Ivanti Connect Secure — Explotación en Cadena de Tres Zero-Days para Acceso Root (CVE-2026-104935)

Fecha de publicación: 13 de octubre de 2026
Categoría: Vulnerability / Enterprise Security

Introducción

Un grupo de actores de amenazas identificado como UTA0576 ha llevado a cabo campañas de explotación activa utilizando una sofisticada cadena de tres vulnerabilidades de tipo zero-day en dispositivos VPN Ivanti Connect Secure. El hallazgo, reportado por la firma de seguridad Volexity, demuestra cómo los atacantes lograron omitir controles de autenticación y ejecutar comandos arbitrarios con privilegios de superusuario (root) en un appliance que se encontraba completamente parcheado con la versión 22.8R2.4. Hasta el momento, el fabricante ha liberado actualizaciones parciales para dos de los fallos incluidos en el vector principal, mientras que la corrección definitiva para el mecanismo de escalada de privilegios se encuentra en desarrollo.

¿Qué es Ivanti Connect Secure y la Cadena de Vulnerabilidades? (Análisis General)

Ivanti Connect Secure es una solución de pasarela de red privada virtual (VPN) empresarial y acceso seguro ampliamente desplegada en infraestructuras críticas corporativas. Al operar en el perímetro de la red, cualquier compromiso en este tipo de dispositivos expone directamente los recursos internos de la organización.

El incidente gira en torno a una combinación de fallos críticos. El vector principal está catalogado bajo CVE-2026-104935, el cual agrupa un mecanismo de elusión de autenticación y ejecución remota de código. Según los datos oficiales del NVD, este fallo presenta un vector CVSS oficial CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L con una puntuación de 8.6 (HIGH) y está asociado a la debilidad CWE-290 (Authentication Bypass by Spoofing). Adicionalmente, el catálogo CISA KEV ha confirmado su explotación activa en entornos reales.

Paralelamente, el boletín de seguridad del fabricante ha abordado vulnerabilidades críticas independientes en otros productos de su ecosistema:

  • CVE-2026-106042: Vulnerabilidad en Ivanti Xtraction con un CVSS oficial de 9.9 (CRITICAL) (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) y clasificación CWE-73 (External Control of File Name or Path).
  • CVE-2026-109412: Endpoint peligroso expuesto en Ivanti Neurons Patch for Intune, con un CVSS oficial de 9.9 (CRITICAL) (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) y clasificación CWE-749 (Exposed Dangerous Method or Function).

¿Cómo funciona? (Análisis Técnico)

El análisis forense realizado sobre los incidentes reveló una metodología de ataque altamente sigilosa y metódica:

  • Flujo inicial y elusión de autenticación: El atacante (UTA0576) inicia el proceso enviando peticiones masivas a rutas específicas del servidor web del appliance, destacando la ruta de acceso /dana-na/auth/url_default/welcome.cgi. Estas solicitudes incorporan la cabecera HTTP X-DSCGI-PATH con valores desalineados respecto a la URL solicitada, permitiendo saltarse los controles perimetrales sin requerir credenciales válidas.
  • Ejecución de código y escalada de privilegios: Mediante la combinación de los dos primeros componentes del CVE-2026-104935, el atacante ejecuta código bajo el contexto del usuario cgi-server. Posteriormente, encadenan una tercera vulnerabilidad de escalada de privilegios (pendiente de CVE específico y parche por parte de Ivanti) para elevar dichos privilegios hasta el nivel de superusuario (root).
  • Persistencia en memoria y evasión: Para evitar la detección por parte del Integrity Checker Tool de Ivanti, el exploit modifica selectivamente el código de bibliotecas únicamente en la memoria RAM y restaura de inmediato los archivos de configuración alterados. Asimismo, el atacante no deja web shells ni backdoors estáticos en el sistema de archivos; en su lugar, repiten toda la cadena de explotación en cada ejecución de comando.
  • Acciones posteriores (Post-Explotación): Una vez obtenido el acceso, el actor extrajo credenciales almacenadas (incluyendo hashes de directorios LDAP), realizó consultas sobre Active Directory y ejecutó ataques de password-spraying contra cuentas internas.

Sistemas / Entornos Afectados

La infraestructura afectada comprende principalmente las versiones de los gateways corporativos de acceso remoto.

CVE / Identificador Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-104935 CWE-290 Ejecución de comandos / Bypass 8.6 (HIGH) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVE-2026-106042 CWE-73 Redirección y robo de credenciales 9.9 (CRITICAL) AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-109412 CWE-749 Fuga de información de autenticación 9.9 (CRITICAL) AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Detalle de versiones en Ivanti Connect Secure:

  • Afectados: Versiones anteriores a 25.1.3.0.
  • No afectados: Versión 22.7R2.14 o anteriores, así como las compilaciones 22.8R2.5, 25.1.3.0 y 25.1.3.1.

Mitigación y Detección

Remediación

  • Actualización inmediata: Los administradores que operen versiones vulnerables de Ivanti Connect Secure deben actualizar de inmediato a la compilación 25.1.3.1 o superior, aplicando los boletines oficiales correspondientes.
  • Seguimiento de parches: Monitorear los repositorios y avisos de seguridad de Ivanti para la publicación del parche restante enfocado en la escalada de privilegios.
  • Restricción de exposición: Limitar estrictamente el acceso a la interfaz de administración y portales de usuario de la VPN mediante políticas de confianza de red y autenticación multifactor robusta.

Detección

  • Análisis forense en memoria: Dado que la herramienta de integridad nativa (Integrity Checker Tool) puede no detectar modificaciones ejecutadas exclusivamente en memoria RAM, se requiere inspección avanzada de artefactos y análisis forense de red.
  • Indicadores de Compromiso (IoCs):
    • Patrón de solicitudes masivas a la URL: /dana-na/auth/url_default/welcome.cgi
    • Cabecera HTTP anómala: X-DSCGI-PATH con discordancia frente a la ruta solicitada.
    • Presencia del directorio sospechoso: /data/.icscap/
    • Dirección IP de origen asociada al atacante: 108.165.147[.]64

“El atacante ejecutó la cadena completa de explotación en memoria sin persistir archivos estáticos ni web shells, anulando los mecanismos tradicionales de escaneo de integridad basados en disco y requiriendo forenses avanzados.”

Recapitulando

La explotación activa de la cadena de zero-days en Ivanti Connect Secure por parte del grupo UTA0576 subraya la complejidad creciente de las amenazas dirigidas a dispositivos perimetrales corporativos. La capacidad de operar de forma efímera en la memoria RAM y evadir controles automatizados de integridad demuestra la necesidad urgente de adoptar metodologías de monitorización continua en tiempo de ejecución, así como un despliegue riguroso de parches de seguridad por parte de los administradores de sistemas.

Referencias