Cyber alert per PMI svizzere: Ivanti Connect Secure – falla VPN sfruttata per eseguire comandi senza autenticazione
Ivanti segnala CVE-2026-104935 in Connect Secure, un gateway VPN utilizzato per l’accesso remoto sicuro. Da Internet, un aggressore può far eseguire comandi a un sistema vulnerabile senza autenticarsi; lo sfruttamento è stato confermato.
Se l’azienda o il suo fornitore IT utilizza Ivanti Connect Secure, chiedete oggi stesso di verificare versione, aggiornamenti e possibili tracce di compromissione.
Che cosa è successo?
Ivanti ha pubblicato l’avviso il 13 ottobre 2026 e ha confermato attacchi contro un numero limitato di clienti. Lo stesso giorno, CISA ha inserito la falla nel catalogo delle vulnerabilità sfruttate attivamente. Volexity ha osservato attacchi già dal 3 ottobre contro un sistema che in quel momento era completamente aggiornato e utilizzava la versione 22.8R2.4.
La mia azienda potrebbe essere interessata?
L’azienda può essere esposta se Ivanti Connect Secure fornisce l’accesso VPN a collaboratori o partner esterni, anche quando l’appliance è gestita da un fornitore IT. Sono interessate le versioni 25.1.1.1 e precedenti della stessa linea, 25.1.2.2 e precedenti della stessa linea, nonché 22.8R2.4 e precedenti della stessa linea. Secondo Ivanti, le versioni 22.7.x e precedenti non contengono questa vulnerabilità.
Che cosa fare adesso?
Chiedete subito al fornitore IT di occuparsi di tre punti:
Confermare se Ivanti Connect Secure è in uso e identificare la versione installata.
Aggiornare senza indugio alla release corretta per la linea interessata.
Cercare segnali di compromissione anche dopo l’aggiornamento e, in caso di sospetto, seguire le indicazioni Ivanti per il ripristino e l’analisi forense.
Quanto è urgente?
Urgenza molto elevata – intervenire oggi. La falla viene sfruttata attivamente, è raggiungibile via rete senza credenziali e riguarda un gateway VPN al perimetro della rete aziendale. Non è opportuno attendere la prossima finestra di manutenzione ordinaria.
Informazioni per il fornitore IT
CVE-2026-104935 è un bypass dell’autenticazione che porta all’esecuzione di comandi e ha un punteggio CVSS di 8.6. Ivanti indica le seguenti versioni corrette:
25.1.1.1 e precedenti della stessa linea → 25.1.1.2
25.1.2.2 e precedenti della stessa linea → 25.1.3.0 o 25.1.3.1
22.8R2.4 e precedenti della stessa linea → 22.8R2.5
La catena di attacco osservata sfruttava inoltre una vulnerabilità separata di escalation dei privilegi fino a root; al momento della pubblicazione, Ivanti aveva annunciato un ulteriore aggiornamento per questo problema. Volexity segnala anche che Ivanti Integrity Checker può non rilevare la catena eseguita in memoria: in caso di sospetto sono necessarie analisi forensi della rete e della memoria.
