Ivanti Connect Secure: encadenan fallos zero-day para obtener acceso root

Unos atacantes encadenaron tres fallos zero-day de Ivanti Connect Secure para ejecutar comandos como root sin iniciar sesión, según revelaron Ivanti y la empresa de seguridad Volexity el 13 de octubre de 2026. Connect Secure es un dispositivo VPN que las empresas colocan en el perímetro de sus redes para que el personal pueda conectarse en remoto. Ivanti ha corregido dos de los fallos, registrados conjuntamente como CVE-2026-104935. El tercero, que eleva al atacante a root, aún no tiene corrección.

Cómo funcionó el ataque

Volexity encontró el ataque en el dispositivo de un cliente, que tenía todos los parches aplicados y ejecutaba la versión 22.8R2.4, según The Hacker News. Volexity rastrea al atacante desconocido como UTA0576 y dice que UTA0576 empezó a explotar ese dispositivo el 3 de octubre. La empresa de inteligencia de amenazas Defused vio los primeros indicios de explotación desde el 1 de octubre, según BleepingComputer.

La cadena tiene tres pasos:

1. Omisión de la autenticación. El atacante entra sin contraseña.
2. Ejecución remota de código. El atacante ejecuta comandos en el dispositivo.
3. Escalada de privilegios. Esos comandos se ejecutan entonces como root, la todopoderosa cuenta del sistema.

Los dos primeros están cubiertos por CVE-2026-104935, que Ivanti puntúa con 8,6 sobre 10. Ivanti prevé corregir el tercero «en una versión futura en las próximas semanas», dijo Volexity.

Una vez dentro, el atacante robó credenciales almacenadas, incluidos inicios de sesión de dominio, y lanzó ataques de rociado de contraseñas (password spraying), según The Hacker News. Según iTnews, el atacante también buscó contraseñas de administrador local y claves de recuperación de BitLocker, y capturó credenciales en texto plano del tráfico VPN.

Qué versiones están afectadas

Rapid7 enumera estas versiones afectadas y sus correcciones:

Versión afectada	Corregida en
22.8R2.4	22.8R2.5
25.1.1.1	25.1.1.2
25.1.2.2	25.1.3.0 o 25.1.3.1
22.7.x y anteriores	No afectadas

Ivanti encontró parte del fallo mediante su propio programa de seguridad y lo corrigió en la 25.1.3.0 en julio, según Rapid7. Los ataques se produjeron mientras Ivanti aún llevaba esa corrección a versiones anteriores. Ivanti dijo a CyberScoop que el fallo «no alcanzaba el umbral para una publicación fuera de ciclo», así que la corrección salió según su calendario habitual.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió el fallo a su lista de vulnerabilidades explotadas conocidas el 13 de octubre. Las agencias federales deben aplicar el parche a más tardar el 16 de octubre, informa iTnews.

Por qué la comprobación habitual puede no detectarlo

El atacante apenas dejó rastro. No desplegó malware ni web shell, según Volexity. En su lugar, volvió a ejecutar toda la cadena para cada comando y manipuló los registros del dispositivo.

Además, el exploit solo modifica código en memoria y restaura los ajustes que altera, informa The Hacker News. Eso le permitió esquivar la Integrity Checker Tool de Ivanti, el escáner que Ivanti pide a sus clientes que ejecuten. La CISA ha advertido de que la herramienta puede no detectar este ataque, por lo que recomienda en su lugar análisis forense de red y de memoria, informa CyberScoop.

Volexity cree, con confianza media, que el atacante usó modelos de IA para crear sus herramientas, según iTnews. Volexity tiene poca confianza en que el motivo sea criminal y no de espionaje.

«Los dispositivos perimetrales son un valioso punto de apoyo inicial y a menudo permiten a los atacantes avanzar más dentro de las redes objetivo», dijo a CyberScoop Sean Koessel, Vice President of Professional Services de Volexity.

Un objetivo conocido

Ivanti describe los ataques como una «explotación limitada en entornos reales». Ninguna de las dos empresas ha dicho cuántos clientes se vieron afectados. Shadowserver, una organización sin ánimo de lucro que escanea internet, rastrea más de 5.500 dispositivos Connect Secure accesibles en línea, según BleepingComputer.

No es la primera vez. La lista de la CISA ha incluido 36 fallos de Ivanti desde noviembre de 2021, según BleepingComputer, y las bandas de ransomware abusaron de 12 de ellos.

Qué significa esto para los desarrolladores

Para los equipos que gestionan Ivanti Connect Secure o dependen de él:

• Parchee ya, no en la próxima ventana de mantenimiento. «Si está ejecutando una de las versiones afectadas, Ivanti recomienda que actúe de inmediato». Rapid7 también aconseja aplicar el parche fuera de los ciclos normales.
• No dé por hecho que el parche lo resuelve todo. El tercer fallo sigue abierto, y un dispositivo parcheado puede estar ya comprometido. Busque indicios de compromiso después de actualizar.
• No confíe solo en el verificador. La Integrity Checker Tool no detectó esta cadena. Revise el tráfico de red del dispositivo y use análisis forense de memoria cuando pueda.
• Cambie lo que la VPN podía ver. El atacante se llevó credenciales de dominio y capturó contraseñas del tráfico VPN. Restablezca las contraseñas de las cuentas de servicio y revise los inicios de sesión recientes que pasaron por el dispositivo.
• Esté atento a la tercera corrección. Ivanti la ha prometido para las próximas semanas. Hasta entonces, limite quién puede acceder a la página de inicio de sesión del dispositivo.