Ivanti — Vulnerabilidad Zero-Day de Omisión de Autenticación y Ejecución Remota en Connect Secure (CVE-2026-104935)

Fecha de publicación: 13 de octubre de 2026
Categoría: Zero Days / Inteligencia de Amenazas

Introducción

La compañía Ivanti emitió una advertencia de seguridad crítica instando a sus clientes a parchear de inmediato una vulnerabilidad zero-day que está siendo explotada activamente en entornos de producción. La falla, catalogada como CVE-2026-104935, afecta al portal de acceso remoto empresarial Ivanti Connect Secure (ICS). La alerta fue reportada inicialmente y analizada por la firma de ciberseguridad Volexity, la cual identificó que un actor de amenazas previamente desconocido, rastreador bajo el identificador UTA0576, ha estado encadenando este vector desde principios de octubre de 2026 junto a otras vulnerabilidades para lograr ejecución de comandos a nivel de root sin requerir autenticación previa en dispositivos completamente parcheados.

¿Qué es Ivanti Connect Secure y la Vulnerabilidad (Análisis General)?

Ivanti Connect Secure (anteriormente conocido como Pulse Connect Secure y Juniper Pulse) es una solución de pasarela VPN SSL de categoría empresarial diseñada para proporcionar a empleados remotos, contratistas y fuerzas de trabajo híbridas un acceso seguro a los recursos corporativos y de la nube. Debido a su posición crítica en el perímetro de la red, cualquier fallo que permita la omisión de controles de acceso se convierte instantáneamente en un vector ideal para atacantes avanzados.

La vulnerabilidad CVE-2026-104935 se clasifica formalmente como un fallo de omisión de autenticación mediante suplantación (Authentication bypass by spoofing).

  • Datos oficiales NVD:
    • CVE: CVE-2026-104935
    • Puntuación CVSS v3.1: 8.6 (HIGH)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L (Confirmado por NVD)
    • Clasificación CWE: CWE-290 (Suplantación / Spoofing)
    • Catálogo CISA KEV: Sí (Incluido en el catálogo de vulnerabilidades explotadas conocidas)

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación descubierto por los investigadores de seguridad detalla un comportamiento operativo sofisticado por parte del grupo UTA0576:

  • Flujo inicial de entrada: Un atacante remoto sin privilegios y sin interacción del usuario envía peticiones especialmente crafteadas aprovechando la omisión de autenticación (CVE-2026-104935) en versiones vulnerables de ICS. Esto permite la ejecución de comandos arbitrarios en el dispositivo afectado con bajo nivel de complejidad.
  • Técnicas de evasión y persistencia (Fileless / Log tampering): A diferencia de campañas tradicionales que despliegan web shells o binarios maliciosos persistentes en el sistema de ficheros, UTA0576 optó por una estrategia de minimización de huellas. El actor de amenazas re-explotaba el dispositivo para cada comando ejecutado y alteraba de forma deliberada los registros del sistema (logs) para ocultar sus rastros, logrando evadir la herramienta interna de verificación de integridad (Integrity Checker Tool) de Ivanti.
  • Cadena de exploits: El grupo combinó el zero-day de omisión de autenticación con vulnerabilidades adicionales de escalada de privilegios dentro del mismo dispositivo para asegurar el control absoluto a nivel de root.

“Notably, UTA0576 deployed no malware or web shell. Instead, the threat actor re-exploited the device for every command it ran and tampered with logs to cover its tracks, evading Ivanti’s Integrity Checker Tool.” — Volexity Threat Intelligence.

Sistemas / Entornos Afectados

El problema afecta a múltiples versiones del software de pasarela de acceso. Asimismo, el historial de la plataforma expone un patrón recurrente de fallos críticos explotados en campo.

Versiones Afectadas (CVE-2026-104935)

  • Ivanti Connect Secure versiones 22.8R2.4 y anteriores.
  • Ivanti Connect Secure versiones 25.1.2.2 y anteriores.
  • Ivanti Connect Secure versiones 25.1.1.1 y anteriores.
  • Nota: No impacta a las versiones ICS 22.7R2.14 o anteriores.

Historial de Vulnerabilidades Clave Asociadas en la pasarela ICS / Policy Secure

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-104935 CWE-290 (Spoofing) Ejecución de comandos / Bypass 8.6 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVE-2023-46805 CWE-287 (Auth Bypass) Acceso a recursos restringidos 8.2 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVE-2024-21887 CWE-77 (Command Inj.) Ejecución de comandos (Admin) 9.1 AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVE-2024-21893 CWE-918 (SSRF) Acceso sin autenticación a recursos 8.2 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVE-2025-0282 CWE-121, CWE-787 Ejecución Remota de Código (Buffer Overflow) 9.0 AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2025-22457 CWE-121, CWE-787 Ejecución Remota de Código (Buffer Overflow) 9.0 AV:N/AC:H/PR:N/UI:N/S:H/C:H/I:H/A:H

Mitigación y Detección

Remediación

  1. Actualización Inmediata: Aplicar sin demora los parches oficiales y actualizaciones de firmware proporcionados por el fabricante en su boletín de seguridad.
  2. Herramienta de Verificación: Ejecutar periódicamente la Integrity Checker Tool (ICT) provista por Ivanti para detectar anomalías en la integridad del sistema operativo de la pasarela.
  3. Monitoreo de Exposición: Revisar la exposición pública de las interfaces de administración de VPN, asegurando que nunca estén accesibles directamente desde internet sin controles de segmentación estrictos.

Detección

  • Monitoreo de Logs: Buscar anomalías en las conexiones entrantes al portal web de Connect Secure, especialmente patrones repetitivos de solicitudes HTTP anómalas que intenten evadir validaciones de sesión.
  • Análisis Forense en Vivo: Dado que actores como UTA0576 operan sin binarios persistentes y limpian los registros, se recomienda realizar análisis de memoria en caliente o capturas de tráfico perimetral (NetFlow/PCAP) para identificar anomalías en sesiones SSL/TLS y llamadas API no documentadas.

Recapitulando

La irrupción del zero-day CVE-2026-104935 en Ivanti Connect Secure subraya la persistencia con la que los grupos de ciberespionaje y cibercrimen atacan la infraestructura perimetral corporativa. La capacidad de los atacantes para eludir los mecanismos de detección tradicionales mediante la manipulación de registros y la ejecución sin archivos demuestra que la aplicación pasiva de parches ya no es suficiente; los equipos de seguridad deben implementar monitorización continua, validación de integridad y una respuesta activa ante anomalías en pasarelas VPN.

Referencias