Ivanti Connect Secure — Alerta urgente de CISA por fallo Zero-Day explotado en ataques de ejecución remota de comandos (CVE-2026-104935)

Fecha de publicación: 14 de octubre de 2026
Categoría: News / Zero Days

Introducción

La Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos (CISA), en conjunto con el fabricante Ivanti, ha emitido una advertencia urgente dirigida a los equipos de seguridad y administradores de redes para aplicar parches de manera inmediata a una vulnerabilidad crítica que afecta a las pasarelas Ivanti Connect Secure (ICS). El fallo, catalogado bajo el identificador CVE-2026-104935, ha sido explotado activamente en ataques de tipo zero-day desde al menos el 1 de octubre de 2026. Investigaciones de inteligencia de amenazas vinculan estas acciones al grupo de actores maliciosos rastreado como UTA0576, quienes combinan este vector con capacidades de escalada de privilegios y ejecución de código en memoria para extraer credenciales críticas corporativas y secretos de Active Directory.

¿Qué es CVE-2026-104935? (Análisis General)

CVE-2026-104935 es una vulnerabilidad de bypass de autenticación por suplantación (authentication bypass by spoofing) presente en las versiones de Ivanti Connect Secure anteriores a la 25.1.3.0. Este fallo permite a un atacante remoto no autenticado realizar peticiones manipuladas de baja complejidad que eluden los mecanismos de control de acceso de la pasarela, culminando en la ejecución arbitraria de comandos a nivel de sistema operativo.

Los datos oficiales proporcionados por la base de datos NVD clasifican este fallo con una puntuación base CVSS v3.1 de 8.6 (HIGH) y un vector de ataque CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. La clasificación CWE oficial corresponde a CWE-290 (Authentication Bypass by Spoofing). Debido a la evidencia de su explotación en escenarios reales, la CISA ha incorporado formalmente este CVE a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV).

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación descubierto por firmas de inteligencia de amenazas detalla un comportamiento modular altamente sofisticado por parte del grupo UTA0576:

  • Flujo inicial de infección y bypass: El atacante explota la vulnerabilidad de suplantación en el componente web de ICS (CVE-2026-104935) sin necesidad de contar con credenciales válidas ni interacción del usuario (AV:N/AC:L/PR:N/UI:N). Esto abre una puerta de entrada directa al núcleo del dispositivo perimetral.
  • Cadena de explotación y ejecución en memoria: La campaña identificada encadena este bypass con vulnerabilidades adicionales de ejecución remota de código (RCE) y escalada de privilegios. Un aspecto crítico de este modus operandi es que los comandos maliciosos se ejecutan directamente en la memoria RAM del dispositivo, lo que provoca que herramientas tradicionales de integridad como el Integrity Checker Tool de Ivanti no logren detectar alteraciones en el sistema de archivos persistente.
  • Acciones post-explotación y exfiltración: Una vez logrado el acceso con privilegios de root, el actor de amenaza realiza operaciones de reconocimiento orientadas a la recolección de credenciales de Active Directory, secretos del sistema, contraseñas de la Solución de Contraseñas de Administrador Local (LAPS) y claves de recuperación de BitLocker para comprometer de forma lateral la infraestructura interna de la organización.

Sistemas / Entornos Afectados

El fallo impacta de forma directa a las soluciones perimetrales de Ivanti. A continuación se detallan las versiones vulnerables y una comparativa de los principales CVEs históricos asociados a la plataforma:

  • Versiones vulnerables: Ivanti Connect Secure (ICS) anteriores a la versión 25.1.3.0 (nota: no afecta a las versiones 22.7R2.14 o anteriores).
  • Exposición en internet: Censos de visibilidad en internet realizados por el monitor Shadowserver estiman más de 5,600 hosts expuestos públicamente con huellas digitales de ICS.
CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-104935 CWE-290 (Authentication Bypass) Ejecución de comandos / Robo de credenciales 8.6 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVE-2023-46805 CWE-287 (Improper Authentication) Bypass de control de acceso web 8.2 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVE-2024-21887 CWE-77 (Command Injection) Ejecución remota de comandos como admin 9.1 AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVE-2025-0282 CWE-121 / CWE-787 (Buffer Overflow) Ejecución remota de código sin autenticación 9.0 AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Mitigación y Detección

Remediación

Las organizaciones con despliegues de Ivanti Connect Secure afectados deben actuar de manera inmediata siguiendo las directrices de seguridad de CISA y del fabricante:

  1. Actualización prioritaria: Aplicar de inmediato los parches oficiales publicados por Ivanti (versiones 22.8R2.5, 25.1.3.0, 25.1.3.1 o 25.1.1.2 según corresponda al despliegue).
  2. Procedimiento ante dispositivos comprometidos: Si se detectan indicios de intrusión o exposición durante la ventana de ataque zero-day, CISA aconseja realizar un reseteo de fábrica (factory reset) del appliance, reconstruir las instancias virtuales si están en entornos cloud, restaurar la configuración desde un respaldo limpio previo y proceder con una rotación masiva de credenciales (cuentas de dominio, administradores locales, certificados almacenados, claves de API y credenciales de servidores de licencias).

Detección

Los equipos Defensivos (Blue Team) deben emplear técnicas forenses avanzadas de red y memoria, ya que las comprobaciones tradicionales basadas en archivos en disco resultan insuficientes.

“La ejecución de comandos en memoria operada por el actor UTA0576 elude los chequeos de integridad tradicionales en disco de Ivanti Connect Secure, obligando a los administradores a realizar análisis forenses profundos de memoria y auditorías exhaustivas de Active Directory.”

  • Monitoreo de tráfico y registros: Auditar las conexiones entrantes en busca de anomalías en los flujos de autenticación SAML y peticiones HTTP anómalas dirigidas a los componentes web de la pasarela VPN.
  • Revisión de accesos laterales: Monitorear el uso indebido de credenciales de Active Directory, consultas inusuales a LAPS y eventos de acceso a claves de recuperación de BitLocker posteriores a un evento de red perimetral.

Recapitulando

La explotación activa del zero-day CVE-2026-104935 en Ivanti Connect Secure subraya el riesgo crítico que representan las pasarelas VPN perimetrales cuando son utilizadas como puntos de entrada inicial para operaciones de espionaje y robo masivo de credenciales. La capacidad del grupo UTA0576 para operar en memoria y eludir herramientas convencionales de integridad exige a los administradores adoptar una postura de defensa profunda, priorizando la actualización inmediata bajo mandatos regulatorios estrictos y la monitorización forense continua de la infraestructura de identidad corporativa.

Referencias