Nuovi dettagli emergono sugli attacchi a Ivanti Connect Secure e Atlassian, mentre Progress Software affronta 12 vulnerabilità critiche su MOVEit Transfer, alcune delle quali consentono bypass dell'autenticazione e controllo amministrativo.
Il panorama delle minacce informatiche continua a evolversi rapidamente, con nuove vulnerabilità che emergono e attori malevoli che sfruttano le falle di sicurezza con crescente sofisticazione. Recenti sviluppi riguardano le piattaforme Ivanti Connect Secure (ICS) e Atlassian, oltre a un corposo aggiornamento di sicurezza per MOVEit Transfer di Progress Software.
La recente ondata di attacchi che sfrutta la vulnerabilità CVE-2026-104935 sui dispositivi Ivanti Connect Secure (ICS) ha visto emergere nuovi dettagli che complicano ulteriormente il quadro. Sebbene la Cybersecurity and Infrastructure Security Agency (CISA) abbia emesso un allarme critico, le nuove informazioni suggeriscono che Ivanti stessa avesse identificato una parte della falla di sicurezza già a luglio, prima che gli attori malevoli ne sfruttassero l'intero potenziale.
Secondo quanto emerso, Ivanti ha individuato una porzione della vulnerabilità CVE-2026-104935 attraverso il proprio programma di sicurezza prodotto, che impiega modelli di intelligenza artificiale avanzati per identificare e correggere automaticamente le falle. La scoperta parziale ha portato al rilascio della versione 25.1.3.0 di ICS, che includeva una correzione per quella specifica parte della vulnerabilità. Tuttavia, mentre Ivanti lavorava per estendere la correzione alle altre versioni supportate, gli attaccanti hanno sfruttato questa finestra temporale per capitalizzare sulla falla non ancora completamente mitigata.
I ricercatori di Volexity hanno identificato un gruppo di minaccia precedentemente non documentato, denominato UTA0576, come responsabile dello sfruttamento di questa vulnerabilità. UTA0576 ha utilizzato una catena di exploit zero-day che includeva CVE-2026-104935 per compromettere i dispositivi ICS, anche quelli che erano stati aggiornati con le patch rilasciate in luglio. La catena di attacco combinava un bypass dell'autenticazione con una vulnerabilità di esecuzione remota di codice (RCE) e una falla di escalation dei privilegi, consentendo agli attaccanti di ottenere l'esecuzione di codice a livello di root senza autenticazione. La vulnerabilità di escalation dei privilegi, parte integrante della catena di attacco, non è stata ancora divulgata pubblicamente e Ivanti sta lavorando a una correzione che sarà inclusa in un futuro aggiornamento.
Una volta ottenuta l'esecuzione del codice, UTA0576 ha intrapreso una serie di azioni post-sfruttamento, tra cui l'estrazione di credenziali, l'esfiltrazione di metadati da Active Directory, l'utilizzo di strumenti per attacchi Kerberoast e test di credenziali, la ricognizione degli host e l'installazione di strumenti per la ricerca di password di amministratore e chiavi di recupero BitLocker. L'attore malevolo ha mostrato un interesse particolare per le credenziali di Active Directory, inclusi i dati gestiti da LAPS (Local Administrator Password Solution) e le chiavi di recupero BitLocker. I ricercatori hanno notato che UTA0576 ha compiuto sforzi deliberati per nascondere le proprie attività, modificando selettivamente i log e rimuovendo artefatti temporanei. Sebbene l'attacco sia stato interrotto prima che l'obiettivo finale fosse raggiunto, le motivazioni di UTA0576 sembrano essere di natura criminale piuttosto che di spionaggio.
In un contesto di crescente attività malevola, la CISA ha recentemente aggiunto una nuova vulnerabilità critica al suo catalogo Known Exploited Vulnerabilities (KEV). Si tratta della CVE-2026-21589, una falla di accesso arbitrario ai file con un punteggio CVSS di 9.3, che colpisce i prodotti Atlassian Data Center, tra cui Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible e Fisheye. A partire da inizio ottobre, attori malevoli hanno iniziato a sfruttare questa vulnerabilità, che consente a un attaccante non autenticato di accedere a file sensibili all'interno della directory principale dell'applicazione web, a condizione che sia a conoscenza del nome e del percorso esatto del file target.
I ricercatori di Previdian hanno rilevato 15 tentativi di sfruttamento provenienti da tre indirizzi IP in Giappone e negli Stati Uniti. WatchTowr Labs ha pubblicato un'analisi tecnica dettagliata, evidenziando una falla di path traversal dove sequenze come ..::.. possono essere interpretate come separatori di percorso, permettendo agli attaccanti di leggere file dalla web root dell'applicazione. In un caso specifico, i ricercatori sono riusciti a leggere il file crowd.properties, esponendo credenziali dell'applicazione che sono state poi utilizzate per creare un utente e aggiungerlo al gruppo jira-administrators. La protezione tramite allowlisting degli IP di Crowd può bloccare questo percorso di attacco. WatchTowr ha rilasciato uno strumento gratuito su GitHub per verificare la presenza della vulnerabilità.
Progress Software ha rilasciato correzioni per 12 vulnerabilità nella sua piattaforma di trasferimento file gestito (MFT), MOVEit Transfer. Diverse di queste falle consentono il bypass dell'autenticazione, il dirottamento di sessione e il controllo amministrativo. Il bollettino di sicurezza critico di settembre 2026, pubblicato il 15 ottobre 2026, esorta i clienti ad aggiornare immediatamente.
Le vulnerabilità interessano MOVEit Transfer 2025.0.8 e precedenti, 2025.1.0-2025.1.5 e 2026.0.0-2026.0.3. Lo sfruttamento potrebbe portare ad accessi non autorizzati, controllo amministrativo, esposizione di dati, instabilità del servizio e esaurimento delle risorse. I sintomi riportati includono dirottamento di sessione, perdita di dati e interruzioni del servizio.
Le due vulnerabilità più critiche, CVE-2026-89067 e CVE-2026-87093, entrambe con un punteggio di 8.8, consentono rispettivamente l'accesso a funzioni protette tramite percorsi alternativi e l'escalation dei privilegi a causa di permessi errati su risorse critiche. Altri bug riguardano direttamente l'autenticazione, includendo passaggi mancanti, debolezze di cattura e riproduzione, algoritmi di autenticazione difettosi e scadenza insufficiente delle sessioni. Combinate, queste falle potrebbero permettere a un attaccante di assumere il controllo delle sessioni o ottenere l'accesso amministrativo. Le vulnerabilità di iniezione LDAP e SQL aggiungono rischi di manipolazione delle directory e esposizione dei database.
MOVEit ha una storia travagliata, con la campagna Cl0p del 2023 che ha sfruttato una vulnerabilità zero-day di SQL injection. Pertanto, anche in assenza di sfruttamento confermato, le falle di autenticazione di MOVEit dovrebbero essere trattate con priorità elevata.
Progress afferma che l'aggiornamento tramite il programma di installazione completo è l'unico modo per risolvere questi problemi e comporta un'interruzione del sistema. Gli amministratori devono verificare la versione corrente e aggiornare alle versioni più recenti. È inoltre necessario rivedere i log per individuare sessioni insolite, modifiche amministrative e tentativi di accesso falliti.
La situazione evidenzia le difficoltà che i fornitori di software affrontano nel garantire che le patch raggiungano tempestivamente tutti i clienti. La finestra di tempo tra il rilascio di una patch e la sua applicazione su tutti i sistemi supportati è un momento critico in cui le vulnerabilità possono essere sfruttate. Un aggiornamento parziale, sebbene sia un passo nella giusta direzione, può involontariamente segnalare agli attaccanti dove cercare le falle non ancora risolte.
Questo incidente si aggiunge a una serie di vulnerabilità zero-day che hanno colpito i prodotti Ivanti negli ultimi anni. La CISA ha aggiunto un numero significativo di vulnerabilità Ivanti al suo catalogo KEV, molte delle quali sono state sfruttate anche in attacchi ransomware.
Per mitigare il rischio, la CISA ha inserito CVE-2026-104935 e CVE-2026-21589 nel suo catalogo KEV, imponendo alle agenzie governative federali di applicare le patch o disabilitare gli appliance interessati entro date specifiche. Le organizzazioni che utilizzano Ivanti Connect Secure sono esortate a consultare le guide ufficiali per l'aggiornamento e la migrazione, tenendo presente che la versione 22.8 raggiungerà la fine del suo ciclo di vita il 31 gennaio 2027.
Le organizzazioni che sospettano una compromissione dovranno condurre analisi forensi approfondite, poiché alcuni strumenti di controllo potrebbero non rilevare tutte le prove di sfruttamento a causa dell'esecuzione dei comandi in memoria. In caso di compromissione confermata, sono raccomandati passaggi come il backup della configurazione, il reset di fabbrica, l'aggiornamento, il ripristino della configurazione e il reset di tutte le password e credenziali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
