Ivanti Connect Secure: zero-day CVE-2026-104935 explotado

El 13 de octubre de 2026 Ivanti publicó las actualizaciones de Ivanti Connect Secure (ICS), el gateway SSL VPN que muchas empresas usan para el acceso remoto, que corrigen la CVE-2026-104935: un bypass de autenticación que permite a un atacante remoto y no autenticado ejecutar comandos arbitrarios en el appliance. La puntuación CVSS v3.1 es 8,6 (gravedad alta). Ivanti confirmó una explotación «limitada» en un número reducido de clientes y pide actuar de inmediato.

Ese mismo día la CISA incluyó la vulnerabilidad en su catálogo KEV, con plazo hasta el viernes 16 de octubre para las agencias federales de Estados Unidos, y publicó un aviso dirigido a todas las organizaciones. Siguieron las alertas de NBSZ NKI (Hungría, 14 de octubre) y SingCERT (Singapur, 20 de octubre).

La cadena de ataque

La vulnerabilidad la descubrió Volexity, que el 5 de octubre empezó a investigar una actividad sospechosa y la atribuyó a un appliance ICS totalmente actualizado, comprometido desde el 3 de octubre. La empresa de threat intelligence Defused observó los primeros indicios de explotación ya el 1 de octubre.

Según Volexity, los atacantes encadenaron tres vulnerabilidades:

1. un bypass de autenticación;
2. una ejecución remota de código (RCE);
3. una escalada de privilegios hasta root.

Las dos primeras están cubiertas por la CVE-2026-104935 y las corrigen las actualizaciones del 13 de octubre. La tercera es un fallo distinto, todavía sin corregir: Ivanti lo conoce y prevé publicar la corrección «en las próximas semanas».

Según The Register, Ivanti ya había corregido «una parte» de la vulnerabilidad en julio en la 25.1.3.0, pero los ataques empezaron antes de que terminara de trasladar la corrección a las demás ramas; Dark Reading subraya que la corrección de julio era parcial.

Quién está detrás y qué hizo

Volexity atribuye los ataques a un grupo hasta ahora desconocido, al que llama UTA0576, y considera, con baja confianza, que tiene motivaciones delictivas más que de espionaje. Algunos detalles técnicos:

• ni malware ni web shell: el grupo volvió a explotar la vulnerabilidad para cada comando, usando solo las herramientas presentes en el appliance;
• manipulación de los registros para borrar sus huellas, con lo que eludió el Integrity Checker Tool (ICT) de Ivanti;
• robo de credenciales y secretos de Active Directory, incluidas las contraseñas LAPS y las claves de recuperación de BitLocker (dato publicado por BleepingComputer citando a Volexity), además de exfiltración de datos y reconocimiento de la red.

Según Volexity (alta confianza), el grupo preparaba movimientos laterales y un compromiso más amplio, interrumpido al descubrirse el ataque.

En términos de MITRE ATT&CK: acceso inicial con T1190 (Exploit Public-Facing Application), escalada con T1068 (Exploitation for Privilege Escalation), borrado de huellas con T1070 (Indicator Removal) y después Credential Access (TA0006), Discovery (TA0007) y Exfiltration (TA0010).

Versiones afectadas y corregidas

Están afectadas:

• 22.8R2.4 y anteriores;
• 25.1.1.1 y anteriores;
• 25.1.2.2 y anteriores.

Las versiones corregidas son 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1. Según la alerta húngara, que recoge las indicaciones de Ivanti, la 22.7R2.14 y anteriores no están afectadas; la rama 22.7 dejará de tener soporte el 31 de enero de 2027 y la 22.8 solo sirve como paso hacia la 25.1, así que conviene planificar la migración. Si no puedes pasar a la 25.1 de inmediato, puedes instalar la 22.8R2.5.

Indicadores y detección

El aviso de Ivanti no incluye indicadores de compromiso públicos (direcciones IP, dominios, hashes) y remite al informe de Volexity. La CISA advierte que el ICT podría no detectar la explotación, porque los comandos se ejecutan en memoria: para saber si un appliance ha sido comprometido hacen falta análisis forenses de red y de memoria.

Shadowserver cuenta más de 5.600 hosts expuestos en Internet con la huella de ICS, sin saber cuántos están ya actualizados o son honeypots. The Hacker News informa de 105 intentos de explotación registrados por honeypots.

Impacto para las empresas europeas e italianas

Las VPN SSL son la puerta de entrada de empleados, proveedores y técnicos de mantenimiento, y por definición están en Internet. El caso es delicado por dos motivos: la escalada de privilegios sigue abierta, y los atacantes buscan las credenciales de Active Directory, que siguen siendo válidas aunque se actualice el appliance.

Para las entidades sujetas a NIS2, la actualización forma parte de la gestión de vulnerabilidades con plazos documentados; un compromiso confirmado debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN, con alerta temprana en 24 horas para los incidentes significativos). En el sector sanitario, donde la VPN sirve a menudo para el acceso remoto de médicos y proveedores de dispositivos, el robo de credenciales de dominio puede abrir el camino a los sistemas clínicos.

Qué hacer ahora

1. Actualiza todos los appliances, incluidos todos los nodos de los clústeres de alta disponibilidad, a la versión corregida de tu rama, y comprueba después versión e integridad.
2. Ejecuta el ICT, pero no te fíes solo de su resultado: busca autenticaciones anómalas, cambios de configuración, conexiones salientes inusuales y huecos en los registros.
3. Conserva las pruebas antes de intervenir y, si tienes dudas, haz analizar red y memoria.
4. Si encuentras un compromiso, sigue las indicaciones de la CISA: guarda la configuración, haz un restablecimiento de fábrica y actualiza (en las instancias cloud y virtuales, reconstrúyelas), restaura la configuración, restablece las contraseñas de todas las cuentas (dominio, administradores, locales), revoca y vuelve a emitir los certificados, y cambia las claves API y las credenciales del servidor de licencias.
5. Revisa Active Directory: lecturas de contraseñas LAPS y de claves BitLocker, inicios de sesión desde la dirección interna de la VPN, cuentas o privilegios nuevos.
6. Sigue el aviso de Ivanti para la corrección de la escalada de privilegios e instálala en cuanto se publique.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que sepas enseguida si un gateway de acceso remoto es accesible desde fuera. ARX Sentry recoge los registros de firewalls y dispositivos de red en un colector central, fuera del appliance: manipular los registros locales no borra lo que ya se ha enviado. Las páginas de identidades de ARX Sentry destacan accesos privilegiados, ráfagas de intentos y cambios en las cuentas, útiles para reconocer el uso de credenciales robadas.

Última actualización: 20 de octubre de 2026