi. Il record NVD è ora nello stato Analyzed, con vettore CVSS 3.1 pubblicato, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L, e il punteggio base di NVD, 8.6 High, coincide con quello di Ivanti — raggiungibile da rete, bassa complessità, nessun privilegio, nessuna interazione utente. La decisione SSVC di NVD/CISA-ADP assegna exploitation: active, automatable: yes, technical impact: total. "Automatable: yes" è quello da tenere d'occhio: è la proprietà che trasforma una campagna limitata in scansione di massa indiscriminata.
• CISA ora richiede la triage forense. La voce KEV (versione catalogo 2026.10.13) riporta forensicTriage: Yes — le agenzie federali devono preservare ed esaminare le evidenze, non solo applicare la patch, prima della scadenza del 16 ottobre. Trattala come la base per tutti, non solo per le agenzie civili: un bypass dell'autenticazione sfruttato su un dispositivo che modifica i propri log è esattamente il caso in cui "patchato, caso chiuso" nasconde un'intrusione ancora attiva.
• Invariato: ancora nessun proof-of-concept pubblico, nessun IOC specifico da Ivanti e nessun attore minaccia nominato oltre al ringraziamento a Volexity.

In breve

CVE	CVE-2026-104935
Prodotto / versioni colpite	Ivanti Connect Secure · 25.1.1.1 e precedenti · 25.1.2.2 e precedenti · 22.8R2.4 e precedenti (22.7R2.14 e precedenti non colpite)
Corretta in	25.1.1.2 · 25.1.3.0 e 25.1.3.1 · 22.8R2.5 — divulgate il 13 ottobre 2026
CVSS	8.6 High · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L · NVD e Ivanti (CNA) concordano
Sfruttata attivamente	Sì · Ivanti conferma sfruttamento limitato alla divulgazione; ringraziata Volexity; SSVC NVD/CISA: exploitation active, automatable
CISA KEV	Aggiunta 2026-10-13; scadenza federale 2026-10-16 (BOD 26-04, triage forense richiesta)
PoC pubblico	Nessuno pubblico al 13 ottobre 2026
Advisory ufficiale	Ivanti October 2026 Security Update

Cosa è successo

La debolezza è classificata come CWE-290, bypass dell'autenticazione tramite spoofing: l'apparato può essere indotto a credere che una richiesta non autenticata porti con sé un'identità che non ha mai dimostrato. Da lì l'attaccante raggiunge funzionalità che dovrebbero stare dietro il login e — secondo la sintesi di CISA — trasforma quell'accesso in esecuzione di comandi arbitrari. L'8.6 di Ivanti è un High, non un 10, ma il numero sottostima la realtà operativa: nessuna credenziale, da remoto, e il bersaglio è il dispositivo che termina i tuoi tunnel di accesso remoto e vede ogni sessione che lo attraversa.

Ivanti afferma che lo sfruttamento è finora limitato e che sta lavorando direttamente con le organizzazioni colpite. Questa formula è l'inizio della finestra, non il cessato allarme. Ivanti Connect Secure è stato uno dei prodotti di bordo rete più sistematicamente sfruttati degli ultimi due anni; la campagna di aprile 2025 su CVE-2025-22457 è stata attribuita da Ivanti e Mandiant all'attore cinese UNC5221, con dropper non persistenti che prendevano di mira il processo /home/bin/web e tecniche anti-forensi integrate. "Limitato alla divulgazione" è così che sono cominciate quasi tutte.

Chi è esposto — e come verificare la versione

Tre branch rientrano nel perimetro, ciascuno con la propria build corretta. L'unico fatto che smorza il panico: Ivanti dichiara che la falla non riguarda la 22.7R2.14 e precedenti.

Branch colpito	Corretto in
25.1.1.1 e precedenti (ISA6000 / ISA8000)	25.1.1.2
25.1.2.2 e precedenti	25.1.3.0 o 25.1.3.1
22.8R2.4 e precedenti	22.8R2.5

Leggi la build in esecuzione dalla console di amministrazione (System → Status) o dalla pagina di manutenzione del dispositivo. Attenzione: 22.7 e 22.8 raggiungono entrambe il fine vita il 31 gennaio 2027 — se sei su una delle due, la build corretta è un ponte, non una destinazione.

Remediation

Non esiste un workaround. Per un bypass dell'autenticazione attivamente sfruttato su un concentratore esposto a Internet, il runbook onesto presume l'esposizione finché non si dimostra il contrario.

1. Sono colpito? Inventaria ogni apparato Connect Secure, interno e di perimetro, e confronta ciascuna build con la tabella sopra. Qualsiasi 25.1.1.1-e-precedenti, 25.1.2.2-e-precedenti o 22.8R2.4-e-precedenti è vulnerabile. Dai priorità a quelli raggiungibili da Internet.
2. Patch — versioni corrette esatte. Aggiorna a 25.1.1.2, 25.1.3.0 / 25.1.3.1 o 22.8R2.5 secondo il tuo branch. Ivanti consiglia inoltre di portare i parchi 22.8.x su 25.1.1.2 o successive, invece di restare su una build a poche settimane dal fine vita.
3. Non puoi applicare la patch subito? Riduci l'esposizione. Non esiste un workaround del vendor, quindi restringi la superficie: limita l'accesso all'interfaccia di gestione a IP fidati e, dove possibile, poni il front end web/VPN dietro una allowlist o un livello di filtraggio finché non arriva l'aggiornamento. Tratta la finestra come ostile, non come silenziosa.
4. Cerca segni di compromissione. Ivanti non ha pubblicato IOC specifici per CVE-2026-104935, quindi non aspettare una lista di hash. Esegui l'Integrity Checker Tool (ICT) — ma leggi prima la sezione seguente, perché su un ICS compromesso l'ICT è esattamente ciò che un intruso capace neutralizza. Mappa la caccia su MITRE ATT&CK T1190 (Exploit Public-Facing Application), T1556 (Modify Authentication Process — la primitiva di spoofing stessa), T1505.003 (Web Shell) e T1070 (Indicator Removal) — l'ultima perché la post-exploitation su Ivanti ha storicamente cancellato le proprie tracce sul dispositivo.
5. Bonifica e verifica. Se l'ICT o le evidenze di rete mostrano manomissioni, la guida consolidata di Ivanti è un factory reset seguito da ridistribuzione su una build corretta — applicare la patch sopra un impianto attivo non lo rimuove. Poi ruota tutto ciò che l'apparato può aver gestito durante l'esposizione: segreti di sessione VPN, credenziali amministrative, certificati o chiavi API memorizzati su di esso o da esso raggiungibili, e le credenziali di directory contro cui autentica. Conferma la pulizia dopo la ricostruzione, non prima.

Rilevamento e caccia — perché l'apparato non può essere l'unico testimone

Ecco la proprietà scomoda di questa classe di bug. Un bypass-autenticazione-verso-esecuzione-comandi sull'apparato significa che il primo premio dell'attaccante è proprio il sistema a cui chiederesti "sei stato compromesso?". L'ICT di Ivanti gira sul dispositivo; i log che esamineresti sono sul dispositivo; e il playbook documentato di UNC5221 su questo prodotto include il superamento dei controlli di integrità e l'uso di dropper non persistenti che si auto-cancellano. Quando il testimone e il sospettato sono la stessa macchina, resta una sola fonte di verità onesta.

"L'ICT è risultato pulito." "L'ICT gira sulla macchina che l'attaccante già possiede. Cosa ha mostrato il filo — quell'apparato ha aperto verso l'interno sessioni che non ha mai aperto prima?"

Questo è il rilevamento di cui ti puoi fidare: il traffico che il concentratore genera verso l'interno della rete. Un gateway VPN compromesso si tradisce non con una firma ma con il comportamento — un dispositivo che storicamente terminava solo tunnel in ingresso che all'improvviso inizia connessioni in uscita o laterali, fa beaconing verso un ASN sconosciuto o si dirama verso host interni con cui non ha mai parlato. È esattamente il divario per cui è nato il pilastro AI Traffic Analysis di Zero Hunt: un modello di deep learning proprietario con quattro teste di inferenza parallele (traffico sospetto, classificazione malware, identificazione del tipo di attacco, fingerprinting applicativo), addestrato su miliardi di sequenze PCAP e in esecuzione localmente sulla GPU dell'apparato a oltre 2,7 Gbit/s. Profila come appare il normale davanti al tuo gateway Ivanti, così il pivot verso l'interno emerge mentre sta accadendo — non nel digest SIEM del mattino dopo, e non in dipendenza dall'auto-dichiarazione di un dispositivo che l'intruso controlla.

La patch chiude la porta; non ti dice se qualcuno ci è già passato. È la seconda domanda a cui risponde un red team autonomo con AI. Poiché non esiste un PoC pubblico per CVE-2026-104935 e le patch di Ivanti su questo prodotto sono già state aggirate in passato, lo swarm a 10 agenti di Zero Hunt rileva la build esatta di Connect Secure e fa generare a un agente di coding sigillato un proof-of-concept per-bersaglio in un container effimero — black-box, nel modo in cui un attaccante non autenticato incontra il percorso senza login — per mostrare se il bypass atterra davvero sul tuo apparato e se l'aggiornamento lo ha chiuso davvero. Gira on-premise su modelli privati, così nulla del dispositivo sotto esame esce dal tuo rack, e ogni passo di exploitation attende un gate con human-in-the-loop. Il risultato è un reperto riprodotto e firmato, depositato con la campagna — un'evidenza, non una stringa di versione copiata in un ticket. Se la tua cadenza di validazione è ancora un test annuale, la nostra scheda sul penetration testing automatizzato spiega perché le divulgazioni sugli apparati di bordo esigono un ciclo più rapido, e la nostra precedente analisi di CitrixBleed 3 mostra che è uno schema ricorrente su tutti gli apparati di accesso remoto, non una stranezza di Ivanti.

Cosa non si sa ancora

Al momento di questo aggiornamento (vedi la sezione Aggiornamento sopra, che supera ciò che alla prima pubblicazione non era confermabile): Ivanti non ha pubblicato alcun IOC specifico, nessun attore minaccia nominato oltre al ringraziamento a Volexity e nessun conteggio di clienti oltre "un numero limitato". La voce KEV di CISA non indica uso noto in campagne ransomware. Non esiste ancora un proof-of-concept pubblico. Continueremo ad aggiornare questo articolo quando arriveranno l'attribuzione dello sfruttamento, gli IOC o un PoC pubblico.