CISA alza l’allerta: Ivanti e Windows nel KEV, Ghostscript espone i server

🛡️ Executive Summary

• CISA ordina di accelerare il patching di Ivanti Connect Secure dopo la conferma dello sfruttamento attivo di CVE-2026-104935, bypass di autenticazione utilizzabile senza credenziali per eseguire comandi arbitrari.
• Nel catalogo Known Exploited Vulnerabilities entrano nello stesso giorno CVE-2026-104935 e CVE-2026-96951, il bypass di Windows Shell già corretto da Microsoft nel Patch Tuesday di ottobre.
• Ghostscript corregge CVE-2026-39919, heap buffer overflow nel decoder JPEG 2000 che può trasformare l’elaborazione automatica di un PDF caricato sul server in esecuzione di codice.

Due superfici apparentemente lontane mostrano lo stesso problema: il codice non fidato raggiunge componenti che lavorano prima o oltre l’autenticazione dell’utente. CISA ha lanciato l’allarme su Ivanti Connect Secure, dove CVE-2026-104935 viene già sfruttata per superare l’autenticazione ed eseguire comandi da remoto, inserendola immediatamente nel catalogo KEV insieme allo zero-day CVE-2026-96951 di Windows Shell. Parallelamente emerge l’analisi tecnica di CVE-2026-39919 in Ghostscript, falla critica che permette a un PDF costruito appositamente di corrompere la memoria durante la generazione delle immagini e, in determinate configurazioni server, arrivare alla remote code execution. Non sono vulnerabilità appartenenti alla stessa catena di attacco, ma condividono un elemento operativo: gateway esposti e pipeline automatiche di elaborazione rappresentano punti nei quali un input esterno può raggiungere direttamente componenti ad alto privilegio.

Ivanti Connect Secure sotto attacco con un bypass senza autenticazione

La nuova allerta CISA su Ivanti Connect Secure riguarda CVE-2026-104935, classificata con CVSS 8.6 e descritta come un authentication bypass by spoofing. Il problema permette a un attaccante remoto non autenticato di aggirare i controlli di accesso e inviare comandi arbitrari all’appliance. È questo il dato che alza immediatamente la priorità rispetto a una normale vulnerabilità enterprise: Connect Secure è un gateway utilizzato precisamente per fornire accesso remoto alle reti aziendali e può quindi trovarsi esposto direttamente a Internet. L’advisory originario di Ivanti indica come corretti i rami 25.1.3.x e 22.8R2.5, mentre le versioni vulnerabili devono essere aggiornate senza attendere il normale ciclo manutentivo. La stessa CVE è stata registrata da Ivanti come problema CWE-290, quindi non è necessario possedere preventivamente credenziali VPN o un account amministrativo per raggiungere il percorso vulnerabile.

Leggi anche: CISA KEV: come funziona il catalogo delle vulnerabilità realmente sfruttate

L’ingresso nel KEV cambia la priorità del patching

CISA ha contemporaneamente aggiunto due vulnerabilità al Known Exploited Vulnerabilities Catalog: CVE-2026-104935 di Ivanti e CVE-2026-96951 di Windows Shell. Il secondo bug è lo stesso zero-day corretto da Microsoft nel Patch Tuesday di ottobre: una command injection nel componente Shell permette a un attaccante non autorizzato di superare una protezione di sicurezza attraverso un vettore di rete, pur richiedendo interazione dell’utente. La scheda Microsoft MSRC di CVE-2026-96951 attribuisce alla vulnerabilità un CVSS 8.8 e conferma exploitation detected su un numero molto ampio di versioni Windows client e server. L’inserimento nel KEV non significa che i due bug abbiano lo stesso exploit o lo stesso impatto: significa invece che per entrambi la fase teorica è terminata e CISA dispone di evidenze sufficienti per considerarli parte dell’attività offensiva reale. Per Ivanti la priorità è particolarmente elevata perché un appliance VPN compromesso può diventare direttamente un initial access point verso l’infrastruttura interna.

Ghostscript espone una pipeline invisibile dietro il semplice upload di un PDF

Il terzo caso sposta il problema dal gateway di rete all’elaborazione documentale. BleepingComputer ha ricostruito CVE-2026-39919, heap-based buffer overflow in Ghostscript capace di arrivare alla code execution quando il motore processa un PDF appositamente costruito contenente un’immagine JPEG 2000. Ghostscript viene frequentemente utilizzato dietro altri software senza essere direttamente visibile all’utente: un’applicazione riceve il PDF, ImageMagick o un’altra libreria lo passa al motore e Ghostscript genera miniature, immagini o versioni ottimizzate del documento. È proprio questa catena a rendere la falla interessante anche nei server web. Il report di BleepingComputer sulla vulnerabilità Ghostscript mostra come il problema possa essere raggiunto, ad esempio, attraverso una funzione di upload che avvia automaticamente il rendering del PDF.

La ricerca originaria di Wordfence Argus individua il difetto nell’adattatore JPEG 2000 di Ghostscript. Quando componenti dell’immagine dichiarano fattori di subsampling differenti, uno specifico percorso di output per immagini con profondità inferiore a otto bit alloca un buffer dimensionato per dati packed ma successivamente scrive un byte completo per ogni colonna. Nei test dei ricercatori l’errore può portare 1.024 byte dentro un buffer allocato per 256, corrompendo strutture adiacenti nell’heap. La vulnerabilità interessa le versioni precedenti a Ghostscript 10.08.0, release nella quale Artifex ha integrato la correzione l’8 settembre.

WordPress è un vettore possibile, non la vulnerabilità

Il riferimento a WordPress richiede una distinzione importante. CVE-2026-39919 non è una vulnerabilità del core WordPress né di un plugin specifico. Wordfence l’ha individuata durante test su un ambiente WordPress perché il CMS può utilizzare PHP Imagick, ImageMagick e infine Ghostscript per produrre anteprime dei documenti PDF. Affinché la catena sia sfruttabile, l’attaccante deve poter caricare un PDF, il server deve processarlo automaticamente, il percorso di rendering deve raggiungere una versione vulnerabile di Ghostscript e le policy locali devono consentire quell’elaborazione. WordPress standard non permette a un visitatore anonimo di caricare liberamente file nella Media Library, quindi non è corretto trasformare la ricerca nell’affermazione che milioni di siti WordPress siano direttamente vulnerabili senza autenticazione. Il rischio è più generale e riguarda qualunque servizio che riceva documenti da utenti e li trasformi lato server: CMS, piattaforme documentali, sistemi di ticketing, servizi di conversione, applicazioni SaaS e pipeline che generano thumbnail. Ghostscript diventa in questi casi una dipendenza indiretta che può trovarsi diversi livelli sotto l’applicazione visibile. I test di Wordfence mostrano inoltre che ottenere una RCE stabile dipende fortemente dall’ambiente: la corruzione della memoria è riproducibile, mentre l’esecuzione di codice richiede condizioni più specifiche relative a librerie, font, layout della memoria e configurazione del sistema. La vulnerabilità resta critica, ma vulnerabile non significa automaticamente sfruttabile con lo stesso payload su ogni server Linux.

Continua con:
Remote Code Execution: perché una RCE cambia immediatamente la priorità di una vulnerabilità
Vulnerabilità informatiche: CVSS, exploit e gestione del rischio

Patchare Ivanti e Ghostscript richiede due strategie differenti

Per Ivanti Connect Secure la risposta deve essere immediata perché lo sfruttamento è già osservato: occorre identificare le appliance esposte, verificare la versione installata, applicare gli aggiornamenti supportati e controllare attentamente log e indicatori di attività precedente alla patch. Un gateway compromesso prima dell’aggiornamento non torna automaticamente affidabile perché il bug viene chiuso: patching e incident response sono due attività differenti. Per Ghostscript la situazione è diversa. Wordfence non segnala exploitation in the wild al momento della disclosure pubblica, ma i server che processano PDF provenienti da utenti devono verificare la versione realmente installata dal sistema operativo, comprese eventuali correzioni backportate dalla distribuzione. Le immagini Docker devono essere ricostruite su una base aggiornata; dove non sia possibile intervenire immediatamente, la misura temporanea più efficace è impedire il caricamento dei PDF non fidati o disabilitarne il rendering automatico. Il filo comune è quindi meno visibile delle singole CVE. Ivanti protegge l’ingresso alla rete, Ghostscript lavora dietro il livello applicativo e Windows Shell interpreta contenuti sul client: tre posizioni differenti nelle quali una funzione legittima può diventare il punto di attraversamento della trust boundary. Per questo il Patch Tuesday o l’aggiornamento del singolo pacchetto non esauriscono il problema. Occorre sapere quali componenti ricevono input esterno, con quali privilegi lo elaborano e cosa succede quando quel controllo viene superato. È lì che una vulnerabilità smette di essere una riga in un bollettino e diventa un percorso operativo verso il sistema.