Ivanti Connect Secure CVE-2026-111357: l'anello che porta a root ora in CISA KEV

CISA ha aggiunto CVE-2026-111357 al catalogo delle Known Exploited Vulnerabilities il 30 ottobre 2026: è l'anello di escalation dei privilegi a root della catena zero-day di Ivanti Connect Secure che Volexity ha divulgato il 13 ottobre. Da solo NVD gli assegna un modesto CVSS 7.0 con vettore di attacco locale, e la probabilità EPSS resta nel 24° percentile. Entrambi i numeri lo sottostimano gravemente: concatenato dietro il bypass di autenticazione che abbiamo analizzato due settimane fa, questo è il passo che converte una richiesta non autenticata in root sull'apparato. La voce KEV porta una scadenza federale di tre giorni — fissata al 2 novembre — e il flag forensicTriage: Yes, perché la macchina che dovrebbe dirti se sei stato compromesso è la prima cosa che questo exploit controlla.

Notizia in evoluzione — pubblicata alle 18:36 (17:36 UTC) del 30 ottobre 2026. Aggiornata man mano che Ivanti e CISA pubblicano.

In breve

CVE	CVE-2026-111357
Prodotto / versioni colpite	Ivanti Connect Secure · fino a 22.8R2.4 (Build 19097) secondo NVD e Volexity
Corretta in	Patch dell'anello di escalation pubblicata da Ivanti il 29 ottobre 2026 (secondo Volexity); applicare l'ultima build del proprio branch
CVSS	7.0 High · CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H · MITRE (Secondary); NVD ancora in Awaiting Analysis, nessun punteggio NIST
Sfruttata attivamente	Sì · concatenata da UTA0576 dal 3 ottobre 2026 (Volexity)
CISA KEV	Aggiunta 2026-10-30; scadenza federale 2026-11-02 (BOD 26-04, triage forense richiesto)
PoC pubblico	Nessun codice di exploit pubblico al 30 ottobre 2026; Volexity ha documentato la tecnica
Advisory ufficiale	Ivanti Security Advisory — Connect Secure

Cosa è successo: l'anello a root di una catena non autenticata

L'analisi di Volexity del 13 ottobre ha ricostruito un attore sconosciuto — tracciato come UTA0576 — che dal 3 ottobre 2026 concatenava tre debolezze distinte su Ivanti Connect Secure in quella che definisce "unauthenticated root-level code execution". I tre anelli:

1. Un bypass di autenticazione in welcome.cgi, che può essere indotto a instradare le richieste verso file CGI arbitrari — il punto d'ingresso, tracciato come CVE-2026-104935.
2. Una race condition in scrittura in wu.cgi che porta all'esecuzione di codice come utente non privilegiato cgi-server.
3. Questo bug — CVE-2026-111357 — l'escalation da quel punto d'appoggio fino a root.

La descrizione KEV di CISA classifica 111357 come missing authentication for critical function (CWE-306) e precisa che "can be chained with CVE-2026-104935 and CVE-2026-118527". È questo a spiegare il CVSS ingannevolmente basso. Preso isolatamente, 111357 richiede un punto d'appoggio locale (AV:L), quindi si legge come un 7.0. Preso nella catena — che è esattamente come lo ha usato UTA0576 — il punto d'appoggio arriva gratis via rete, e il risultato è root.

Il meccanismo va capito perché determina come si fa la caccia. Ivanti Connect Secure esegue un servizio di background privilegiato, dsinvoked, che lancia task di manutenzione come root su richiesta, cercando ciascun task in DSCache, un archivio di configurazione condiviso. Secondo Volexity, l'exploit modifica in memoria la copia di /home/lib/libdsplibs.so del processo cgi-server così da poter scrivere in DSCache, riconfigura un task di manutenzione esistente perché lanci l'interprete Perl al posto del suo script legittimo, poi chiede a dsinvoked di eseguire il task passando come argomento uno script Perl malevolo — che dsinvoked esegue docilmente come root. Verifica il successo controllando se /etc/shadow è leggibile, poi ripristina la voce DSCache e la libreria modificata in memoria. La sintesi di Volexity: "The exploit chain patches library code in memory only and restores configuration store data." Nulla viene scritto su disco come backdoor; l'escalation lascia l'apparato apparentemente intatto.

Chi è esposto — e come verificare la versione

Il codice vulnerabile arriva fino a 22.8R2.4 (Build 19097) inclusa, che era l'ultima build di Connect Secure quando la catena è stata scoperta. Se hai corretto CVE-2026-104935 all'uscita dell'advisory del 13 ottobre, hai chiuso il punto d'ingresso — ma Ivanti non ha pubblicato la correzione dell'anello di escalation, CVE-2026-111357, fino al 29 ottobre. Un parco macchine che ha applicato la prima patch e si è fermato è in una trappola precisa: la porta d'ingresso è sbarrata, ma il passo a root della catena è rimasto senza patch per sedici giorni, e l'attore era già dentro alcune reti in quella finestra.

Leggi la build in esecuzione dalla console di amministrazione in System → Status. Tratta 22.7 e 22.8 come versioni di transizione in ogni caso — entrambe raggiungono il fine vita il 31 gennaio 2027.

Remediation

Non esiste un workaround di configurazione per un anello di escalation a root in una catena già sfruttata. Per un concentratore esposto su Internet che un attore concatena fino a root da inizio ottobre, il runbook onesto presume l'esposizione finché la rete e la memoria non dimostrano il contrario.

1. Sono colpito? Inventaria ogni apparato Connect Secure, perimetrale e interno, e leggi la build di ciascuno in System → Status. Tutto fino a 22.8R2.4 è in scope. Verifica in particolare se un apparato ha ricevuto la patch del 13 ottobre (104935) ma non quella del 29 ottobre (111357) — quel parco ha chiuso il punto d'ingresso lasciando aperto il passo a root.
2. Applica la patch — l'intera catena, non solo l'ingresso. Installa la build Ivanti corrente per il tuo branch, così che siano coperti sia CVE-2026-104935 sia CVE-2026-111357. Se hai aggiornato a metà ottobre, conferma che la build sia successiva al rilascio del 29 ottobre, non solo a quello del 13.
3. Non puoi applicare la patch subito? Riduci la superficie. Nessun workaround del vendor elimina il difetto: limita l'accesso all'interfaccia di management a IP fidati e metti il front-end web/VPN dietro una allowlist o un layer di filtraggio finché non arriva l'aggiornamento. Tratta la finestra come ostile.
4. Caccia la compromissione — dai per cieco il controllo on-box. Sia Ivanti sia CISA avvertono che l'Integrity Checker Tool potrebbe non rilevare questa attività, perché i comandi girano in memoria. Non aspettare che torni "sporco". Volexity ha pubblicato indicatori concreti: grandi volumi di richieste a /dana-na/auth/url_default/welcome.cgi; una discrepanza tra l'URL della richiesta e l'header X-DSCGI-PATH (che punta a wu.cgi o a /home/runtime/tmp/<md5>); artefatti di staging sotto /home/runtime/tmp/ics-root-run-inband-*.pl e ics-root-result-inband-*; un tcpdump rinominato in /data/.icscap/dsstatmond con catture in /data/.icscap/cap*; e script di post-exploitation in /tmp/ (sp_run.py, spray_hits.json e simili). Mappa la caccia su MITRE ATT&CK T1190 (Exploit Public-Facing Application), T1068 (Exploitation for Privilege Escalation — l'abuso di dsinvoked) e T1070 (Indicator Removal — il ripristino in memoria). Volexity segnala inoltre l'attore che pivota verso credenziali di Active Directory, password LAPS e chiavi di ripristino BitLocker: allarga la caccia alla directory su cui l'apparato si autentica.
5. Bonifica e verifica. La guida di ripristino di CISA è esplicita: salva la configurazione, esegui un factory reset (o ricostruisci l'istanza virtuale), aggiorna a una build corretta, ripristina la configurazione, poi reimposta ogni credenziale toccata dalla macchina — account di dominio, amministrativi e locali — e revoca e riemetti certificati, API key e credenziali del license server. Applicare la patch sopra un impianto root attivo non lo rimuove. Conferma la pulizia dopo la ricostruzione.

Verificare che la catena sia davvero chiusa

Applicare la patch all'anello di escalation risponde a "possono ancora arrivare a root per questa via?". Non risponde a "ci sono già arrivati, prima del 29 ottobre?" — e su questo prodotto sono due domande diverse, con prove diverse.

Alla prima risponde direttamente un red team autonomo con AI. Poiché per CVE-2026-111357 non esiste proof-of-concept pubblico e le patch di Ivanti su questo prodotto sono già state aggirate, lo swarm a 10 agenti di Zero Hunt identifica la build esatta di Connect Secure e fa ricostruire a un agente di coding sigillato l'intera catena — dal bypass di autenticazione fino al passo root via dsinvoked — contro il tuo apparato in un container effimero, in modalità black-box, come UTA0576 ha incontrato il percorso senza login. Mostra se la catena va ancora a segno e se l'aggiornamento di ottobre ha chiuso davvero ogni anello, non solo il primo. Gira on-premise su modelli privati, quindi nulla dell'apparato in prova lascia il rack, e ogni passo di sfruttamento attende un gate con human-in-the-loop; la catena riprodotta viene archiviata come evidenza firmata, non come una stringa di versione incollata in un ticket.

La seconda domanda è quella in cui la rete è l'unico testimone onesto. Un exploit che modifica una libreria in memoria e la ripristina lascia per costruzione puliti i log dell'apparato e l'Integrity Checker Tool — ma non può ritirare il traffico che la compromissione ha generato. Un apparato Connect Secure che storicamente si limitava a terminare i tunnel in ingresso e poi inizia a iniziare connessioni verso l'interno, si autentica alla directory con un account di servizio mai usato, o drena credenziali verso un host sconosciuto, si tradisce con il comportamento. È ciò che profila il pilastro AI Traffic Analysis di Zero Hunt — un modello di deep learning con quattro teste di inferenza parallele in esecuzione sulla GPU dell'apparato — così che il pivot emerga mentre accade, non in un auto-report di una macchina che l'intruso già controlla. Sul perché le divulgazioni sugli apparati edge impongano un ciclo continuo e non un ingaggio annuale, vedi la nostra nota sul penetration testing automatizzato; sul perché l'orologio KEV di tre giorni qui non sia arbitrario, vedi CISA BOD 26-04 risk-based patching. È uno schema ricorrente sugli apparati di accesso remoto, non una stranezza Ivanti — la nostra analisi di CitrixBleed 3 mostra la stessa forma.

Cosa non si sa ancora

La stringa esatta della build corretta per la patch del 29 ottobre di CVE-2026-111357 non è indicata in una fonte primaria consultabile al momento: Volexity fornisce la data della patch, il portale advisory di Ivanti si renderizza solo via JavaScript, e fisseremo il numero di build appena sarà confermabile. NVD elenca ancora il record come Awaiting Analysis senza punteggio base NIST, e la sua decisione SSVC (exploitation: none, datata 15 ottobre) precede l'inserimento in KEV e la campagna nota. La scomposizione per singolo CVE di CVE-2026-118527, il terzo identificativo della catena citato da CISA, non è ancora dettagliata in una fonte primaria. Volexity valuta la motivazione di UTA0576 come criminale con confidenza bassa e l'uso di LLM per lo sviluppo dell'exploit con confidenza media; non è stato pubblicato alcun conteggio di vittime o settore oltre a una singola compromissione confermata. Aggiorneremo questo post quando arriveranno la build corretta, l'attribuzione o un PoC pubblico.