La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) instó a los equipos de seguridad a actualizar inmediatamente los dispositivos Ivanti Connect Secure, después de confirmar la explotación de una vulnerabilidad de omisión de autenticación en ataques de día cero desde al menos el 1 de octubre.
La vulnerabilidad, registrada con el identificador CVE-2026-104935, está clasificada como de alta gravedad y permite a atacantes remotos sin privilegios ejecutar comandos arbitrarios en los sistemas objetivo. Los ataques no requieren interacción del usuario, lo que aumenta el riesgo para los dispositivos expuestos a Internet.
Actualizaciones de Ivanti y explotación observada
Ivanti publicó el martes las versiones 22.8R2.5, 25.1.3.0, 25.1.3.1 y 25.1.1.2 para solucionar el fallo, e instó a los clientes a actuar de inmediato, señalando que existe una explotación limitada en la naturaleza.
La empresa Volexity afirmó que un actor de amenazas desconocido, al que rastrea con el nombre UTA0576, comenzó a integrar, desde al menos el 3 de octubre, esta vulnerabilidad con otras dos para ejecutar una cadena de ataque que combina la omisión de autenticación, la ejecución remota y la escalada de privilegios, hasta ejecutar comandos con privilegios de root sin autenticación.
Según Volexity, las actividades posteriores al compromiso tuvieron como objetivo credenciales y secretos de Active Directory, incluidas las contraseñas de Local Administrator Password Solution (LAPS) y las claves de recuperación de BitLocker. La empresa Defused también confirmó haber encontrado indicios de explotación de la vulnerabilidad en la naturaleza desde el 1 de octubre.
¿Por qué es importante esta noticia?
Shadowserver observa más de 5.600 hosts expuestos a Internet que presentan huellas de Ivanti Connect Secure, pero la cifra no aclara cuántos están protegidos o representan entornos de monitorización señuelo. Por ello, instalar la actualización por sí solo no basta para demostrar que no se ha producido un compromiso, especialmente porque los comandos de los atacantes pueden ejecutarse en la memoria.
CISA añadió la vulnerabilidad a su catálogo de vulnerabilidades explotadas activamente y obligó a las agencias civiles ejecutivas federales a proteger sus redes antes del viernes en virtud de la directiva operativa obligatoria BOD 26-04. También emitió una advertencia independiente dirigida a todos los equipos de seguridad y administradores de redes para actualizar los sistemas y comprobar los indicadores de compromiso.
¿Qué debe hacerse ante la sospecha de un compromiso?
CISA advierte contra depender únicamente de la Integrity Checker Tool de Ivanti, ya que podría no detectar rastros de explotación de CVE-2026-104935 cuando los comandos se ejecutan en la memoria. La agencia recomienda realizar un análisis forense de la red y la memoria y, después, seguir los siguientes pasos cuando se confirme el compromiso:
- Crear una copia de seguridad de la configuración del dispositivo.
- Restablecer la configuración de fábrica e instalar la versión más reciente; los sistemas en la nube y virtuales deben reconstruirse y actualizarse.
- Restaurar la configuración desde la copia de seguridad.
- Cambiar las contraseñas de todas las cuentas, incluidas las cuentas de dominio, de administradores y locales.
- Revocar los certificados almacenados y volver a emitirlos, además de restablecer las claves de API y las credenciales del servidor de licencias.
Este incidente se suma a una serie de vulnerabilidades de Ivanti Connect Secure explotadas activamente en los últimos años. Desde noviembre de 2021, CISA ha incluido 36 vulnerabilidades relacionadas con Ivanti en su catálogo de vulnerabilidades explotadas activamente; 12 de ellas también se utilizaron en ataques de ransomware.