Ivanti advirtió a sus clientes el 13 de octubre de 2026 de que los atacantes están explotando una cadena de tres vulnerabilidades contra los dispositivos VPN Connect Secure. La cadena puede producir ejecución de código con privilegios de root sin autenticación, mientras que su componente final de escalada de privilegios sigue sin parche.
Ivanti indicó que la explotación afectó a un «número limitado de clientes» en el momento de la divulgación, sin proporcionar una cifra. Volexity descubrió la actividad mientras investigaba una intrusión en un cliente y sigue al actor de amenazas, hasta ahora no documentado, como UTA0576.
CISA añadió CVE-2026-104935 a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 13 de octubre de 2026, lo que confirma que el fallo se está utilizando en ataques y no es un riesgo meramente teórico.
Tres fallos convierten el acceso remoto en ejecución como root
El ataque combina una omisión de autenticación, una ejecución remota de código y un fallo de escalada de privilegios. Según el informe sobre la investigación de Volexity, la omisión de autenticación y el problema de ejecución de código se catalogan juntos como CVE-2026-104935. Permiten a un atacante remoto sin credenciales ni interacción del usuario ejecutar comandos como el usuario cgi-server.
El tercer día cero eleva después esos privilegios a root. Ivanti ya ha parcheado los dos primeros componentes, pero indicó que la corrección de la escalada de privilegios llegaría en «una versión futura en las próximas semanas».
CVE-2026-104935 tiene una puntuación CVSS v3.1 de 8,6, clasificada como alta, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. Está clasificada como CWE-290, Authentication Bypass by Spoofing. La vía accesible desde la red y de baja complejidad no requiere privilegios previos ni acción del usuario.
Esa puntuación de gravedad mide características técnicas; el listado en KEV y la divulgación de Ivanti aportan pruebas independientes de que la explotación está activa.
Versiones afectadas y un límite de versión en disputa
La descripción de NVD indica que Connect Secure anterior a la versión 25.1.3.0 es vulnerable, mientras excluye explícitamente ICS 22.7R2.14 y las versiones anteriores. El registro CVE, según se ha informado, también enumera como no afectadas estas versiones:
- 22.8R2.5
- 25.1.3.0
- 25.1.3.1
SecurityWeek informa de que Ivanti identificó como versiones corregidas las siguientes:
- 22.8R2.5
- 25.1.1.2
- 25.1.3.0
- 25.1.3.1
El estado de la 25.1.1.2 no está claro a partir de los datos de versiones disponibles: aparece en la lista de versiones corregidas de Ivanti, pero queda por debajo del umbral de NVD (25.1.3.0) y no figura en la lista de versiones no afectadas del registro CVE. Los administradores no deberían deducir su estado a partir de solo uno de esos rangos.
El dispositivo comprometido de Volexity ejecutaba la 22.8R2.4 y, según se describió, estaba completamente parcheado en ese momento. Los informes no explican cómo encaja esa descripción con la corrección 22.8R2.5 que se menciona después.
Los atacantes apuntaron a credenciales y datos de directorio
Volexity encontró indicios de explotación que comenzó el 3 de octubre. En la intrusión que investigó, los atacantes robaron credenciales almacenadas en el dispositivo, incluidas credenciales de dominio LDAP, y eliminaron una cantidad limitada de metadatos de Active Directory.
Las acciones posteriores a la explotación incluyeron:
- Búsqueda en Active Directory de contraseñas de LAPS y claves de recuperación de BitLocker con una herramienta propia.
- Password spraying contra cuentas.
- Prueba de credenciales mediante una utilidad Kerberos propia.
- Intentos de recuperar credenciales de tráfico de red capturado.
- Escaneo de la red interna.
- Recopilación de datos de configuración del dispositivo.
- Análisis de registros de autenticación para obtener nombres de usuario válidos.
- Manipulación de registros.
Según los informes, los atacantes volvieron a ejecutar la cadena completa de explotación para cada comando. Volexity no encontró ninguna puerta trasera persistente ni web shell en el dispositivo, pero evaluó con alta confianza que la actividad se estaba preparando para el movimiento lateral y un compromiso más amplio de la red. La operación fue interrumpida antes de que se aclarara su objetivo final.
Volexity evaluó con baja confianza que UTA0576 persigue un beneficio económico y no el espionaje. Por separado, evaluó con confianza media que el actor usa modelos de lenguaje de gran tamaño durante el desarrollo de exploits y la postexplotación.
Las comprobaciones de integridad podrían no revelar la intrusión
El exploit modifica código de bibliotecas en memoria y restaura los datos de configuración después de realizar los cambios. Este comportamiento podría impedir que la Integrity Checker Tool de Ivanti detecte la cadena, pese a que Ivanti recomienda ejecutar la herramienta con regularidad.
Los indicadores reportados a partir de la intrusión investigada por Volexity incluyen:
- Solicitudes repetidas a
/dana-na/auth/url_default/welcome.cgi - Una cabecera
X-DSCGI-PATHcuyo valor no coincide con la ruta de la URL solicitada - El directorio
/data/.icscap/ - La dirección IP
108[.]165[.]147[.]64
Estos indicadores describen una única intrusión investigada y no deben tratarse como una regla de detección exhaustiva. Volexity indicó que confirmar el compromiso requiere una investigación forense, que incluya análisis de red y de memoria.
Actualizar cuanto antes e investigar accesos previos
Ivanti aconseja a los clientes con versiones afectadas que actualicen a una versión corregida y ejecuten con regularidad su Integrity Checker Tool. Como la cadena observada puede eludir esa herramienta, los dispositivos expuestos durante la ventana de explotación también requieren un análisis forense inicial (triage), en lugar de confiar solo en un resultado limpio de la comprobación de integridad.
La actualización resuelve los componentes de omisión de autenticación y de ejecución remota de código. El fallo separado de escalada de privilegios sigue a la espera de una corrección del fabricante, aunque la información disponible no establece su explotabilidad residual una vez parcheados los dos primeros fallos.
CISA exige a las agencias federales estadounidenses incluidas en su alcance que remedien CVE-2026-104935 antes del 16 de octubre de 2026. La acción requerida es aplicar las mitigaciones del fabricante cumpliendo con BOD 26-04 Prioritizing Security Updates Based on Risk y con los Forensics Triage Requirements de CISA. En el caso de los servicios en la nube aplicables, las agencias deben seguir BOD 26-04; si no hay mitigaciones disponibles, CISA les ordena dejar de usar el producto.
Ese plazo se aplica a las agencias federales incluidas en el alcance, no a todos los operadores de Connect Secure. Para el resto de organizaciones, la explotación activa, el punto de entrada remoto sin autenticación y el posible acceso a credenciales de dominio hacen que las prioridades prácticas sean actualizar rápidamente y evaluar el compromiso.
