Ivanti — Parches de emergencia para fallos de día cero en Connect Secure explotados en cadena (CVE-2026-104935)

Fecha de publicación: 2 de noviembre de 2026
Categoría: Zero Days (realtime trigger)

Introducción

Ivanti ha liberado parches de seguridad críticos para solucionar dos vulnerabilidades de día cero adicionales que afectan a sus pasarelas de acceso remoto Connect Secure (ICS). Estos fallos, identificados como CVE-2026-111357 y CVE-2026-118527, han sido activamente explotados en la naturaleza en ataques concatenados desde al menos el 1 de octubre de 2026. La campaña, detectada inicialmente por la firma de ciberseguridad Volexity y respaldada por Defused, involucra al grupo de amenaza rastreado como UTA0576, el cual ha utilizado estas vulnerabilidades junto con la brecha de autenticación previa CVE-2026-104935 (parcheada previamente) para lograr ejecución de código y escalada de privilegios a nivel de root sin autenticación previa en dispositivos completamente actualizados.

¿Qué es Ivanti Connect Secure y sus vulnerabilidades? (Análisis General)

Ivanti Connect Secure es una solución empresarial de red privada virtual (VPN) SSL y pasarela de acceso remoto ampliamente implementada en corporaciones globales e infraestructuras críticas para asegurar la conectividad de los empleados. Debido a su posición privilegiada en el perímetro de la red, los dispositivos ICS se han convertido en un objetivo predilecto para los ciberdelincuentes y actores patrocinados por estados, ya que su compromiso ofrece un acceso inicial rápido y profundo a los entornos corporativos para la sustracción de datos confidenciales.

Las vulnerabilidades analizadas en este ciclo de actualizaciones comprenden fallos de omisión de autenticación, escalada de privilegios y manipulación de componentes internos:

  • CVE-2026-104935 (Dato confirmado NVD): Omisión de autenticación por suplantación en versiones anteriores a la 25.1.3.0. Permite a un atacante remoto no autenticado ejecutar comandos arbitrarios.
    • Vector CVSS v3.1: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L — 8.6 (HIGH)
    • CWE oficial: CWE-290 (Authentication Bypass by Spoofing)
  • CVE-2026-111357 (Dato confirmado NVD): Defecto en la forma en que el agente dsinvoked confía en los datos de configuración de DSCache en la versión 22.8R2.4, conduciendo a una escalada de privilegios a root.
    • Vector CVSS v3.1: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H — 7.0 (HIGH)
    • CWE oficial: CWE-829 (Inclusion of Functionality from Untrusted Control Sphere)
  • CVE-2026-118527 (Estimación razonada / No NVD listado en prompt): Vulnerabilidad que permite a atacantes autenticados realizar la carga arbitraria de archivos (Arbitrary File Upload) en dispositivos no parcheados.
    • Vector CVSS v3.1 estimado: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H — 8.1 (HIGH)
    • CWE estimado: CWE-434 (Unrestricted Upload of File with Dangerous Type)

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación descubierto por los analistas de amenazas demuestra una sofisticación notable en el sigilo y la táctica de post-explotación:

  • Flujo inicial de infección y cadena: El actor de amenaza UTA0576 aprovecha el bypass de autenticación inicial (CVE-2026-104935) para sortear los controles perimetrales de la pasarela ICS sin necesidad de credenciales válidas. A continuación, encadena este acceso con la vulnerabilidad de escalada de privilegios locales CVE-2026-111357 y la capacidad de manipulación o carga de archivos (CVE-2026-118527) para comprometer el núcleo operativo del dispositivo.
  • Persistencia y evasión (Living off the Land): Un aspecto crítico de esta campaña es que el actor no desplegó malware tradicional ni webshells persistentes. En su lugar, UTA0576 re-explotaba el dispositivo para cada comando ejecutado y manipulaba manualmente los registros del sistema (logs) para borrar su rastro. Esta técnica de “sin huella persistente” permitió evadir de forma efectiva la herramienta nativa de verificación de integridad (Integrity Checker Tool) provista por Ivanti.
  • Acceso sin autenticación al nivel root: Mediante la manipulación del canal de confianza del broker dsinvoked, las peticiones manipuladas logran alterar el flujo de ejecución del sistema operativo subyacente, otorgando privilegios de superusuario (root) para el control total del appliance.

Sistemas / Entornos Afectados

Las vulnerabilidades impactan a diversas versiones de los productos de pasarela y acceso de Ivanti, siendo especialmente críticas en implementaciones perimetrales de Connect Secure.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-104935 CWE-290 (Spoofing) Ejecución remota / Bypass 8.6 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVE-2026-111357 CWE-829 (Untrusted Control) Escalada a Root 7.0 AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CVE-2026-118527 CWE-434 (File Upload)* Carga de archivos 8.1* AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H*

*Nota: CVE-2026-118527 utiliza métricas estimadas razonadamente.

  • Entornos afectados: Instancias de Ivanti Connect Secure (ICS) en versiones previas a los parches oficiales publicados. Más de 5,000 instancias expuestas públicamente han sido rastreadas por servicios de monitorización como Shadowserver.
  • Organizaciones en riesgo: Empresas globales, entidades gubernamentales y agencias federales que dependen de soluciones de acceso remoto de Ivanti.

Mitigación y Detección

Remediación

  1. Actualización inmediata: Los administradores de sistemas deben aplicar de manera urgente los parches y actualizaciones de firmware oficiales proporcionados por Ivanti para Connect Secure.
  2. Revisión de la CISA KEV: La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) ha incorporado CVE-2026-104935 a su catálogo de vulnerabilidades explotadas en activo, exigiendo su remediación prioritaria.
  3. Aislamiento perimetral: En caso de no poder parchear inmediatamente, se recomienda restringir el acceso a la interfaz de administración de ICS únicamente a redes de gestión internas confiables.

Detección

Dado que los atacantes han evitado el uso de webshells tradicionales y han borrado los registros de actividad, los equipos de seguridad deben buscar anomalías en el comportamiento de los procesos del sistema y patrones inusuales en las conexiones de red salientes o re-ejecuciones de comandos.

Advertencia Blue Team: La ausencia de web shells o malware persistente en el sistema de archivos no garantiza la integridad del dispositivo. Las técnicas de evasión de registros aplicadas por UTA0576 exigen una auditoría profunda de la memoria y la validación de la configuración mediante herramientas de análisis forense fuera de banda.

Recapitulando

La explotación en cadena de vulnerabilidades de día cero en pasarelas Ivanti Connect Secure por parte del grupo UTA0576 subraya la creciente sofisticación de los ataques dirigidos a la infraestructura perimetral. Al prescindir de malware residente y abusar de componentes nativos para la escalada de privilegios y la ejecución de comandos bajo demanda, los atacantes logran evadir los controles tradicionales de integridad. Es imperativo que las organizaciones adopten una política estricta de gestión de parches y monitoreo avanzado del tráfico de red para neutralizar estas amenazas antes de que comprometan el núcleo de la red corporativa.

Referencias