Apertura · Vulnerabilità
La CISA inserisce due falle di Ivanti Connect Secure. Gli aggressori ne usavano tre
Venerdì due vulnerabilità di Ivanti Connect Secure sono entrate nel catalogo delle Known Exploited Vulnerabilities dopo lo sfruttamento in the wild; la catena riportata che porta all'accesso root non autenticato è composta da tre falle.
Il resoconto è lineare. Venerdì la CISA ha aggiunto al KEV due falle di Ivanti Connect Secure, una delle quali è CVE-2026-111357, dopo lo sfruttamento attivo in the wild, e l'attacco descritto concatena tre falle per ottenere l'accesso root non autenticato. Due è il numero che riporta il catalogo. Tre è il numero che fa il lavoro.
È il divario che nessuno mette a budget. La gestione delle vulnerabilità è organizzata attorno al singolo bug con il singolo punteggio, perché un singolo bug è qualcosa che un foglio di calcolo può contenere e una catena no. Un attaccante non possiede un foglio di calcolo. Un attaccante possiede tre falle che, prese singolarmente, sembravano sopportabili: l'equivalente, in sicurezza informatica, di tre serrature su una porta che in realtà è una tenda. Il fatto di aver valutato ogni serratura da sola è il motivo per cui la tenda non è mai emersa nella revisione.
La lettura onesta di oggi, quindi, non è che Ivanti abbia avuto sfortuna. È che l'apparato che gestisce l'accesso remoto è quello che termina le sessioni di tutti, custodisce le credenziali di tutti ed è esposto a tutta internet per progetto; e continuiamo a stupirci di questa architettura come se fosse meteo e non una scelta. Applicate la patch, poi andate a leggere cosa faceva quell'apparato la settimana scorsa, perché «aggiunta al KEV venerdì» significa che lo sfruttamento è avvenuto prima di venerdì.
Perché è rilevanteSe utilizzate Ivanti Connect Secure, trattate la questione come un problema di risposta agli incidenti e non di ciclo di patching: l'inserimento nel KEV conferma uno sfruttamento già avvenuto, e la catena termina con l'accesso root non autenticato.