Ivanti avverte di vulnerabilità zero-day in Connect Secure

Attori minacciosi non autorizzati possono sfruttare la vulnerabilità in attacchi di bassa complessità senza necessità di interazione dell'utente, eseguendo comandi arbitrari sugli apparecchi ICS.

"Al momento della divulgazione, Ivanti è a conoscenza di un limitato utilizzo in corso. Stiamo collaborando direttamente con le organizzazioni coinvolte e mettiamo a disposizione informazioni, aggiornamenti e rimedi per l'intera community di clienti. Se si utilizza una delle versioni interessate, è necessario agire immediatamente," ha dichiarato Ivanti.

"I clienti devono consultare l'avviso di sicurezza, passare alla versione corretta il prima possibile e utilizzare regolarmente lo strumento di controllo integrità."

Shadowserver monitora più di 5.500 istanze ICS esposte online, ma non sono disponibili dati sul numero di honeypot o su quante siano già state protette.

L'exploit è stato osservato almeno dal 1° ottobre.

Volexity ha rivelato che un gruppo di minacce, identificato come UTA0576, ha combinato la vulnerabilità con altre due falle per ottenere esecuzione di codice root non autenticata su dispositivi completamente patchati.

"In particolare, UTA0576 non ha distribuito malware né web shell, ma ha riutilizzato il dispositivo per ogni comando eseguito e ha manipolato i log per nascondere le proprie tracce, eludendo lo strumento di controllo integrità."

Ivanti ha corretto due vulnerabilità, ma continua a lavorare su un problema di escalation di privilegi.

Defused ha confermato i risultati di Volexity, rilevando i primi segni di sfruttamento a partire dal 1° ottobre.

Gli aggressori hanno spesso sfruttato vulnerabilità di Ivanti, soprattutto zero-day, per infiltrarsi rapidamente in reti aziendali e rubare dati.

Ivanti ha già corretto diverse altre vulnerabilità zero-day di Connect Secure, alcune delle quali sono state impiegate in attacchi su larga scala per distribuire malware.

Le correzioni includono un bypass dell'autenticazione (CVE-2023-46805) e un comando di iniezione (CVE-2024-21887) a gennaio 2024, e una richiesta server-side per forzare (CVE-2024-21893) due settimane dopo.

Nel gennaio 2025 è stato risolto un vulnerabilità di esecuzione remota (CVE-2025-0282) e una seconda (CVE-2025-22457) sfruttata da gruppi legati alla Cina a partire da metà marzo 2025.

CISA ha segnalato 36 vulnerabilità di Ivanti come attivamente sfruttate dal novembre 2021, di cui 12 sono state abusate da gruppi di ransomware.

Ivanti conta più di 3.000 dipendenti, 7.000 partner e 40.000 clienti globali.

Una volta ottenuti credenziali valide, solo il 37% delle azioni degli aggressori viene bloccato.

I punteggi di prevenzione possono nascondere le attività successive all'accesso iniziale.

Il Blue Report 2026 valuta le difese tecniche attraverso 338 milioni di simulazioni nelle ambientazioni di produzione dei clienti.