Vulnerabilità Critiche in Prodotti Enterprise: GitHub, Progress Telerik e Ivanti sotto Sfruttamento Attivo

Le recenti segnalazioni da CERT-AGID e CISA KEV (Known Exploited Vulnerabilities) evidenziano un panorama di minacce persistenti e critiche che interessano piattaforme ampiamente diffuse in contesti enterprise. In particolare, è stata individuata una vulnerabilità di esecuzione di codice remoto (RCE) in GitHub, denominata CVE-2026-3854, e una serie di falle in prodotti Progress Telerik e Ivanti Pulse Secure/Connect Secure, tutte attivamente sfruttate da attori malevoli.

Cosa è successo

Il CERT-AGID ha recentemente allertato circa la vulnerabilità CVE-2026-3854, una RCE che colpisce GitHub e GitHub Enterprise Server. Dettagli specifici sulla natura dell'exploit non sono ancora stati divulgati ampiamente, ma il fatto che sia classificata come critica e che provenga da una fonte autorevole ne sottolinea la gravità potenziale.

Contemporaneamente, il catalogo CISA KEV ha aggiornato la lista delle vulnerabilità attivamente sfruttate includendo diverse problematiche di lunga data, ma che evidentemente continuano a essere vettori d'attacco efficaci. Tra queste spiccano:

CVE-2019-18935 (Progress Telerik UI for ASP.NET AJAX): Una vulnerabilità di deserializzazione di dati non affidabili che può portare all'esecuzione di codice remoto. Questa falla, seppur datata 2019, continua a essere un punto debole per numerosi sistemi che non hanno applicato gli aggiornamenti o mitigazioni.
CVE-2021-22893 (Ivanti Pulse Connect Secure): Una vulnerabilità di tipo "Use-After-Free" che permette l'esecuzione di codice remoto, rendendo i dispositivi Ivanti Pulse Connect Secure bersaglio di attacchi complessi per ottenere accesso completo al sistema.
CVE-2019-11510 (Ivanti Pulse Connect Secure): Permette la lettura arbitraria di file sul sistema compromesso. Questa vulnerabilità è spesso propedeutica ad attacchi più complessi, consentendo agli aggressori di raccogliere informazioni sensibili o credential utili per escalation di privilegi.
CVE-2019-11539 (Ivanti Pulse Connect Secure e Pulse Policy Secure): Un'altra vulnerabilità di tipo "Command Injection" che consente agli attaccanti di iniettare ed eseguire comandi con privilegi elevati, compromettendo l'integrità e la riservatezza dei sistemi Ivanti.

È importante notare che le vulnerabilità Ivanti, pur essendo state scoperte nel 2019 e 2021, figurano ancora nel catalogo CISA KEV, a testimonianza della difficoltà delle organizzazioni nell'applicare tempestivamente patch o mitigazioni complete, o della scoperta di nuovi vettori di sfruttamento.

Perché conta

Queste vulnerabilità rappresentano un rischio significativo per qualsiasi organizzazione che utilizzi i sistemi menzionati. La disponibilità di exploit noti e l'inclusione nel catalogo CISA KEV significano che gli attori delle minacce, inclusi i gruppi ransomware e gli stati-nazione, stanno attivamente cercando e sfruttando queste debolezze. La compromissione di un server GitHub può portare alla manomissione di codice sorgente, all'iniezione di backdoors o alla diffusione di malware. Le vulnerabilità in Telerik e Ivanti, spesso utilizzate come gateway VPN o portali di accesso, possono concedere accesso non autorizzato a reti interne, bypassare controlli di sicurezza perimetrali e facilitare movimenti laterali significativi all'interno di un'infrastruttura aziendale. In particolare, le falle in Ivanti sono state storicamente associate a campagne di spionaggio e attacchi ransomware di alto profilo, a causa del loro ruolo critico nell'accesso remoto.

Impatto stimato in Italia

L'Italia, con il suo tessuto diversificato di PA, settore finanziario, sanità e realtà OT, è particolarmente esposta. Molte organizzazioni italiane utilizzano prodotti Progress Telerik per lo sviluppo di applicazioni web e Ivanti Pulse Connect Secure per l'accesso remoto sicuro. La diffusione di GitHub come piattaforma di collaborazione per il codice è anch'essa capillare. La mancanza di una gestione efficace delle patch, soprattutto per sistemi esposti su internet, rende queste organizzazioni bersagli primari. Un attacco riuscito a queste infrastrutture potrebbe comportare:

Perdita di dati sensibili: Accesso non autorizzato a informazioni aziendali, dati personali dei clienti o pazienti.
Interruzione dei servizi: Blocco delle operazioni critiche a seguito di attività ransomware o distruttive.
Danni reputazionali e finanziari: Multe per violazioni GDPR, perdita di fiducia dei clienti e costi di ripristino elevati.
Compromissione della supply chain software: Nel caso di GitHub, alterazioni del codice possono propagarsi a tutti i clienti o utenti, generando un effetto domino.

Azioni consigliate

Prioritizzare le patch: Verificare immediatamente la presenza di GitHub Enterprise Server e dei prodotti Progress Telerik e Ivanti Pulse Secure/Connect Secure nella propria infrastruttura. Applicare con urgenza le patch e gli aggiornamenti forniti dai rispettivi vendor per tutte le CVE citate.
Valutare l'esposizione: Eseguire scansioni di vulnerabilità esterne e interne per identificare istanze esposte di questi prodotti. Concentrarsi sui sistemi esposti su internet che spesso sono i primi bersagli.
Monitoraggio e Threat Hunting: Potenziale sfruttamento di queste vulnerabilità genera tipicamente pattern anomali nei log di autenticazione, processi insoliti o attività di rete sospette. Implementare regole di rilevamento specifiche sui SIEM e sulle soluzioni EDR/NDR per individuare attività legate allo sfruttamento di CVE-2026-3854, CVE-2019-18935, CVE-2021-22893, CVE-2019-11510, e CVE-2019-11539.
Segmentazione di Rete: Isolare i sistemi vulnerabili in segmenti di rete dedicati per limitare la portata di un'eventuale compromissione e impedire movimenti laterali.
Audit delle Credenziali: Verificare l'uso di credenziali forti e l'implementazione dell'autenticazione a più fattori (MFA) per tutti gli accessi ai sistemi Ivanti e GitHub. Revisionare i privilegi degli account di servizio e utente.
Piani di Incident Response: Aggiornare i piani di gestione degli incidenti per includere scenari di compromissione legati a queste specifiche vulnerabilità e condurre esercitazioni di risposta.
Consultazione dei Bollettini: Mantenere un canale privilegiato con CERT-AGID e CISA per restare aggiornati sulle nuove minacce e sugli sviluppi delle vulnerabilità esistenti.

Riferimenti

Articolo generato automaticamente dal motore di intelligence MST a partire da fonti pubbliche. Per consulenza operativa contatta il SOC.