CISA aggiorna il KEV: due falle Ivanti sfruttate negli attacchi

🛡️ Executive Summary

• CISA aggiunge CVE-2026-111357 e CVE-2026-118527 al catalogo KEV, confermando lo sfruttamento attivo delle vulnerabilità Ivanti Connect Secure.
• AWS Kinesis Producer Library espone potenzialmente credenziali AWS attraverso log DEBUG e argomenti dei processi. La versione correttiva è la 1.0.8.
• FreeRTOS-Kernel presenta una vulnerabilità nelle configurazioni MPU con queue sets abilitati. AWS indica la versione 11.3.3 e la ricostruzione del firmware.

CISA conferma lo sfruttamento attivo di due nuove vulnerabilità in Ivanti Connect Secure, inserendo CVE-2026-111357 e CVE-2026-118527 nel catalogo Known Exploited Vulnerabilities. L’aggiornamento interessa sistemi VPN aziendali e arriva mentre Amazon Web Services segnala altre due vulnerabilità, una nella gestione delle credenziali della Kinesis Producer Library per Java e l’altra nel kernel FreeRTOS, utilizzato su microcontrollori e dispositivi embedded. Le tre comunicazioni descrivono superfici d’attacco differenti: accesso privilegiato alle infrastrutture di rete, esposizione delle identità cloud e compromissione dell’integrità della memoria nei sistemi real-time. Soltanto per Ivanti le informazioni disponibili confermano lo sfruttamento operativo, mentre gli advisory AWS indicano problemi da correggere senza documentare incidenti attribuiti alle rispettive CVE.

CISA inserisce nel KEV due vulnerabilità Ivanti già sfruttate

L’inserimento di CVE-2026-111357 e CVE-2026-118527 nel catalogo Known Exploited Vulnerabilities della CISA modifica la priorità di intervento per le organizzazioni che utilizzano Ivanti Connect Secure, piattaforma impiegata per realizzare accessi VPN e connessioni protette alle infrastrutture aziendali. La prima vulnerabilità riguarda un problema nella gestione della fiducia accordata ai dati di configurazione DSCache dal servizio privilegiato dsinvoked, che può portare all’escalation dei privilegi fino a root. Sebbene la classificazione KEV utilizzi la denominazione Missing Authentication for Critical Function, la descrizione tecnica del record CVE individua un errore nella gestione delle configurazioni utilizzate dal componente privilegiato. La seconda falla, CVE-2026-118527, interessa invece la generazione di identificatori prevedibili e permette, in determinate condizioni, a un attaccante autenticato di caricare file con contenuto controllato in una posizione conosciuta del filesystem. L’aspetto più significativo è la possibilità di concatenare questi difetti con CVE-2026-104935, la precedente vulnerabilità che consente di aggirare l’autenticazione e raggiungere componenti normalmente protetti. Le debolezze possono quindi contribuire a una catena offensiva capace di trasformare un accesso remoto non autenticato nell’esecuzione di comandi privilegiati sul dispositivo VPN. L’inclusione nel KEV non rappresenta una semplice valutazione del rischio teorico, ma deriva da evidenze di sfruttamento raccolte dall’agenzia statunitense.

Leggi anche: Ivanti, Docker Hub e SAP: tre falle critiche colpiscono VPN, container e cloud

Ivanti Connect Secure: la catena di attacco arriva a root e Active Directory

La rilevanza delle nuove segnalazioni emerge dall’indagine condotta da Volexity all’inizio di ottobre. I ricercatori hanno identificato attività attribuite all’attore UTA0576, che avrebbe compromesso un’appliance Ivanti Connect Secure aggiornata alla versione 22.8R2.4, sfruttando una combinazione di bypass dell’autenticazione, esecuzione di codice ed escalation dei privilegi. La ricerca tecnica originale di Volexity descrive l’abuso di componenti CGI, il caricamento temporaneo di file e la manipolazione delle informazioni utilizzate dal servizio dsinvoked per eseguire attività con privilegi elevati. Una volta ottenuto l’accesso, l’attaccante ha cercato informazioni particolarmente sensibili all’interno dell’infrastruttura: credenziali LDAP, dati Active Directory, password LAPS, chiavi di recupero BitLocker e configurazioni di autenticazione. Sono state osservate anche attività di ricognizione, tentativi di password spraying e manipolazione dei registri di sistema. La particolarità dell’operazione consiste nell’esecuzione di componenti malevoli prevalentemente in memoria, accompagnata dalla cancellazione delle tracce e dal ripristino delle modifiche temporanee. Questo comportamento può rendere insufficienti controlli basati esclusivamente sull’integrità dei file presenti su disco. L’aggiornamento del KEV rafforza dunque l’urgenza di verificare non soltanto la versione delle appliance ma anche l’eventuale compromissione precedente all’installazione delle correzioni. Le organizzazioni devono seguire gli advisory Ivanti per aggiornare i sistemi interessati, esaminare i log disponibili e valutare approfondimenti forensi quando esistono indicatori di attività sospette.

AWS Kinesis espone credenziali IAM nei log e negli argomenti dei processi

Un problema differente interessa Amazon Kinesis Producer Library for Java, libreria utilizzata dalle applicazioni per inviare grandi volumi di dati ad Amazon Kinesis Data Streams. Il bollettino 2026-159-AWS descrive CVE-2026-119117, una vulnerabilità che può rendere accessibili le credenziali AWS risolte dall’applicazione attraverso due canali indipendenti. Il primo riguarda la registrazione delle informazioni nel log del componente Daemon quando viene utilizzato il livello DEBUG; il secondo deriva dal passaggio delle stesse credenziali al processo nativo figlio attraverso gli argomenti della riga di comando, potenzialmente leggibili da altri utenti locali. Sono coinvolte le versioni com.amazonaws fino alla 0.15.12 e software.amazon.kinesis precedenti alla 1.0.8. La correzione completa è disponibile nella versione 1.0.8, verso la quale devono migrare anche le installazioni del ramo 0.x. AWS precisa che disattivare DEBUG non elimina il secondo vettore di esposizione: i parametri del processo rimangono potenzialmente consultabili nelle versioni vulnerabili. Per ridurre temporaneamente il rischio è possibile configurare il logger Daemon su INFO o superiore, applicare filtri ai messaggi che iniziano con Starting Native Process e impedire l’accesso locale a soggetti non fidati. I valori sensibili presenti nei log possono essere codificati in esadecimale, circostanza che potrebbe limitarne l’individuazione da parte degli strumenti tradizionali di ricerca dei segreti. La correzione richiede inoltre di ruotare le chiavi IAM permanenti eventualmente esposte, revocare le sessioni temporanee quando necessario e bonificare i log interessati. AWS raccomanda credenziali temporanee associate ai ruoli IAM e permessi limitati alle operazioni strettamente necessarie. Il problema non dimostra una compromissione del servizio Kinesis, ma un’esposizione potenziale delle credenziali nelle applicazioni che utilizzano la libreria vulnerabile.

FreeRTOS-Kernel: una task non privilegiata può alterare memoria protetta

Il bollettino 2026-158-AWS riguarda CVE-2026-119086, vulnerabilità presente nel percorso di selezione degli oggetti attraverso la funzione xQueueSelectFromSet di FreeRTOS-Kernel. Il problema deriva da una validazione incompleta del tipo di oggetto kernel referenziato: il sistema non verifica correttamente che l’elemento utilizzato appartenga effettivamente a un queue set prima di eseguire determinate operazioni. Nelle configurazioni interessate, una task non privilegiata può quindi indurre il kernel a effettuare una scrittura oltre la destinazione prevista mentre il codice opera in un contesto privilegiato, compromettendo l’integrità della memoria che dovrebbe essere protetta. AWS delimita l’esposizione alle versioni dalla V7.4.0 alla V11.3.2 incluse, esclusivamente quando vengono utilizzati port con Memory Protection Unit (MPU) e l’opzione configUSE_QUEUE_SETS=1. Le applicazioni compilate senza queue sets non sono interessate da questa specifica vulnerabilità. La correzione è stata introdotta nella versione V11.3.3 e richiede l’aggiornamento del kernel, la ricompilazione dell’applicazione e la nuova programmazione del firmware sui dispositivi coinvolti. Devono essere verificati anche eventuali fork e versioni derivate che incorporano codice vulnerabile. Il problema si aggiunge alle precedenti vulnerabilità FreeRTOS e Neptune corrette da AWS a ottobre, ma interessa una superficie differente e una nuova versione correttiva. AWS ringrazia Claude di Anthropic e Ada Logics per la collaborazione nella divulgazione coordinata, senza indicare uno sfruttamento attivo della vulnerabilità.

Continua con:

CISA alza l’allerta: Ivanti e Windows nel KEV, Ghostscript espone i server

Tre superfici d’attacco impongono interventi e priorità differenti

Le vulnerabilità esaminate descrivono tre problemi che non devono essere confusi sul piano operativo. Ivanti Connect Secure presenta evidenze di sfruttamento attivo, con una catena offensiva capace di raggiungere privilegi root e informazioni sensibili dell’infrastruttura aziendale. Per questo motivo la priorità riguarda sia l’installazione delle correzioni sia la ricerca di eventuali compromissioni già avvenute. AWS Kinesis richiede invece un intervento sulla gestione delle credenziali e sulla libreria utilizzata dalle applicazioni Java: aggiornare il software impedisce nuove esposizioni, ma non rende automaticamente inutilizzabili i segreti già finiti nei log o nei processi. FreeRTOS introduce infine una criticità nella separazione dei privilegi sui dispositivi embedded, con conseguenze che dipendono dalla configurazione MPU e dall’abilitazione dei queue sets. Per le organizzazioni italiane che utilizzano gateway VPN, infrastrutture cloud e sistemi industriali, il criterio corretto è quindi una valutazione basata su esposizione reale, privilegi ottenibili, dati coinvolti e disponibilità delle patch, senza attribuire alle tre vulnerabilità la stessa probabilità di sfruttamento. La direttiva CISA BOD 26-04 formalizza questo approccio per le agenzie federali civili statunitensi, privilegiando le vulnerabilità sfruttate su asset esposti e prevedendo verifiche di compromissione quando richieste. La direttiva non impone obblighi direttamente alle organizzazioni italiane, ma il principio operativo resta applicabile: correggere rapidamente i sistemi già attaccati, proteggere le credenziali potenzialmente esposte e aggiornare il firmware dove l’isolamento dei privilegi può essere aggirato.