Ivanti Connect Secure: una cadena de zero-days explotada para obtener root, una de las tres fallas sigue sin parche

Unos atacantes encadenaron tres fallas desconocidas de las pasarelas VPN Ivanti Connect Secure para ejecutar comandos como root sin autenticarse y después robar credenciales de Active Directory. Ivanti corrigió dos el 13 de octubre (CVE-2026-104935); la escalada de privilegios sigue abierta.

Qué ha pasado

El 13 de octubre de 2026, Ivanti publicó la vulnerabilidad CVE-2026-104935 en su pasarela VPN Connect Secure y afirmó tener constancia de una explotación limitada. Ese mismo día, CISA la incluyó en su catálogo de vulnerabilidades explotadas y dio a las agencias federales estadounidenses hasta el 16 de octubre para actuar. La falla fue comunicada por Volexity, que encontró la cadena de explotación al investigar una intrusión en un cliente iniciada el 3 de octubre.

Según Volexity, la cadena combina tres debilidades: una omisión de autenticación en welcome.cgi, una escritura de archivos que permite ejecutar código a distancia y una escalada de privilegios hasta root. Las dos primeras, agrupadas en CVE-2026-104935 (CVSS 8,6), están corregidas. La escalada de privilegios aún no tiene parche; Volexity lo espera en las próximas semanas.

Qué hicieron los atacantes

Volexity rastrea al actor como UTA0576. No instaló ni webshell ni puerta trasera: usó la pasarela para recoger credenciales. Sus herramientas consultaban el Active Directory por LDAP, hacían Kerberoasting y rociado de contraseñas, y capturaban tráfico para extraer inicios de sesión LDAP, HTTP Basic y NTLM en claro. También buscaban contraseñas LAPS, claves de recuperación de BitLocker y la configuración del VPN. Como los cambios residían en memoria, la herramienta Integrity Checker de Ivanti podría no detectar el compromiso.

Qué hacer ahora

1. Compruebe su versión. Según NVD, están afectadas las ramas 22.8R2 a 22.8R2.4 y 25.1 anteriores a 25.1.3.0; la 22.7R2.14 y anteriores no.
2. Actualice ya a 22.8R2.5 o a 25.1.3.0 / 25.1.3.1, según el aviso de Ivanti.
3. Revise los registros en busca de ráfagas de peticiones a /dana-na/auth/url_default/welcome.cgi con una cabecera X-DSCGI-PATH y de archivos inesperados en /tmp/. No confíe solo en el Integrity Checker.
4. Si la pasarela estaba expuesta desde principios de octubre, trátela como posiblemente comprometida: cambie las contraseñas de las cuentas de servicio de AD usadas por el VPN y de las cuentas con SPN, renueve las contraseñas LAPS y las claves BitLocker, y vigile el rociado de contraseñas.
5. Aplique el tercer parche en cuanto Ivanti lo publique.

Nuestra opinión

Una pasarela VPN ve pasar todas las contraseñas de la empresa: el lugar ideal para robar un directorio entero sin tocar un solo equipo. El parche cierra la puerta, pero las credenciales robadas antes siguen siendo válidas hasta que se cambian. Esa rotación forma parte de la respuesta, no es opcional.

Fuentes

• Ivanti — October 2026 Security Update
• Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-104935
• NIST NVD — CVE-2026-104935

Cómo elegimos, verificamos y redactamos nuestros análisis →