Apertura · Vulnerabilità
Altre due zero-day di Ivanti Connect Secure entrano nel KEV, circa un mese dopo che qualcun altro le aveva trovate
Ivanti ha corretto ieri CVE-2026-111357 e CVE-2026-118527; la catena è usata negli attacchi almeno dal 1° ottobre, il che significa che la cronologia della divulgazione è in realtà la ricevuta dell'aggressore.
Ivanti ha rilasciato aggiornamenti per altre due falle dei gateway di accesso remoto Connect Secure, e la CISA ha aggiunto CVE-2026-111357 e CVE-2026-118527 al catalogo KEV, dopo che le due vulnerabilità sono state concatenate in attacchi zero-day almeno dal 1° ottobre. Si legga la frase nell'ordine imposto dal calendario e si scoprirà che dice qualcosa di leggermente diverso dal comunicato stampa: per circa un mese un apparato perimetrale, il cui unico compito è essere il perimetro, è stato un'area di sosta, e gli unici a disporre di un inventario completo delle organizzazioni colpite erano coloro che lo stavano facendo.
È il momento del rituale in cui qualcuno pronuncia la parola sofisticato. Non è una parola utile, qui. Ciò che è accaduto è che un apparato esposto su internet, dotato di interfaccia web, presentava due bug combinabili, e che i primi a trovarli non erano né il produttore né noi. La patch segna la fine del problema del produttore e l'inizio del vostro, perché un dispositivo sfruttabile per un mese non è un dispositivo da aggiornare: è un dispositivo che si presume visitato, e di cui si dimostra il contrario con i log che, auspicabilmente, avete conservato.
Il responsabile dell'NCSC ha scelto la stessa settimana per mettere in guardia da un aumento senza precedenti degli attacchi nei prossimi mesi, osservando che vulnerabilità tollerate troppo a lungo possono ora essere scoperte e sfruttate su una scala un tempo inimmaginabile. «Tollerate» regge un peso enorme in quella frase, ed è la parola giusta. Nessuno ha accettato questo rischio in una riunione. Semplicemente non ce ne siamo mai occupati, che è la stessa cosa con una burocrazia migliore.
Perché è rilevanteSe gestite gateway ICS, applicare la patch oggi è la metà facile; la caccia nella finestra dal 1° ottobre al 2 novembre è la metà che vi dice se avete un incidente.