Un atacante encadenó tres vulnerabilidades zero-day en Ivanti Connect Secure, un dispositivo VPN, para ejecutar comandos como root sin necesidad de iniciar sesión, según informó la empresa de seguridad Volexity el 13 de octubre. Ivanti ha publicado parches para dos de las fallas y ha instado a los clientes con versiones afectadas a 'actuar de inmediato'. El parche para la tercera vulnerabilidad aún está pendiente, según Volexity.
Volexity, que reportó las fallas a Ivanti, descubrió el ataque en el dispositivo de un cliente. El equipo estaba completamente parcheado y ejecutaba la versión 22.8R2.4. El atacante, rastreado por Volexity como UTA0576, comenzó a explotarlo el 3 de octubre.
Ivanti declaró el 13 de octubre que tiene conocimiento de una 'explotación limitada en el mundo real'.
Las dos primeras fallas son un bypass de autenticación y una vulnerabilidad de ejecución remota de código, rastreadas en conjunto como CVE-2026-104935. Juntas permiten a un atacante ejecutar código como el usuario cgi-server del dispositivo, y la tercera falla, una escalada de privilegios, eleva ese acceso a root, según Volexity.
El registro CVE presentado por Ivanti muestra qué versiones de Connect Secure están afectadas:
- Afectadas: Connect Secure 'anterior a la versión 25.1.3.0'
- No afectadas: versión 22.7R2.14 'o anterior'
- Listadas como no afectadas: versiones 22.8R2.5, 25.1.3.0 y 25.1.3.1
El aviso de seguridad de Ivanti ofrece más detalles sobre las versiones afectadas y los parches.
Las notas de la versión 25.1.3.0 están fechadas en julio de 2026. Los clientes que ya tienen esa versión quedan fuera del rango indicado en el registro CVE.
Ivanti está trabajando en un parche para la vulnerabilidad de escalada de privilegios, que llegará 'en una versión futura en las próximas semanas', según Volexity. Su informe no especifica qué riesgo representa esa falla en un dispositivo donde las dos primeras ya están corregidas.
Ivanti recomienda a los clientes actualizar y ejecutar regularmente su herramienta Integrity Checker. Esa herramienta no detecta esta cadena de exploits, según Volexity, porque el exploit modifica el código de la biblioteca solo en memoria y restaura los datos de configuración que altera. El atacante también tomó medidas para ocultarse de la herramienta.
Confirmar un compromiso requiere una investigación forense, que incluye análisis de red y de memoria, según Volexity. Estas señales provienen del único incidente que investigó:
- Ruta URL: /dana-na/auth/url_default/welcome.cgi, solicitada en grandes cantidades
- Encabezado HTTP: X-DSCGI-PATH en esas solicitudes, con un valor que no coincide con la ruta URL
- Directorio: /data/.icscap/
- IP: 108.165.147[.]64, el host utilizado por el atacante
En ese incidente, el atacante robó credenciales almacenadas, incluidos credenciales de dominio LDAP, buscó contraseñas en Active Directory y lanzó ataques de pulverización de contraseñas contra sus cuentas. No dejó puertas traseras ni web shells. El atacante volvió a ejecutar toda la cadena de explotación para cada comando.
El informe de Volexity y la publicación de Ivanti no mencionan una solución temporal para los clientes que no pueden actualizar aún. Tampoco indican si la actualización elimina el acceso que un atacante ya haya obtenido.
Volexity evaluó con baja confianza que el motivo de UTA0576 es criminal, no de espionaje. Ninguna de las dos empresas dijo cuántos clientes fueron atacados.
Ivanti califica CVE-2026-104935 con 8.6 sobre 10 en la escala de severidad CVSS. En su propia entrada en el registro CVE, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) marca la explotación como 'activa' y el impacto técnico como 'total'.
Por separado, la misma publicación de Ivanti cubre parches para otros dos productos, Xtraction y Neurons Patch for Intune, y Ivanti afirmó que no tiene conocimiento de que esas fallas hayan sido explotadas. Cada uno tiene una vulnerabilidad que Ivanti califica con 9.9 sobre 10: CVE-2026-106042 en Xtraction anterior a la versión 2026.4, y CVE-2026-109412 en Neurons Patch for Intune.
Deja una respuesta