CVE-2026-111357 Connect Secure: vulnerabilità Ivanti sfruttata, come verificare e aggiornare

Se la tua azienda usa Ivanti Connect Secure come VPN, devi aggiornare subito. La vulnerabilità CVE-2026-111357 è sfruttata attivamente, è nel catalogo KEV di CISA dal 30 ottobre 2026 e viene usata in catena con altre due falle per eseguire comandi sull'appliance senza credenziali. Qui trovi cosa è successo, quali versioni sono colpite, come verificare la tua installazione, come aggiornare e cosa fare se temi che l'attacco sia già avvenuto.

Cosa è successo: la vulnerabilità CVE-2026-111357 in Ivanti Connect Secure

CVE-2026-111357 è una falla di tipo missing authentication for critical function: una funzione critica del sistema non richiede l'autenticazione che dovrebbe richiedere. Da sola permette a un utente locale già autenticato di elevare i propri privilegi. Il problema è che non viene usata da sola. Ivanti e CISA indicano che è concatenabile con CVE-2026-104935 e CVE-2026-118527. La catena completa consente a un attaccante remoto e non autenticato di eseguire comandi arbitrari sull'appliance. CISA segnala che gli attaccanti la stanno usando per rubare credenziali ed esfiltrare dati.

Chi è colpito: versioni vulnerabili di Ivanti Connect Secure

Secondo l'alert CISA aggiornato il 30 ottobre 2026, sono interessate le versioni di Ivanti Connect Secure:

• 25.1.1.2 e precedenti
• 25.1.2.2 e precedenti
• 22.8R2.5 e precedenti

Vale sia per appliance fisiche sia per appliance virtuali. Attenzione al ramo 22.8: raggiunge il fine vita il 31 gennaio 2027. Se sei ancora lì, questo è il momento di pianificare la migrazione al ramo 25.x, non solo la patch.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il punteggio CVSS per CVE-2026-111357 non è ancora stato assegnato. Non lasciarti ingannare dall'assenza del numero: la gravità la dà il contesto.

• È nel catalogo CISA KEV, quindi lo sfruttamento in rete è confermato.
• CISA ha imposto alle agenzie federali USA di rimediare entro il 2 novembre 2026, tre giorni dalla pubblicazione. È una scadenza molto stretta.
• Isolata produce una escalation di privilegi; in catena produce esecuzione remota di comandi senza autenticazione, seguita da furto di credenziali ed esfiltrazione.
• L'uso in campagne ransomware è indicato come sconosciuto, non come escluso.

Un concentratore VPN è per definizione esposto su internet e custodisce le credenziali di accesso alla rete interna. È il bersaglio peggiore da perdere.

Come capire se sei esposto: verifica versione, esposizione e log

Versione installata

Accedi alla console di amministrazione dell'appliance e leggi la versione del software nella pagina di stato del sistema (menu System, voce Status). Confrontala con l'elenco sopra. Se rientra nelle versioni indicate come vulnerabili, considera l'appliance esposta.

Esposizione su internet

Un Connect Secure in produzione risponde quasi sempre sulla porta 443 pubblica. Verifica dall'esterno con una scansione del tuo IP pubblico, per esempio nmap -p 443 IP_PUBBLICO da una rete diversa da quella aziendale, oppure controlla il tuo indirizzo su servizi come Shodan o Censys. Se il portale è raggiungibile, chiunque poteva tentare la catena di exploit.

Log e indicatori

Nella sezione System > Log/Monitoring esamina i registri Events, User Access e Admin Access. Cerca accessi amministrativi da IP sconosciuti, account amministratore creati di recente, modifiche alla configurazione che nessuno ricorda, cali o interruzioni dei log, connessioni in uscita verso destinazioni insolite dal firewall perimetrale. Ivanti mette a disposizione l'Integrity Checker Tool, ma CISA avverte che potrebbe non rilevare lo sfruttamento di CVE-2026-104935 perché i comandi vengono eseguiti in memoria. Un esito negativo non è una garanzia. Per accertare una compromissione servono analisi forensi di rete e di memoria.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

Ivanti ha rilasciato versioni corrette e CISA chiede di aggiornare immediatamente all'ultima versione disponibile, seguendo il Security Advisory Ivanti Connect Secure (CVE-2026-104935), che copre anche CVE-2026-111357. I numeri esatti delle release corrette vanno verificati sull'advisory del produttore linkato in fondo, perché possono differire tra i rami 25.1.1, 25.1.2 e 22.8.

Prima di aggiornare, consulta la Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide per i percorsi di aggiornamento supportati tra appliance hardware e virtuali. Il pacchetto si scarica dal portale Ivanti e si applica dalla console di amministrazione nella sezione di manutenzione del sistema. Fai prima un backup della configurazione.

Se non puoi applicare le mitigazioni, l'indicazione di CISA è esplicita: interrompere l'uso del prodotto finché non è messo in sicurezza. Per una PMI significa spegnere la VPN o chiuderla verso internet e trovare un accesso remoto alternativo nel frattempo.

Cosa fare subito: mitigazioni e hardening

In ordine di priorità:

1. Aggiorna all'ultima versione indicata da Ivanti. Tutto il resto è temporaneo.
2. Se non puoi aggiornare oggi, limita l'esposizione: restringi l'accesso al portale VPN sul firewall ai soli IP necessari, oppure disattivalo.
3. Ruota le credenziali che transitano o sono salvate sull'appliance: account amministratore locali, account di dominio usati per l'autenticazione, chiavi API, credenziali verso il license server.
4. Segmenta: l'appliance non deve avere visibilità piena della rete interna. Limita con VLAN e regole firewall ciò che un utente VPN può raggiungere.
5. Monitora i log dell'appliance e del firewall per le prossime settimane, con attenzione al traffico in uscita.
6. Pianifica l'uscita dal ramo 22.8 prima del 31 gennaio 2027.

Chi gestisce apparati perimetrali di altri produttori dovrebbe tenere lo stesso approccio: ho descritto un caso analogo per Cisco ASA e FTD.

Se sospetti una compromissione: incident response e analisi forense

Se trovi indicatori sospetti, o se l'appliance è rimasta esposta e vulnerabile per giorni, tratta il caso come un incidente. Prima di toccare qualsiasi cosa:

• Non spegnere l'appliance e non eseguire il factory reset di impulso. Le tracce dell'exploit vivono in memoria e il riavvio le cancella.
• Preserva i log: esporta i registri dell'appliance, del firewall e dell'autenticazione su un supporto separato.
• Se possibile, acquisisci la memoria e la configurazione con metodo forense, in modo da poter ricostruire cosa è stato fatto e quali credenziali sono state prese. È lo stesso principio della copia forense di un computer: prima si fissa la prova, poi si bonifica.
• Valuta la notifica al Garante privacy entro 72 ore se sono coinvolti dati personali (GDPR) e gli eventuali obblighi NIS2 se la tua azienda rientra nel perimetro.

Solo dopo si passa alla bonifica indicata da CISA nelle Ivanti Connect Secure Recovery Procedures: backup della configurazione, factory reset e aggiornamento all'ultima versione (ricostruzione dell'istanza per le virtuali), ripristino della configurazione, reset di tutte le password inclusi account di dominio e locali, revoca e riemissione dei certificati, reset di chiavi API e credenziali del license server.

Seguo questo tipo di interventi in prima persona, dall'acquisizione delle prove alla bonifica e alla relazione tecnica. Un incidente di questo tipo rientra nel servizio di incident response, con preventivo fisso tra 1.500 e 6.000 € a seconda dell'estensione; un audit di sicurezza preventivo dell'infrastruttura va da 2.000 a 8.000 €.

Fonti ufficiali

• NVD: CVE-2026-111357
• Ivanti Security Advisory: Connect Secure (CVE-2026-104935)
• CISA Alert: patching delle vulnerabilità sfruttate in Ivanti Connect Secure
• CISA BOD 26-04: Prioritizing Security Updates Based on Risk
• CISA BOD 26-04: Implementation Guidance

Hai un Connect Secure esposto e non sai da dove partire?

Se gestisci un Ivanti Connect Secure e vuoi una verifica indipendente dell'esposizione, un supporto nell'aggiornamento o un'analisi forense dopo un sospetto accesso, posso aiutarti. Lavoro di persona a Varese, Como e Milano, da remoto in tutta Italia. Richiedi un preventivo gratuito, rispondo entro 24 ore, oppure scrivimi dalla pagina contatti, anche su WhatsApp.