Segui Ivanti ha divulgato CVE-2026-104935, una vulnerabilità ad alta gravità in Ivanti Connect Secure (ICS) che viene sfruttata attivamente in attacchi reali. La falla ha un punteggio CVSS di 8.6 e consente agli attaccanti non autenticati di aggirare l’autenticazione ed eseguire comandi arbitrari su appliance VPN vulnerabili.
La vulnerabilità è emersa dopo che Volexity ha indagato su un’appliance Ivanti Connect Secure compromessa che era completamente aggiornata in quel momento. L’attore della minaccia, precedentemente sconosciuto e tracciato come UTA0576, ha concatenato il bypass dell’autenticazione e l’esecuzione di codice remoto coperti da CVE-2026-104935 con un’altra escalation di privilegi zero-day per ottenere l’esecuzione di comandi a livello root senza autenticazione.
La campagna osservata dimostra i rischi per la sicurezza associati alle vulnerabilità nelle infrastrutture VPN esposte a internet. Dopo aver acquisito privilegi di root, gli attaccanti hanno preso di mira credenziali, dati di Active Directory, password LAPS, chiavi di recupero BitLocker e altre informazioni sensibili che potrebbero supportare il movimento laterale più profondo nell’ambiente della vittima.
Ivanti ha confermato il 13 ottobre 2026 di essere a conoscenza di un limitato sfruttamento in natura e ha esortato le organizzazioni che eseguono versioni impattate ad agire immediatamente. Successivamente, CISA ha aggiunto la vulnerabilità al proprio catalogo di Vulnerabilità Conosciute Sfruttate.
I team di sicurezza possono utilizzare la Piattaforma di Rilevamento Intelligenza AI-Nativa di SOC Prime per accelerare l’indagine su minacce emergenti e operazionalizzare i contenuti di rilevamento attraverso ambienti SIEM, EDR, XDR e Data Lake.
Prime Architect può ulteriormente assistere gli ingegneri di rilevamento trasformando l’intelligence sulle minacce emergenti in logica di rilevamento, query di ricerca e regole specifiche per l’ambiente, mentre Prime Hunt consente indagini retrospettive attraverso la telemetria organizzativa.
Analisi CVE-2026-104935
CVE-2026-104935 interessa versioni specifiche di Ivanti Connect Secure e combina due debolezze utilizzate dagli attaccanti per passare da una richiesta web non autenticata all’esecuzione di codice arbitrario nel contesto dell’account cgi-server.
La vulnerabilità è classificata come un bypass di autenticazione per spoofing sotto CWE-290. Secondo Ivanti, il problema può essere sfruttato a distanza senza credenziali o interazione dell’utente e ha un punteggio CVSS di 8.6.
Volexity ha ricostruito la catena di sfruttamento mentre indagava su un appliance che eseguiva Ivanti Connect Secure 22.8R2.4, Build 19097. Il dispositivo era considerato completamente aggiornato quando l’attività malevola è iniziata il 3 ottobre 2026. I ricercatori hanno iniziato l’indagine sull’incidente il 5 ottobre e successivamente hanno lavorato con Ivanti per analizzare memoria, immagini del disco e i core dumps dal sistema colpito.
La prima fase abusa del comportamento di routing delle richieste associato al punto finale /dana-na/auth/url_default/welcome.cgi accessibile pubblicamente. Gli attaccanti possono fornire un’intestazione HTTP X-DSCGI-PATH che punta a una risorsa CGI che normalmente richiederebbe autenticazione.
La decisione di sicurezza si basa sull’URL pubblico mentre l’intestazione controlla lo script effettivo che riceve la richiesta. Questa discrepanza consente a un attaccante di indirizzare richieste non autenticate verso funzionalità CGI protette.
UTA0576 ha utilizzato questo meccanismo per raggiungere wu.cgi, un gestore di upload contenente la seconda vulnerabilità. L’attaccante ha inviato uno script Perl malevolo mascherato con un’estensione .zip. Il gestore ha temporaneamente scritto il contenuto caricato su /home/runtime/tmp/ prima di verificare se il file fosse un archivio ZIP valido.
Sebbene un file non valido sia stato successivamente cancellato, gli attaccanti hanno sfruttato il breve periodo tra la creazione del file e la rimozione. Richieste parallele che facevano riferimento al file temporaneo tramite X-DSCGI-PATH hanno consentito al payload Perl di essere eseguito prima della cancellazione.
Il payload iniziale ha lanciato Bash e quindi uno stage Python codificato che esisteva principalmente in memoria. A questo punto, l’attaccante ha ottenuto l’esecuzione di codice come account cgi-server con privilegi inferiori.
Per aumentare i privilegi, UTA0576 ha concatenato un altro zero-day che coinvolgeva il servizio privilegiato dsinvoked e il negozio di configurazione DSCache. Gli attaccanti hanno modificato la copia in memoria di una libreria Ivanti, cambiato la configurazione di un compito di manutenzione privilegiato e fatto sì che dsinvoked eseguisse codice Perl controllato dall’attaccante come root.
Dopo aver ottenuto l’accesso root, l’exploit ha ripristinato la configurazione in memoria modificata e lo stato della libreria. Ha anche rimosso voci pertinenti dai registri di debug di Ivanti e dai registri di audit Linux, riducendo significativamente gli artefatti forensi disponibili sul disco.
Questo comportamento è particolarmente significativo perché lo Strumento di Controllo dell’Integrità di Ivanti si concentra sull’identificazione di cambiamenti imprevisti del file. Poiché parti di questo exploit modificano il codice solo in memoria e successivamente ripristinano le modifiche temporanee alla configurazione, Volexity ha scoperto che l’attacco potrebbe eludere il rilevamento dello strumento.
Gli attaccanti inoltre non hanno installato una web shell convenzionale persistente o un backdoor di primo livello. Invece, UTA0576 ha eseguito ripetutamente l’intera catena di sfruttamento ogniqualvolta fosse necessario eseguire un altro comando e ha restituito l’output del comando direttamente tramite il traffico HTTPS dell’exploit.
L’attività post-sfruttamento si è concentrata pesantemente su credenziali e Active Directory. Volexity ha osservato gli attaccanti estrarre credenziali memorizzate sull’appliance VPN, interrogare Active Directory, cercare password LAPS e chiavi di recupero BitLocker, eseguire password spraying, ispezionare i registri di autenticazione e raccogliere traffico LDAP.
L’attore della minaccia ha anche utilizzato strumenti Python e Kerberos personalizzati per testare credenziali e accedere ad attributi sensibili della directory. I file associati alla ricognizione e alla raccolta delle credenziali sono stati temporaneamente posizionati sotto /tmp/ prima dell’esfiltrazione e della pulizia.
L’attribuzione rimane incerta. Volexity traccia l’attore come UTA0576 e valuta con bassa fiducia che la sua motivazione possa essere criminale piuttosto che di spionaggio. I ricercatori hanno inoltre valutato con fiducia media che l’attore potrebbe aver utilizzato modelli linguistici di grandi dimensioni per assistere lo sviluppo dell’exploit o l’attività post-sfruttamento, basandosi sulle caratteristiche operative dell’intrusione.
Non è stato identificato un PoC CVE-2026-104935 ampiamente disponibile e validato nelle fonti principali esaminate al momento della pubblicazione. Tuttavia, Volexity ha pubblicato dettagli tecnici sostanziali sulla catena di attacco, il che significa che le organizzazioni dovrebbero presumere che attori aggiuntivi possano tentare di riprodurre la tecnica.
Per rilevare CVE-2026-104935, i difensori dovrebbero monitorare volumi elevati di richieste a /dana-na/auth/url_default/welcome.cgi, specialmente quando l’intestazione X-DSCGI-PATH fa riferimento a un’altra risorsa CGI o a un file temporaneo.
Mitigazione CVE-2026-104935
Ivanti ha rilasciato correzioni per i componenti di bypass dell’autenticazione e RCE coperti dal CVE. Le organizzazioni che eseguono versioni di Connect Secure affette dovrebbero aggiornare immediatamente piuttosto che fare affidamento solo su controlli di integrità.
La guida alla sicurezza di ottobre di Ivanti identifica le versioni corrette su tutti i branch supportati, tra cui 22.8R2.5, 25.1.1.2, 25.1.3.0, e 25.1.3.1, a seconda della linea di codice distribuita. Ivanti raccomanda di passare al branch 25.x il prima possibile poiché la linea di codice 22.x è prossima al fine vita.
La vulnerabilità separata di escalation dei privilegi utilizzata nella catena osservata dei tre zero-day non era ancora stata corretta quando Volexity ha pubblicato la sua analisi il 13 ottobre. Ivanti stava preparando una patch per un futuro rilascio. Ciò rende particolarmente importante l’installazione delle correzioni per CVE-2026-104935 poiché bloccando il bypass iniziale dell’autenticazione e l’RCE si impedisce agli attaccanti di raggiungere lo stadio necessario per sfruttare l’escalation di privilegi locale.
Le organizzazioni dovrebbero anche continuare ad eseguire lo Strumento di Controllo dell’Integrità di Ivanti, come raccomandato dal fornitore, ma non dovrebbero trattare un risultato pulito come prova definitiva che lo sfruttamento non si è verificato. Ivanti stesso raccomanda di combinare aggiornamenti e controlli di integrità con monitoraggio di rete, revisione dei log, controlli di accesso e convalida continua degli appliance.
Per rilevare lo sfruttamento di CVE-2026-104935, i difensori dovrebbero ispezionare la telemetria HTTP per individuare discrepanze tra l’URL richiesto e il valore dell’intestazione X-DSCGI-PATH. Valori particolarmente sospetti osservati da Volexity includono percorsi che fanno riferimento a wu.cgi o file sotto /home/runtime/tmp/.
I team di sicurezza dovrebbero anche ispezionare /tmp/ per script inspiegabili o artefatti di ricognizione e indagare su attività inaspettate provenienti dall’appliance VPN indirizzate a Active Directory, servizi LDAP, infrastruttura DNS o sistemi di autenticazione interni.
Gli IOC CVE-2026-104935 conosciuti dall’incidente indagato includono l’indirizzo IP controllato dall’attaccante 108.165.147[.]64, attività sospetta coinvolgente /data/.icscap/, e richieste ripetute mirate al percorso CGI di benvenuto esposto. Questi indicatori dovrebbero essere utilizzati insieme al rilevamento comportamentale poiché gli attaccanti possono facilmente ruotare l’infrastruttura o modificare i nomi di file temporanei.
Le organizzazioni che identificano segni di compromissione dovrebbero condurre forense di rete e di memoria piuttosto che affidarsi esclusivamente all’esame su disco. Le credenziali memorizzate o accessibili attraverso l’appliance dovrebbero essere considerate potenzialmente esposte, incluse le credenziali del servizio LDAP, e dovrebbero essere ruotate dopo il contenimento.
I difensori dovrebbero inoltre indagare su Active Directory per query LDAP sospette, password spraying, accesso a attributi di recupero LAPS o BitLocker, attività anomale Kerberos, e movimento laterale originato dall’appliance VPN.
CISA ha aggiunto la falla al suo catalogo di Vulnerabilità Conosciute Sfruttate il 13 ottobre 2026, stabilendo una scadenza per la mitigazione al 16 ottobre per le agenzie civili federali statunitensi applicabili. Questo conferma che le organizzazioni dovrebbero trattare la patch come una priorità urgente piuttosto che attendere una sfruttamento più ampio.
La Piattaforma di Rilevamento Intelligenza AI-Nativa di SOC Prime può aiutare i team di sicurezza a operazionalizzare questa intelligence sulle minacce, a cercare comportamenti correlati e ad adattare i rilevamenti alla telemetria di rete, identità e endpoint disponibile.
FAQ
Cos’è CVE-2026-104935 e come funziona?
CVE-2026-104935 è una vulnerabilità sfruttata attivamente in Ivanti Connect Secure che copre una catena di bypass dell’autenticazione ed esecuzione di codice remoto. Gli attaccanti possono manipolare il comportamento di routing delle richieste per accedere a un gestore CGI protetto senza autenticazione e sfruttare la gestione di file temporanei per eseguire codice malevolo come l’account cgi-server. Negli attacchi osservati, questo è stato combinato con un altro zero-day di escalation dei privilegi per ottenere l’accesso a livello root.
Quando è stato scoperto per la prima volta CVE-2026-104935?
Ivanti ha dichiarato che il suo team di sicurezza dei prodotti aveva precedentemente identificato parte della vulnerabilità e ha incluso la protezione nella versione 25.1.3.0 a luglio 2026. Volexity ha scoperto in modo indipendente lo sfruttamento attivo mentre indagava su attività sospette il 5 ottobre, determinando che gli attacchi erano iniziati il 3 ottobre. Ivanti ha divulgato pubblicamente la vulnerabilità e confermato uno sfruttamento limitato il 13 ottobre 2026.
Qual è l’impatto di CVE-2026-104935 sui sistemi?
Lo sfruttamento riuscito consente a un attaccante remoto non autenticato di eseguire codice su un’appliance Ivanti Connect Secure colpita. Quando concatenato con il difetto di escalation dei privilegi separato osservato da Volexity, gli attaccanti possono ottenere privilegi di root. Nell’incidente indagato, UTA0576 ha rubato credenziali, interrogato Active Directory, cercato password LAPS e chiavi di recupero BitLocker, catturato dati LDAP e preparato per un possibile movimento laterale.
CVE-2026-104935 può ancora influenzarmi nel 2026?
Sì. Le appliance Ivanti Connect Secure vulnerabili che non sono state aggiornate rimangono a rischio immediato perché lo sfruttamento è stato confermato in natura. CISA ha aggiunto la vulnerabilità al suo catalogo KEV, mentre Ivanti esorta i clienti che eseguono versioni impattate ad aggiornare senza indugio.
Come posso proteggermi da CVE-2026-104935?
Aggiorna Ivanti Connect Secure alla versione corretta applicabile immediatamente, continua a eseguire lo Strumento di Controllo dell’Integrità e monitora il traffico di rete e i log per comportamenti di routing richieste sospetti. Poiché lo sfruttamento osservato può minimizzare gli artefatti su disco, le organizzazioni con esposizione sospetta dovrebbero condurre forense di memoria e rete e ruotare le credenziali potenzialmente compromesse. Gli amministratori dovrebbero continuare a rivedere la guida del fornitore per dettagli aggiornati su CVE-2026-104935, incluse le correzioni in sospeso per la vulnerabilità separata di escalation dei privilegi.
