La empresa Ivanti ha emitido actualizaciones de seguridad urgentes para corregir dos nuevas vulnerabilidades de «día cero» (Zero-day) en sus pasarelas de acceso remoto (Connect Secure - ICS), tras detectarse su explotación en ataques encadenados iniciados a principios de octubre de 2026. Esta medida forma parte de los intentos de la compañía para cerrar las brechas que los atacantes utilizaron para alcanzar niveles profundos de control en las redes empresariales.
Detalles de las vulnerabilidades y mecanismo de explotación encadenada
La primera vulnerabilidad, con el identificador CVE-2026-111357, consiste en un fallo de alta gravedad que permite la escalada de privilegios (Privilege Escalation), mientras que la segunda, CVE-2026-118527, permite a los atacantes autenticados subir archivos maliciosos a los dispositivos no actualizados. Los atacantes combinaron estas dos fallas con una tercera vulnerabilidad de omisión de autenticación (CVE-2026-104935) para la cual Ivanti ya había lanzado un parche el mes pasado.
La compañía explicó que inicialmente decidió centrarse en solucionar la vulnerabilidad de omisión de autenticación debido a que representaba la ruta principal de ataque, antes de descubrir posteriormente que los atacantes estaban utilizando las demás fallas para afianzar su posición dentro de los sistemas. Ivanti confirmó que esta secuencia permitió a los atacantes ejecutar comandos de software a nivel de «raíz» (Root-level), incluso en aquellos dispositivos que las organizaciones consideraban completamente protegidos.
Comportamiento de los atacantes y técnicas de evasión
La empresa de ciberseguridad Volexity, que detectó estos ataques, reveló que un grupo de amenazas conocido como UTA0576 estuvo detrás de estas operaciones. Lo que caracteriza a este ataque es que los atacantes no dependieron de la implantación de software malicioso tradicional ni de interfaces de control web (Web Shells), sino que volvieron a explotar la vulnerabilidad con cada comando ejecutado, manipulando al mismo tiempo los registros del sistema para borrar sus huellas y evitar ser detectados por las herramientas de escaneo de integridad de Ivanti.
Asimismo, la empresa de inteligencia de seguridad Defused confirmó estos hallazgos, señalando que las primeras señales de explotación activa comenzaron el 1 de octubre, lo que refleja la rapidez con la que los atacantes responden a las vulnerabilidades recién descubiertas en infraestructuras sensibles.
Advertencias oficiales y alcance global
Dada la gravedad de la situación, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) añadió la vulnerabilidad principal a su catálogo de vulnerabilidades explotadas conocidas y ordenó a las agencias federales actualizar sus sistemas de inmediato. Los datos del observatorio Shadowserver indican la existencia de más de 5,000 dispositivos ICS expuestos en internet, y todavía no está claro cuántos de ellos han sido asegurados de manera efectiva hasta el momento.
¿Por qué es esta noticia de suma importancia?
Las pasarelas de acceso remoto de Ivanti son un objetivo preferido para los grupos de espionaje cibernético, especialmente aquellos vinculados a estados, debido a que proporcionan una vía de entrada directa a las redes de grandes empresas para robar datos confidenciales. Lo que cambia en la práctica aquí es que los atacantes se han vuelto más capaces de ocultarse mediante «ataques sin archivos» (Fileless attacks), lo que hace que confiar en las herramientas de escaneo tradicionales sea insuficiente. Los administradores de sistemas no solo deben instalar las actualizaciones, sino también revisar los registros de acceso en busca de cualquier actividad inusual que se remonte a principios de octubre, ya que la actualización soluciona la vulnerabilidad pero no expulsa a un atacante que ya haya logrado vulnerar el sistema y asegurar su presencia por otros medios.