CVE-2026-111357: escalation a root in Ivanti Connect Secure

CVE-2026-111357 colpisce Ivanti Connect Secure 22.8R2.4 ed è dovuto a una gestione scorretta del modo in cui il broker dsinvoked si fida dei dati di configurazione DSCache. Questo difetto di fiducia consente a un attaccante di scalare i propri privilegi fino a ottenere accesso root, il livello più alto di autorizzazione nei sistemi Unix e Linux. Ivanti Connect Secure è un prodotto critico per accesso remoto sicuro in molte reti aziendali, rendendo questa vulnerabilità un bersaglio prioritario per gli amministratori.

Il CVSS è 7,0 (high), indicando un impatto significativo. Cruciale è che CVE-2026-111357 è stato sfruttato attivamente in natura sin da ottobre 2026, non rimane teorico. Segnali pubblici da fonte ufficiale confermano il wild exploitation. La velocità e il tempismo dell'attacco sottolineano la natura aggressiva della campagna iniziale e l'urgenza di intervento nella propria infrastruttura.

Azione immediata: verificare quale versione di Ivanti Connect Secure è in esercizio, consultare il bollettino di patch del 29 ottobre 2026 e pianificare l'aggiornamento con priorità massima. Durante la patch window, aumentare il monitoraggio dei log di accesso sui sistemi Connect Secure per identificare eventuali tentativi di sfruttamento o accessi root non autorizzati. Se non è possibile aggiornare immediatamente, limitare l'accesso a questi sistemi e segmentare la rete.

Il meccanismo sottostante della vulnerabilità riguarda la fiducia che il broker dsinvoked ripone nella configurazione DSCache. In condizioni di configurazione non controllata adeguatamente, questa fiducia diventa un punto di debolezza sfruttabile. Amministratori di sicurezza devono anche verificare se altre vulnerabilità sono state corrette nel rilascio del 29 ottobre per assicurare una mitigazione completa della superficie di attacco.