Falle di sicurezza critiche scuotono Ivanti Sentry
Due falle di sicurezza critiche in Sentry, la soluzione di gateway VPN di Ivanti, stanno creando notevole confusione nel settore della sicurezza IT. Mentre la statunitense Cybersecurity and Infrastructure Security Agency (CISA) mette in guardia da attacchi attivi e ha inserito le vulnerabilità nel proprio catalogo delle vulnerabilità note sfruttate, Ivanti stessa ridimensiona il livello di minaccia.
Le falle di sicurezza interessate raggiungono entrambe la massima valutazione di rischio possibile nel sistema CVSS. CVE-2026-10520 riceve un punteggio CVSS di 10.0 e consente agli aggressori di iniettare comandi nel sistema operativo senza previa autenticazione e di eseguire codice arbitrario con privilegi di root. La seconda vulnerabilità CVE-2026-10523, con un punteggio CVSS di 9.9, permette di aggirare l'autenticazione e di creare account amministratore arbitrari.
Sistemi interessati e aggiornamenti disponibili
Le falle di sicurezza riguardano Ivanti Sentry nelle versioni 10.5.1, 10.6.1, 10.7.0 e nelle versioni precedenti. L'azienda ha già messo a disposizione delle patch: gli aggiornamenti alle versioni 10.5.2, 10.6.2 e 10.7.1 chiudono entrambe le vulnerabilità.
Particolarmente problematico è il fatto che siano già pubblicamente disponibili exploit proof-of-concept. I ricercatori di sicurezza IT dei watchTowr Labs hanno pubblicato un exploit funzionante che dimostra l'abuso di entrambe le falle. Ciò abbassa notevolmente la soglia d'accesso per potenziali aggressori.
Valutazioni contrastanti sul livello di minaccia
Mentre diverse aziende di sicurezza IT e la CISA mettono in guardia da attacchi attivi, Ivanti mantiene la posizione secondo cui non si sarebbero verificati attacchi reali. Nella comunicazione di sicurezza dell'azienda si legge che Ivanti non è a conoscenza di casi di abuso precedenti alla pubblicazione dell'avviso. La CISA avrebbe inserito la falla nel catalogo KEV soltanto sulla base di tentativi di attacco contro honeypot.
Ivanti argomenta inoltre che l'abuso della falla più critica CVE-2026-10520 richiederebbe l'accesso alla porta di management 8443. Le interfacce di management non dovrebbero in linea di principio essere raggiungibili via Internet, anche se gli honeypot simulano tali configurazioni errate.
Prime compromissioni già confermate
La valutazione di Ivanti dovrebbe però essere già superata. La Shadowserver Foundation riferisce, sulla base delle proprie scansioni di rete, di 19 istanze vulnerabili, di cui almeno due già compromesse con backdoor. I ricercatori ritengono che anche le altre istanze individuate siano nel frattempo cadute vittima degli aggressori.
Questo sviluppo sottolinea l'urgenza della situazione e contraddice la rappresentazione minimizzante del produttore. Anche i ricercatori di Rapid7 mettono in guardia da probabili attacchi, poiché in passato diverse falle di Sentry sono già finite nel catalogo CISA delle vulnerabilità sfruttate.
Minacce parallele in altri prodotti Ivanti
Oltre ai problemi di Sentry sono emerse ulteriori falle di sicurezza in Endpoint Manager Mobile di Ivanti. Queste sono considerate a rischio elevato e richiedono anch'esse rapide contromisure da parte degli amministratori.
Raccomandazioni per gli amministratori
Indipendentemente dalle valutazioni contrastanti sull'attuale livello di minaccia, gli amministratori non dovrebbero lasciarsi frenare dai toni rassicuranti. Gli aggiornamenti disponibili dovrebbero essere installati al più presto, poiché le vulnerabilità consentono una compromissione completa dei sistemi interessati.
Particolarmente importante è la verifica della configurazione di rete. Anche se Ivanti sostiene che le interfacce di management non dovrebbero essere raggiungibili via Internet, la realtà mostra che tali configurazioni errate sono frequenti. Le organizzazioni dovrebbero pertanto:
- Installare immediatamente le patch disponibili
- Verificare la segmentazione di rete e le regole del firewall
- Monitorare le attività sospette
- Effettuare verifiche di sicurezza periodiche dell'infrastruttura
Prospettive e lezioni apprese
Il caso Ivanti Sentry evidenzia le difficoltà nella valutazione delle minacce di cybersicurezza. Mentre i produttori tendono spesso a ridimensionare l'esposizione dei propri prodotti, la pratica mostra che le vulnerabilità critiche con exploit pubblicamente disponibili vengono sfruttate rapidamente.
Le diverse valutazioni tra CISA, ricercatori di sicurezza indipendenti e produttore sottolineano l'importanza di una raccolta di informazioni articolata nelle decisioni in materia di sicurezza. Gli amministratori non dovrebbero affidarsi soltanto alle dichiarazioni dei produttori, ma tenere conto anche di fonti esterne e di threat intelligence.
Per il futuro resta da vedere come si evolverà la situazione e se emergeranno ulteriori compromissioni. Le installazioni di backdoor già confermate lasciano tuttavia pochi dubbi sulla serietà della minaccia.
