Ivanti instó a sus clientes a actualizar de inmediato la puerta de acceso remoto Ivanti Connect Secure tras revelar la vulnerabilidad de día cero CVE-2026-104935, una vulnerabilidad crítica de omisión de autenticación que está siendo explotada en ataques reales. La vulnerabilidad afecta a las versiones 22.8R2.4 y anteriores, 25.1.2.2 y anteriores, y 25.1.1.1 y anteriores.
La vulnerabilidad permite a atacantes no autorizados ejecutar comandos arbitrarios en los dispositivos objetivo mediante ataques de baja complejidad que no requieren ninguna interacción del usuario. Connect Secure, conocida anteriormente como Pulse Connect Secure y antes como Juniper Pulse, se utiliza para proporcionar acceso seguro a empleados, contratistas y equipos híbridos a recursos corporativos y servicios en la nube.
Explotación en varias etapas
Ivanti afirmó que detectó una explotación limitada de la vulnerabilidad en Internet en el momento de la divulgación, y pidió a los clientes que revisaran el boletín de seguridad, actualizaran a una versión corregida y ejecutaran periódicamente la herramienta Integrity Checker. Sin embargo, Volexity, que descubrió la vulnerabilidad y la notificó, afirmó que un actor de amenazas desconocido, al que rastrea como UTA0576, la utilizaba al menos desde el 3 de octubre y la vinculó a otras dos vulnerabilidades para ejecutar código con privilegios de root sin autenticación, incluso en dispositivos completamente actualizados.
Según Volexity, el actor atacante no instaló malware ni herramientas web persistentes; en su lugar, volvió a explotar el dispositivo para ejecutar cada comando, manipuló los registros para ocultar sus rastros y logró eludir la herramienta Integrity Checker de Ivanti. La empresa Defused confirmó que detectó los primeros indicios de explotación de la vulnerabilidad en la naturaleza el 1 de octubre.
¿Qué cambia en la práctica?
El riesgo no se limita a instalar el parche correspondiente a la vulnerabilidad actual, ya que Ivanti indicó que todavía trabaja en la corrección de una vulnerabilidad de escalada de privilegios utilizada como parte de la misma cadena. Por ello, los operadores de los dispositivos afectados deben seguir el boletín de seguridad completo, verificar la integridad de los sistemas y los registros, y no considerar por sí sola la superación del Integrity Checker como prueba suficiente de que el dispositivo no ha sido manipulado.
Shadowserver rastrea más de 5.500 instancias de Connect Secure expuestas en Internet, aunque no hay información que determine cuántos dispositivos son honeypots o cuáles ya han sido protegidos. Esto aumenta la importancia de identificar los activos expuestos y priorizar su actualización, especialmente porque las puertas de acceso remoto se encuentran en el límite entre Internet y las redes corporativas.
Un contexto recurrente para un producto objetivo
Durante los últimos años, Ivanti ha corregido varias vulnerabilidades de día cero en Connect Secure que fueron explotadas en ataques, entre ellas CVE-2023-46805 y CVE-2024-21887 en enero de 2024, y CVE-2024-21893 posteriormente ese mismo mes, además de las vulnerabilidades de ejecución remota CVE-2025-0282 y CVE-2025-22457 en 2025. Asimismo, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, CISA, contabilizó 36 vulnerabilidades en productos de Ivanti que fueron explotadas activamente desde noviembre de 2021; bandas de ransomware utilizaron indebidamente 12 de ellas.
Análisis de certi.news: El cambio real aquí es el paso de una vulnerabilidad de omisión de autenticación desde el ámbito de la divulgación a la explotación práctica, lo que otorga al atacante la capacidad de ejecutar comandos con privilegios elevados, junto con indicios de técnicas que ayudan a eludir las herramientas de verificación. El alcance de la explotación y el número de dispositivos realmente comprometidos aún no están claros, por lo que la actualización y la verificación forense de los sistemas afectados son dos medidas paralelas, y ninguna puede sustituir a la otra.