Vulnerabilità · 1 giorno fa
Ivanti Connect Secure è al centro di un zero-day già sfruttato: CVE-2026-104935 colpisce le installazioni fino a prima della 25.1.3.0 e CISA ha fissato la remediation per il 16 ottobre 2026. Per chi usa il prodotto come front door del remoto, la falla non resta confinata all’appliance: può diventare un accesso iniziale alla rete che protegge.
La debolezza permette di farsi passare per un utente autenticato senza aver fatto login, così il gateway accetta la richiesta e lascia eseguire comandi come se fossero legittimi. In pratica saltano password e MFA, perché il controllo si rompe già all’ingresso. Su un VPN edge, questo significa che il punto pensato per filtrare l’accesso può trasformarsi nel punto da cui si entra.
Il quadro conta oltre Ivanti: ogni access gateway trattato come semplice server rischia di essere sottovalutato nella risposta. Qui la comprensione giusta è che il perimetro compromesso eredita fiducia e visibilità sulla rete interna, quindi il danno potenziale è più ampio del singolo dispositivo.
Pubblicato da Ivanti, 13 ott
Sfruttamento noto · CISA KEV
CVSS 8.6 HIGH: authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands.
Data di correzione federale CISA 16 ott
1 fonte che coprono questa storia
The Q3 Vulnerability Pulse: Discovery ≠ Exploitation
Is the cybersecurity world really facing a "Bugmageddon?" Thor breaks down the latest CVE and KEV trends in the latest Threat Source newsletter.
Part of the PlainSec briefing for 2026-10-16