Nuova vulnerabilità zero-day in Ivanti EPMM: 5 falle critiche, una già sfruttata

Ivanti ha pubblicato patch per cinque vulnerabilità ad alto rischio nel suo Endpoint Manager Mobile (EPMM), tra cui una (CVE-2026-6973) già sfruttata in attacchi zero-day. La falla riguarda l'impropria validazione degli input e consente agli attaccanti con privilegi amministrativi di eseguire codice arbitrario su sistemi vulnerabili.

Risposta Rapida

  • CVE-2026-6973 è una vulnerabilità zero-day in Ivanti EPMM che consente esecuzione di codice arbitrario
  • Affetta versioni EPMM 12.8.0.0 e precedenti, patch disponibili nelle versioni 12.6.1.1, 12.7.0.1 e 12.8.0.1
  • Tra le vittime confermate: Commissione Europea, Autorità Olandese per la Protezione dei Dati e Valtori finlandese
  • Il CISA ha inserito la vulnerabilità nel suo catalogo di vulnerabilità sfruttate, ordinando la correzione entro 3 giorni
  • Non esistono attualmente indicatori affidabili di compromissione per questa specifica falla

La società ha reso noto attraverso un advisory che un numero molto limitato di clienti è stato colpito da CVE-2026-6973. La vulnerabilità affetta le versioni EPMM 12.8.0.0 e precedenti, con le correzioni disponibili nelle versioni 12.6.1.1, 12.7.0.1 e 12.8.0.1.

Il contesto delle vulnerabilità precedenti

La situazione attuale rappresenta un'evoluzione preoccupante di un problema già noto. Nel gennaio 2026, Ivanti aveva scoperto e corretto altre due vulnerabilità zero-day (CVE-2026-1281 e CVE-2026-1340) che erano state sfruttate prima che la società ne fosse a conoscenza. L'azienda ha sottolineato che i clienti che avevano seguito le raccomandazioni di gennaio di ruotare le credenziali avrebbero significativamente ridotto il rischio di sfruttamento della nuova falla CVE-2026-6973.

A questo punto, è importante notare che gli attacchi precedenti avevano colpito organizzazioni di alto profilo. Tra le vittime confermate figurano la Commissione Europea, l'Autorità Olandese per la Protezione dei Dati (AP) e il Consiglio per la Giustizia (Rvdr), nonché Valtori, il centro servizi ICT del governo finlandese.

Le altre vulnerabilità corrette

Oltre a CVE-2026-6973, le patch di Ivanti risolvono altre quattro vulnerabilità di cui attualmente non si conosce sfruttamento:

  • CVE-2026-5786: Vulnerabilità di controllo di accesso improprio sfruttabile da utenti autenticati, con possibili escalation di privilegi
  • CVE-2026-5787: Vulnerabilità di controllo dei certificati improprio sfruttabile senza autenticazione, permettendo agli attaccanti di ottenere certificati client validi firmati CA
  • CVE-2026-7821: Vulnerabilità di controllo dei certificati improprio che consente a un attaccante remoto non autenticato di iscrivere un dispositivo, portando a divulgazione di informazioni sull'appliance EPMM e compromettendo l'integrità dell'identità del nuovo dispositivo iscritto

Per quanto riguarda CVE-2026-7821, Ivanti ha specificato che i clienti che non hanno configurato o non utilizzano l'iscrizione di dispositivi Apple non sono a rischio per questa vulnerabilità particolare.

Misure di mitigazione raccomandate

La società ha consigliato alle organizzazioni che eseguono EPMM on-premises di:

  • Effettuare l'aggiornamento alle versioni corrette
  • Rivedere i conti con diritti amministrativi e ruotare quelle credenziali

Sebbene le vulnerabilità non riguardino Sentry (un'appliance gateway che garantisce la sicurezza e la gestione del traffico tra dispositivi mobili e sistemi enterprise backend), Ivanti ha raccomandato di "esaminare la sicurezza dell'appliance Sentry nello stesso momento in cui si esamina EPMM a causa della dipendenza che essa ha dall'appliance EPMM e dalla sua configurazione".

L'assenza di indicatori di compromissione

Un aspetto preoccupante della situazione è l'assenza di indicatori affidabili di compromissione che potrebbero essere utilizzati per rilevare gli attacchi basati su CVE-2026-6973. Questa mancanza di strumenti di rilevamento rende particolarmente difficile per le organizzazioni valutare se siano state compromesse.

La risposta del CISA

Il Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto la vulnerabilità al suo Known Exploited Vulnerabilities catalog e ha ordinato alle agenzie civili federali statunitensi di correggere la falla entro tre giorni. Questa mossa sottolinea l'urgenza e la gravità della situazione.

In questo contesto, è fondamentale che tutte le organizzazioni che utilizzano Ivanti EPMM adottino immediatamente le misure raccomandate per mitigare i rischi associati a queste vulnerabilità. La sicurezza dei sistemi IT è una responsabilità continua che richiede vigilanza costante e aggiornamenti tempestivi.

Per rimanere aggiornati sugli ultimi sviluppi in materia di sicurezza informatica, è possibile iscriversi all'alert via e-mail di Help Net Security.

Implicazioni strategiche per le organizzazioni

Le recenti vulnerabilità in Ivanti EPMM pongono sfide strategiche per le organizzazioni che dipendono da soluzioni di gestione endpoint. La complessità delle vulnerabilità, specialmente quelle legate ai certificati e al controllo di accesso, richiede un approccio olistico alla sicurezza. Le aziende devono valutare non solo l'immediato aggiornamento dei sistemi, ma anche la revisione delle loro architetture di sicurezza complessive.

In particolare, la vulnerabilità CVE-2026-5787, che permette di ottenere certificati client validi firmati CA, sottolinea l'importanza di una gestione robusta dei certificati digitali. Questo tipo di vulnerabilità può compromettere l'intera catena di fiducia di un'organizzazione, rendendo cruciale l'implementazione di soluzioni di gestione dei certificati che siano sia automatizzate che centralizzate.

Il ruolo della compliance nella mitigazione del rischio

La risposta del CISA evidenzia l'importanza della compliance con gli standard di sicurezza nazionali e internazionali. Per le organizzazioni che operano in settori regolamentati, come la sanità o la finanza, la mancata mitigazione di vulnerabilità note può avere conseguenze legali significative. È essenziale che le aziende non solo applichino gli aggiornamenti, ma documentino anche le loro azioni di mitigazione per dimostrare la due diligence in caso di audit.

Inoltre, la mancanza di indicatori di compromissione affidabili per CVE-2026-6973 richiede un approccio proattivo alla sicurezza. Le organizzazioni dovrebbero considerare l'implementazione di soluzioni di rilevamento delle anomalie avanzate e di analisi comportamentale per identificare potenziali attività sospette che potrebbero indicare uno sfruttamento della vulnerabilità.

Considerazioni sulla supply chain e l'integrazione di terze parti

Le vulnerabilità in Ivanti EPMM sollevano anche preoccupazioni riguardo alla sicurezza della supply chain. Molte organizzazioni integrano soluzioni di terze parti nei loro ambienti IT, e la compromissione di una singola componente può avere ripercussioni a cascata. Le aziende dovrebbero valutare attentamente i rischi associati all'integrazione di soluzioni di gestione endpoint e considerare l'implementazione di controlli di sicurezza aggiuntivi per mitigare i rischi derivanti da vulnerabilità in componenti di terze parti.

Inoltre, la dipendenza di Sentry da EPMM sottolinea l'importanza di una gestione coerente della sicurezza in ambienti ibridi. Le organizzazioni dovrebbero adottare un approccio integrato alla sicurezza che tenga conto delle dipendenze tra diverse componenti del loro ecosistema IT.

Best practice per la gestione delle vulnerabilità

Per affrontare efficacemente le vulnerabilità come quelle in Ivanti EPMM, le organizzazioni dovrebbero adottare le seguenti best practice:

  • Monitoraggio continuo: Implementare un sistema di monitoraggio continuo delle vulnerabilità che tenga traccia delle ultime minacce e degli aggiornamenti di sicurezza.
  • Patch management: Stabilire un processo di patch management strutturato che garantisca l'applicazione tempestiva degli aggiornamenti di sicurezza.
  • Segmentazione della rete: Adottare la segmentazione della rete per limitare la propagazione di potenziali compromissioni.
  • Formazione del personale: Investire nella formazione del personale sulle pratiche di sicurezza informatica e sulla consapevolezza delle minacce.
  • Piani di risposta agli incidenti: Sviluppare e mantenere aggiornati piani di risposta agli incidenti per affrontare rapidamente eventuali compromissioni.

La scoperta e lo sfruttamento delle vulnerabilità in Ivanti EPMM rappresentano una sfida significativa per le organizzazioni di tutto il mondo. Tuttavia, con un approccio proattivo alla sicurezza, un'attenta gestione delle vulnerabilità e l'adozione di best practice, le aziende possono mitigare efficacemente i rischi e proteggere i loro sistemi IT da potenziali attacchi. La sicurezza informatica è un processo continuo che richiede vigilanza, adattabilità e una comprensione approfondita delle minacce emergenti.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.