Ivanti corrige una falla de día cero en Connect Secure que un atacante encadenó para tomar el control de VPN

Ivanti publicó el 13 de octubre parches para CVE-2026-104935, una vulnerabilidad de sus equipos de acceso remoto por VPN Connect Secure que ya se estaba explotando antes de que existiera una corrección. Según el registro CVE que presentó la propia Ivanti, se trata de una omisión de autenticación por suplantación que permite a un atacante remoto, sin credenciales, ejecutar comandos arbitrarios. Tiene una puntuación CVSS de 8,6 (alta) y afecta a las versiones anteriores a la 25.1.3.0; figuran como no afectadas la 22.8R2.5, la 25.1.3.0 y la 25.1.3.1, así como la 22.7R2.14 y anteriores. Ese mismo día, la agencia estadounidense de ciberseguridad CISA la añadió a su catálogo de vulnerabilidades explotadas y fijó el 16 de octubre como plazo para que las agencias federales la corrijan.

La empresa de seguridad Volexity, que descubrió el ataque al investigar un incidente en un cliente a partir del 5 de octubre, explicó que un actor desconocido al que llama UTA0576 explotaba un equipo de ese cliente desde el 3 de octubre, pese a que estaba totalmente actualizado (versión 22.8R2.4). El ataque encadenaba tres fallas: una omisión de autenticación en la página pública de inicio de sesión, una escritura de archivos que permitía ejecutar código y una escalada de privilegios para obtener permisos de administrador (root). Las dos primeras quedan cubiertas por CVE-2026-104935; la tercera aún no tiene parche, y Volexity indica que Ivanti la corregirá en una versión de las próximas semanas.

Con ese acceso, el atacante extrajo credenciales de dominio guardadas en el equipo, buscó en Active Directory contraseñas de administrador local (LAPS) y claves de recuperación de BitLocker, lanzó ataques de rociado de contraseñas y analizó tráfico de red capturado para obtener más credenciales. No instaló puertas traseras ni web shells: repetía la cadena de explotación para cada comando, borraba entradas de los registros y modificaba una biblioteca solo en memoria, por lo que la herramienta de verificación de integridad de Ivanti no detecta los cambios. Volexity atribuye con confianza baja una motivación criminal y estima, con confianza media, que el atacante usa modelos de lenguaje para desarrollar exploits.

Volexity recomienda aplicar los parches, vigilar un número alto de solicitudes a /dana-na/auth/url_default/welcome.cgi con la cabecera X-DSCGI-PATH apuntando a otro script, revisar el directorio /tmp del equipo y hacer análisis forense de memoria y red si hay sospecha de intrusión. En la misma actualización de su catálogo, CISA incluyó CVE-2026-96951, una falla de Windows Shell que permite saltarse una función de seguridad y que Microsoft marcó como explotada al corregirla en sus actualizaciones de octubre, también con plazo hasta el 16 de octubre.