Su Ivanti Connect Secure, due falle aggiunte da CISA al catalogo KEV completano una catena già osservata che raggiunge root senza credenziali. Volexity ha documentato l’uso della catena insieme a CVE-2026-104935, la falla che aggira l’autenticazione.
Il bypass consente di superare il login; le altre due falle permettono di caricare contenuti in una posizione nota e poi elevare i privilegi fino a root. Volexity ha osservato UTA0576 usare l’accesso per estrarre credenziali, metadati di Active Directory e chiavi di ripristino BitLocker. Ivanti corregge le falle nelle versioni 25.1.1.3 e 22.8R2.6.
La correzione delle due nuove falle, da sola, non descrive l’intera esposizione: la catena comprende anche CVE-2026-104935 e può aver raggiunto segreti accessibili dall’appliance. Un accesso root può quindi lasciare conseguenze anche dopo la correzione del prodotto.
CVSS 8.6 HIGH: authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands.
Data di correzione federale CISA 16 ott · data superata