La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) ha instado a las organizaciones a actualizar de inmediato sus dispositivos Ivanti Connect Secure (ICS) y despliegues a la última versión, tras la divulgación de una vulnerabilidad explotada activamente.
La falla de seguridad, identificada como CVE-2026-104935 (puntuación CVSS: 8.6), es un caso de omisión de autenticación que afecta a las versiones ICS 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores, y podría permitir a un atacante remoto no autenticado ejecutar comandos arbitrarios.
"CISA tiene conocimiento de que actores de amenazas cibernéticas están explotando esta vulnerabilidad de omisión de autenticación de día cero, que permite la ejecución remota y no autenticada de comandos arbitrarios, para llevar a cabo robo de credenciales y exfiltración de datos", declaró la agencia.
Desde entonces, la agencia ha añadido la falla a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), lo que obliga a las agencias del Poder Ejecutivo Civil Federal (FCEB) a aplicar las correcciones antes del 16 de octubre de 2026.
CISA también recomienda a los clientes de despliegues ICS afectados que revisen la Guía de Compatibilidad de Actualización y Migración de Ivanti Connect Secure para obtener orientación sobre parcheo, advirtiendo que la versión 22.8 alcanzará su fin de vida útil el 31 de enero de 2027.
"Las organizaciones que busquen determinar si fueron comprometidas deberán realizar análisis forenses de red y memoria para identificar evidencia de explotación", agregó.
En caso de detectar un compromiso, CISA aconseja a las organizaciones implementar las siguientes acciones:
- Crear una copia de seguridad de la configuración del dispositivo.
- Realizar un restablecimiento de fábrica y actualizar el dispositivo a la última versión.
- Para sistemas en la nube y virtuales, reconstruir la instancia virtual y actualizar a la última versión.
- Restaurar la configuración del dispositivo desde la copia de seguridad creada en el paso 1.
- Restablecer las contraseñas de todas las cuentas, incluidas las de dominio, administrador y locales. Revocar y reemitir los certificados almacenados; restablecer las claves de API almacenadas y las credenciales del servidor de licencias.
Este desarrollo se produce mientras Previdian reveló que ha observado 105 intentos de explotación dirigidos a sus sensores honeypot hasta el 14 de octubre de 2026. Los intentos de ataque se originaron desde 50 direcciones IP únicas geolocalizadas en Singapur y EE. UU. A continuación se enumeran algunas de las direcciones IP observadas:
- 216.73.160[.]59
- 216.73.160[.]61
- 216.73.160[.]210
- 45.8.19[.]111
Según Ryan Dewhurst, fundador y CEO de Previdian, los actores de amenazas están utilizando el encabezado X-DSCGI-PATH para acceder a un manejador CGI interno y cargar scripts Perl disfrazados de archivos ZIP. Los scripts devuelven marcadores únicos que determinan si la ejecución remota de código ha tenido éxito.
"Estamos viendo intentos coordinados de explotar esta vulnerabilidad de Ivanti, pero las cargas útiles capturadas hasta ahora son principalmente pruebas de ejecución de código en lugar de despliegue de malware o compromiso del dispositivo", dijo Dewhurst a The Hacker News. "Sin embargo, es probable que una explotación completamente armada siga en las próximas horas y días".
En un informe separado, Volexity afirmó que observó por primera vez la explotación de CVE-2026-104935 el 3 de octubre de 2026, con un actor de amenazas no documentado previamente denominado UTA0576, que la aprovechó junto con una vulnerabilidad de escalada de privilegios para lograr ejecución de código a nivel root sin autenticación. Se evalúa que UTA0576 está motivado por fines criminales en lugar de espionaje.
Tras la explotación exitosa, se dice que el actor de amenazas realizó amplias acciones de post-explotación, incluida la extracción de credenciales almacenadas en el dispositivo VPN ICS, la exfiltración de metadatos limitados de Active Directory, el despliegue de una herramienta Kerberos capaz de ataques Kerberoast y pruebas de credenciales, la realización de reconocimiento de hosts, la captura de paquetes LDAP y la instalación de una herramienta LDAP en Python para buscar contraseñas de administrador y claves de recuperación de BitLocker.
"Las cargas útiles recuperadas demuestran esfuerzos deliberados por ocultar actividades maliciosas mediante la modificación selectiva de registros, la eliminación de artefactos de ejecución temporales y la restauración del estado alterado del sistema", señalaron los investigadores de Volexity Charlie Gardner, Sean Koessel y Steven Adair.
Deja una respuesta