CISA advierte explotación activa de Ivanti Connect Secure por CVE-2026-104935

Ivanti Connect Secure (ICS), la plataforma VPN/SSL ampliamente usada para acceso remoto, está siendo activamente explotada en la naturaleza por una vulnerabilidad de omisión de autenticación que permite la ejecución remota de comandos. El fallo, identificado como CVE-2026-104935 y con una puntuación CVSS de 8.6, fue señalado por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), que además lo incluyó en su catálogo de Known Exploited Vulnerabilities (KEV) —lo que obliga a las agencias federales estadounidenses a corregirlo antes del 16 de octubre de 2026— y urgió a los operadores a actualizar sus dispositivos Ivanti a la versión más reciente. Las versiones afectadas por el fallo son 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores; Ivanti advierte además que la rama 22.8 llegará al final de su vida útil el 31 de enero de 2027.

De forma confirmada por fuentes públicas, múltiples equipos de respuesta han observado intentos de explotación. Volexity reportó actividad explotadora desde al menos el 3 de octubre de 2026, atribuyendo campañas operadas por un actor que denominó UTA0576 y que, según su análisis, combina el bypass de autenticación con una vulnerabilidad adicional de escalada de privilegios para lograr ejecución como root sin credenciales. Independientemente de la motivación del actor, Volexity documenta post-explotación consistente con robo de credenciales, extracción de metadatos de Active Directory, despliegue de herramientas para ataques Kerberoast y búsqueda de claves de BitLocker. En paralelo, la firma Previdian registró 105 intentos de explotación dirigidos a sus honeypots hasta el 14 de octubre de 2026, originados desde decenas de IPs distintas, lo que indica campañas coordinadas y testeo activo de capacidad de ejecución remota.

Qué ocurre técnicamente (confirmado y explicado): la vulnerabilidad permite a un atacante remoto saltarse el proceso de autenticación y alcanzar manejadores internos (CGI) del appliance. Investigadores han observado el abuso del encabezado HTTP X-DSCGI-PATH para direccionar peticiones hacia un handler interno que acepta archivos; los atacantes suben paquetes que aparentan ser ZIP pero contienen scripts Perl. Si la ejecución remota funciona, estos scripts devuelven marcadores únicos que confirman el éxito del exploit. En algunos incidentes documentados, a esa ejecución inicial se le han unido vectores de escalada para obtener privilegios de sistema y realizar acciones de post-explotación diseñadas para maximizar acceso y persistencia.

A quién afecta (confirmado): cualquier organización que utilice Ivanti Connect Secure en las versiones citadas y que tenga el dispositivo accesible desde redes no confiables está en riesgo. Esto incluye appliances físicos, instancias virtuales y despliegues en la nube. El riesgo es especialmente crítico para infraestructuras que exponen el acceso remoto de administración o acceso VPN al Internet público sin controles de acceso adicionales.

Consecuencias reales y observadas (confirmadas y estimadas): tras la explotación, adversarios han logrado robar credenciales almacenadas en el appliance, capturar tráfico LDAP/AD y desplegar herramientas de post-explotación que permiten búsqueda de contraseñas administrativas y recuperación de claves de disco. Volexity describe además intentos deliberados de borrar o modificar registros y dejar el sistema en un estado que dificulte la detección. A nivel operativo, esto puede traducirse en acceso a cuentas corporativas, movimiento lateral dentro de redes internas, compromiso de infraestructuras críticas de autenticación y exfiltración de datos sensibles. Las campañas observadas hasta ahora se han centrado en pruebas de ejecución, pero los reportes indican que la siguiente fase probablemente consista en cargas útiles más dañinas y dirigidas.

Qué está confirmado: existencia de CVE-2026-104935; explotación activa documentada desde el 3 de octubre de 2026; inclusión en el catálogo KEV de CISA con fecha límite de remediación para agencias federales; observaciones de pruebas de explotación por Previdian y actividad post-explotación documentada por Volexity. Qué es estimación o aún incierto: la amplitud total del compromiso en instalaciones reales (cuántos appliances han sido completamente comprometidos fuera de los honeypots), la identidad final o atribución operativa de todos los atacantes y si hay campañas masivas de exfiltración ya en curso más allá de los casos publicados.

Acciones concretas y priorizadas que deben adoptar los responsables técnicos hoy mismo: en primer lugar, aplicar parches. Si su despliegue puede actualizarse, hágalo inmediatamente siguiendo la guía de compatibilidad y migración de Ivanti (https://www.ivanti.com/support/security-advisories). CISA ofrece información adicional en su catálogo KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), donde se detallan plazos y requisitos para el sector público.

Si no puede parchear de forma inmediata o necesita tiempo para una intervención controlada, aplique mitigaciones compensatorias: restringa el acceso al appliance a direcciones IP conocidas mediante listas de control de acceso o firewalls de perímetro, mueva la administración fuera de Internet público y limite puertos a través de VPNs de gestión separadas, implemente autenticación multifactor para accesos de administración, y despliegue reglas de IDS/IPS y WAF que detecten y bloqueen peticiones con encabezados anómalos (por ejemplo, X-DSCGI-PATH) o intentos de subir archivos no esperados. Monitoree con prioridad los logs de acceso, registros web y cualquier upload de archivos que no se corresponda con el uso legítimo.

Si sospecha de compromiso, CISA y los equipos que han investigado recomiendan pasos forenses y de remediación específicos: crear una copia de la configuración actual del dispositivo, realizar un reset de fábrica y actualizar a la versión parcheada, o en entornos virtuales reconstruir la instancia; restaurar la configuración desde la copia solo después de confirmar que no contiene objetos maliciosos; resetear todas las contraseñas (locales, administrativas, de dominio) y revocar/reemitir certificados y claves API; y llevar a cabo análisis de memoria y red para identificar signos de ejecución ilícita. Volexity ha documentado técnicas de limpieza de artefactos por parte de atacantes, por lo que la contención debe asumirse desde la perspectiva de que el adversario intenta ocultarse.

Detecciones prácticas que los equipos de seguridad pueden implementar: buscar en los logs entradas con el encabezado X-DSCGI-PATH, examinar cargas subidas que tengan extensiones ZIP pero contengan scripts Perl u otros intérpretes, detectar procesos Perl o Python inesperados en appliances, revisar conexiones salientes hacia hosts desconocidos desde el appliance, y analizar tráfico LDAP y Kerberos en busca de anomalías y extracción de metadatos. Para orientación técnica adicional sobre indicadores y tácticas observadas, consulte los análisis públicos de empresas de respuesta a incidentes y los reportes de investigación en blogs especializados como el de Volexity (https://www.volexity.com/blog/).

En resumen, la vulnerabilidad en Ivanti Connect Secure es una amenaza activa que ya ha sido aprovechada para validar ejecución remota y, en casos documentados, para robar credenciales y realizar acciones avanzadas de post-explotación. La prioridad inmediata es parchear o aplicar mitigaciones restrictivas y realizar análisis forense si el equipo ha estado expuesto. Operadores de infraestructuras críticas y administradores de VPN deben considerar estas medidas como urgentes: el tiempo de reacción ahora puede marcar la diferencia entre contener una prueba de concepto y responder a una intrusión con persistencia y exfiltración de datos.