Ivanti Connect Secure sotto attacco con tre zero-day, Microsoft corregge il blocco di Smart App Control

🛡️ Executive Summary

• Ivanti Connect Secure: tre vulnerabilità concatenate consentono agli attaccanti di superare l’autenticazione, eseguire codice e ottenere privilegi root sui gateway VPN.
• Attacchi confermati: Volexity documenta le operazioni di UTA0576, mentre CISA inserisce tutte e tre le vulnerabilità nel catalogo KEV.
• Windows 11: Microsoft corregge con KB5127936 il problema introdotto dall’aggiornamento di ottobre che impediva ad alcuni utenti di riattivare Smart App Control.

Tre vulnerabilità zero-day già sfruttate contro Ivanti Connect Secure e un aggiornamento di Windows 11 che ha temporaneamente impedito l’attivazione di una protezione contro le applicazioni malevole riportano al centro dell’attenzione la sicurezza delle infrastrutture aziendali. Il 2 novembre 2026 emergono due sviluppi distinti: Ivanti completa le correzioni di una catena di attacco capace di ottenere privilegi root sui gateway VPN, mentre Microsoft conferma la risoluzione del malfunzionamento di Smart App Control introdotto con il Patch Tuesday di ottobre. Nel primo caso esistono evidenze di intrusioni reali, furto di credenziali e tentativi di raggiungere le risorse interne delle organizzazioni; nel secondo si tratta di un problema di funzionamento della protezione Windows, non di uno sfruttamento malevolo documentato. Le vicende non sono collegate, ma evidenziano quanto sia delicato il rapporto tra aggiornamenti di sicurezza, continuità operativa e capacità delle aziende di mantenere effettivamente protetti i propri sistemi.

Ivanti corregge altre due vulnerabilità dopo gli attacchi contro Connect Secure

Ivanti ha rilasciato nuove correzioni per CVE-2026-111357 e CVE-2026-118527, due vulnerabilità utilizzate insieme a CVE-2026-104935 per compromettere i gateway di accesso remoto Connect Secure. Quest’ultima falla, corretta il 13 ottobre, permette di aggirare l’autenticazione e raggiungere componenti normalmente protetti dell’appliance. Le altre due debolezze completano il percorso offensivo: CVE-2026-111357 interessa l’escalation dei privilegi attraverso il servizio dsinvoked, mentre CVE-2026-118527 consente, in determinate condizioni, il caricamento di file controllati da un attaccante autenticato. Concatenando i problemi, gli operatori ostili possono trasformare una richiesta proveniente dall’esterno in un’esecuzione di codice con privilegi root, senza possedere inizialmente credenziali valide. La decisione di Ivanti di correggere prima il bypass dell’autenticazione e successivamente gli altri due difetti risponde alla necessità di chiudere rapidamente il principale punto d’ingresso degli attacchi. L’azienda aveva già riconosciuto uno sfruttamento limitato delle vulnerabilità e sollecitato l’aggiornamento delle appliance esposte. Il nuovo intervento completa quindi una risposta iniziata a metà ottobre, quando il rischio era stato già analizzato nell’approfondimento sulle vulnerabilità di Ivanti Connect Secure e le prime misure urgenti.

UTA0576 sfrutta gli zero-day per raggiungere credenziali e Active Directory

La gravità della vicenda emerge dalla ricerca originale pubblicata da Volexity, che ha identificato un attore sconosciuto, denominato UTA0576, impegnato a sfruttare la catena di vulnerabilità almeno dal 3 ottobre 2026. L’indagine è iniziata dopo la scoperta di attività sospette su un’appliance Ivanti Connect Secure 22.8R2.4, che al momento dell’intrusione risultava completamente aggiornata. Gli attaccanti utilizzavano il bypass dell’autenticazione per raggiungere funzioni CGI protette e sfruttavano il comportamento del caricamento dei file per eseguire temporaneamente codice sul dispositivo. Successivamente manipolavano in memoria i dati utilizzati da un servizio privilegiato, ottenendo l’esecuzione di comandi come root. Una volta raggiunto il controllo del gateway, l’interesse si è spostato verso le credenziali LDAP, le informazioni di Active Directory, le password degli amministratori locali conservate tramite LAPS e le chiavi di recupero BitLocker. Sono stati osservati anche tentativi di password spraying, ricognizione della rete e raccolta delle configurazioni VPN. Si tratta di attività compatibili con la preparazione di un movimento laterale, nel quale la compromissione del dispositivo perimetrale serve a raggiungere sistemi e identità collocati all’interno dell’organizzazione. Volexity non ha tuttavia attribuito con certezza l’operazione a un gruppo statale specifico.

Gli hacker evitano malware persistenti e cancellano le tracce degli attacchi

Un particolare distingue UTA0576 da numerose campagne precedenti contro apparati VPN: gli operatori non hanno installato una tradizionale web shell o una backdoor persistente. Per ogni comando eseguivano nuovamente la catena di exploit, sfruttando richieste HTTPS per trasmettere istruzioni e ricevere i risultati. Parte del codice veniva eseguita direttamente in memoria, mentre le modifiche temporanee alle configurazioni venivano ripristinate dopo l’utilizzo. Gli attaccanti eliminavano inoltre le registrazioni delle proprie attività dai log di debug Ivanti e dai registri di audit Linux, rendendo più difficile ricostruire la compromissione. Questo comportamento spiega perché l’Integrity Checker Tool di Ivanti potrebbe non individuare l’intrusione: un controllo che cerca alterazioni persistenti dei file può non rilevare attività eseguite esclusivamente in memoria e successivamente cancellate. Volexity ha dovuto analizzare immagini della memoria, dati del filesystem e core dump per individuare il percorso utilizzato dagli aggressori. Per le organizzazioni interessate, la conseguenza è importante: installare la patch non equivale a dimostrare che l’appliance non sia stata compromessa prima dell’aggiornamento. In presenza di indicatori sospetti è necessaria un’indagine forense che verifichi anche eventuali accessi alle identità aziendali.

Leggi anche: CISA aggiorna il KEV: due falle Ivanti sfruttate negli attacchi.

CISA conferma lo sfruttamento e chiede di verificare le appliance VPN

La Cybersecurity and Infrastructure Security Agency statunitense ha inserito CVE-2026-104935 nel catalogo Known Exploited Vulnerabilities il 13 ottobre, aggiungendo CVE-2026-111357 e CVE-2026-118527 il 30 ottobre. L’inclusione nel catalogo non rappresenta una semplice valutazione teorica, ma indica che esistono evidenze di sfruttamento effettivo. Nella comunicazione di sicurezza della CISA vengono indicate come interessate le versioni 25.1.1.2 e precedenti, 25.1.2.2 e precedenti e 22.8R2.5 e precedenti, con l’invito ad adottare le release correttive previste per ciascun ramo. Per i dispositivi sospettati di compromissione, le indicazioni vanno oltre l’aggiornamento: comprendono il salvataggio della configurazione, il ripristino o la ricostruzione dell’appliance e la sostituzione delle credenziali potenzialmente esposte, inclusi certificati e chiavi API. Il rischio è amplificato dalla collocazione dei gateway Connect Secure, normalmente raggiungibili da Internet per consentire il lavoro remoto. Secondo le rilevazioni di Shadowserver riportate da BleepingComputer, risultano esposte oltre 5.000 istanze del prodotto, ma il numero non dimostra quante siano effettivamente vulnerabili o già compromesse. La priorità per gli amministratori è quindi distinguere l’esposizione pubblica del servizio dalla sua reale condizione di sicurezza.

Microsoft corregge Smart App Control dopo il Patch Tuesday di ottobre

Il secondo sviluppo interessa Windows 11 e nasce da un problema introdotto con KB5127648, l’aggiornamento di sicurezza distribuito il 13 ottobre 2026. Microsoft ha riconosciuto che, su alcuni dispositivi, la funzione Smart App Control non poteva più essere riattivata dopo essere stata disabilitata. Nella schermata Sicurezza di Windows l’opzione risultava inattiva, impedendo all’utente di modificarne lo stato. La funzione utilizza controlli di integrità del codice e servizi di valutazione delle applicazioni per bloccare programmi e componenti potenzialmente dannosi, operando insieme ad altre difese del sistema operativo. Il problema non riguardava i computer sui quali Smart App Control era già abilitato, che continuavano a mantenere la protezione attiva. L’anomalia interessava invece la possibilità di riaccenderla sui dispositivi coinvolti, creando una difficoltà per gli utenti e gli amministratori che avevano necessità di ripristinare quel livello di sicurezza. La correzione è stata inserita nell’aggiornamento facoltativo KB5127936 del 28 ottobre 2026, come confermato nella documentazione ufficiale Microsoft.

KB5127936 risolve il blocco su Windows 11 25H2 e 26H2

L’aggiornamento KB5127936 è disponibile come anteprima cumulativa per Windows 11 25H2 e 26H2 e corregge l’impossibilità di attivare Smart App Control sui dispositivi interessati. La distinzione tra le versioni è importante: Windows 11 24H2 non riceve questa specifica anteprima, e per gli amministratori che devono intervenire su sistemi 24H2 o che preferiscono non distribuire immediatamente aggiornamenti facoltativi rimangono disponibili le procedure alternative documentate da Microsoft. Una delle soluzioni consiste nell’applicare due modifiche ai criteri del registro di sistema, con i valori 2883193997 e 2850574478, nella sezione dedicata agli override di Feature Management, seguite dal riavvio del dispositivo. In alternativa, negli ambienti aziendali sono disponibili appositi criteri di gruppo che consentono di ripristinare il controllo della funzionalità e attivare la registrazione diagnostica. Trattandosi di modifiche che interessano componenti di sicurezza del sistema operativo, Microsoft raccomanda di eseguire preventivamente il backup del registro e di applicare le procedure in modo controllato. Per i dispositivi compatibili con la correzione, l’installazione dell’aggiornamento risulta invece la strada ordinaria, evitando interventi manuali sulle impostazioni di sistema.

Gli aggiornamenti Windows risolvono problemi ma richiedono verifiche operative

La vicenda Smart App Control si inserisce in un ottobre complesso per la manutenzione di Windows 11. Lo stesso aggiornamento KB5127936 interviene anche su malfunzionamenti relativi al Desktop remoto, che poteva impedire la connessione agli utenti non amministratori quando era attiva la protezione dell’amministratore, e su problemi delle connessioni Always On VPN emersi dopo gli aggiornamenti di settembre. La questione delle VPN aveva già richiesto chiarimenti da Microsoft, come ricostruito nell’approfondimento su Windows Server 2025 e i problemi degli aggiornamenti Windows 11. Per chi gestisce numerose postazioni, episodi di questo tipo dimostrano che l’efficacia di un aggiornamento non si misura soltanto dalla sua installazione, ma anche dalla verifica delle funzionalità che devono continuare a operare correttamente. Nel caso di Smart App Control non risulta documentato un attacco che abbia sfruttato il malfunzionamento per disabilitare la protezione: si tratta di un difetto che impediva di modificarne lo stato su alcuni dispositivi, non di una vulnerabilità equivalente agli zero-day di Ivanti.

Continua a leggere: CISA alza l’allerta: Ivanti e Windows nel KEV, Ghostscript espone i server.

La sicurezza dipende dalle patch ma anche dalla capacità di individuare le compromissioni

Ivanti Connect Secure e Smart App Control descrivono due problemi differenti che richiedono risposte proporzionate. Nel caso Ivanti esistono attaccanti che hanno già sfruttato vulnerabilità concatenate per ottenere il controllo privilegiato di gateway VPN, tentare il furto di credenziali e preparare ulteriori attività all’interno delle reti aziendali. La priorità non è soltanto correggere le versioni vulnerabili, ma stabilire se l’infrastruttura sia stata compromessa prima della distribuzione delle patch. Nel caso Microsoft, invece, un aggiornamento di sicurezza ha introdotto un malfunzionamento successivamente corretto, imponendo agli amministratori di verificare che Smart App Control possa essere utilizzato secondo le configurazioni previste. Il dato comune riguarda l’affidabilità complessiva delle difese: un gateway aggiornato dopo un’intrusione può conservare conseguenze della compromissione, mentre un computer che ha installato le patch più recenti può manifestare problemi nelle funzionalità di protezione. Per aziende e pubbliche amministrazioni, il patch management deve quindi essere accompagnato da controlli sulle identità, verifiche forensi quando necessarie e monitoraggio continuo dell’effettivo funzionamento dei sistemi di sicurezza.