Ivanti Connect Secure — Ataque sigiloso mediante cadena de tres Zero-Days y evasión de integridad (CVE-2026-104935)

Fecha de publicación: 14 de octubre de 2026
Categoría: Zero Days (realtime trigger)

Introducción

A principios de octubre de 2026, la firma de ciberseguridad Volexity identificó una intrusión avanzada dirigida a un dispositivo perimetral Ivanti Connect Secure (ICS) VPN que operaba con la versión 22.8R2.4, la compilación más reciente disponible en ese momento. El atacante, rastreado bajo el identificador UTA0576, logró obtener acceso de root no autenticado mediante una sofisticada cadena de tres vulnerabilidades de día cero. La operación destacó no solo por la complejidad técnica de la explotación y la ausencia de cambios persistentes en disco para eludir herramientas de integridad, sino también por el uso de capacidades post-explotación orientadas al robo masivo de credenciales en Active Directory y posibles indicios de asistencia mediante modelos de lenguaje grande (LLM) en el desarrollo del ataque.

¿Qué es CVE-2026-104935? (Análisis General)

El componente central afectado es la pasarela de acceso seguro Ivanti Connect Secure (ICS), diseñada para proveer conectividad privada virtual empresarial y gestión de sesiones remotas. Al encontrarse expuesta directamente en el perímetro de la red corporativa, cualquier vulnerabilidad que permita la ejecución remota de código sin autenticación compromete de forma absoluta el perímetro de la organización.

El NVD ha clasificado formalmente parte de esta cadena bajo el identificador CVE-2026-104935. A continuación se detallan los datos oficiales confirmados:

  • Puntuación base CVSS v3.1: 8.6 (Alta)
  • Vector CVSS oficial: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
  • Clasificación CWE oficial: CWE-290 (Authentication Bypass by Spoofing)
  • Catálogo CISA KEV: Incluido (vulnerabilidad bajo explotación activa conocida).

Esta vulnerabilidad permite que un atacante remoto no autenticado ejecute comandos arbitrarios mediante la suplantación y elusión de los controles de autenticación iniciales, impactando la confidencialidad de los datos y alterando la integridad y disponibilidad del sistema afectado.

¿Cómo funciona? (Análisis Técnico)

La campaña ejecutada por UTA0576 se basó en una secuencia de tres fases que combinaron un fallo de bypass de autenticación, una condición de carrera para la ejecución de código, y un mecanismo de escalada de privilegios en memoria.

  • Flujo inicial e Invasión (Bypass de Autenticación): El ataque comienza interactuando con welcome.cgi, la página pública de inicio de sesión. El actor envía una solicitud HTTP que supera los filtros de autenticación primarios incorporando en una cabecera HTTP la ruta de un script interno protegido. Se produce un desacoplamiento lógico: el sistema valida la URL según criterios permisivos pero utiliza la cabecera maliciosa para enrutar el destino final, logrando eludir el control de acceso.
  • Ejecución Remota de Código (RCE vía Race Condition): Tras sortear la autenticación, el atacante sube un script en Perl camuflado como un archivo ZIP a través de un endpoint secundario. El servidor procesa el archivo, determina que no es un archivo comprimido válido y programa su eliminación automática. Antes de que el proceso de borrado se complete, el atacante dispara ráfagas de peticiones HTTP hacia la ruta predecible del archivo en disco. Si una petición alcanza el recurso antes de su purga, el intérprete ejecuta el script arbitrario. Ambas fases (bypass y race condition) están amparadas bajo el identificador CVE-2026-104935.
  • Escalada de Privilegios y Evasión Forense: Para saltar desde el usuario limitado del servidor web hasta los privilegios de root, el actor abusó de un servicio de mantenimiento en segundo plano denominado dsinvoked, el cual consulta un almacén de configuración compartido para saber qué tareas ejecutar con máximos privilegios. UTA0576 modificó dicho almacén directamente en la memoria RAM, redirigiendo una tarea legítima hacia el intérprete de Perl para ejecutar comandos como root. Posteriormente, restauró la configuración original en memoria. Dado que la herramienta Integrity Checker Tool de Ivanti únicamente audita los archivos almacenados en el disco persistente, no detectó ninguna anomalía.
  • Post-explotación y Exfiltración: Los atacantes no desplegaron backdoors persistentes ni web shells tradicionales; repetían toda la cadena de exploits bajo demanda y recibían las salidas a través de respuestas HTTPS estándar. Implementaron una herramienta personalizada en Python basada en LDAP para consultar directamente al controlador de dominio y extraer contraseñas en texto plano, claves de recuperación BitLocker y contraseñas de administradores locales desde Active Directory (LAPS). Asimismo, recolectaron tráfico de red mediante herramientas empaquetadas en ejecutables renombrados con rotación de archivos de captura, eliminaron entradas comprometedoras en los registros de auditoría y depuración, y operaron con indicios que sugieren el uso de asistencia por inteligencia artificial para optimizar las secuencias de explotación.

Sistemas / Entornos Afectados

El fallo impacta directamente a los dispositivos perimetrales de la familia Ivanti Connect Secure.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-104935 CWE-290 (Authentication Bypass by Spoofing) Ejecución remota de comandos / Bypass de autenticación 8.6 (High) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
  • Versiones vulnerables: Sistemas ICS anteriores a la versión 25.1.3.0 (y específicamente observado en la versión 22.8R2.4).
  • Exclusiones: No afecta a las versiones 22.7R2.14 o anteriores según los avisos oficiales del fabricante.
  • Perfiles de riesgo: Empresas globales, entidades gubernamentales y organizaciones que exponen pasarelas VPN sin segmentación estricta ni monitoreo avanzado de comportamiento en memoria.

Mitigación y Detección

Remediación

  • Actualización prioritaria: Aplicar de inmediato los boletines y parches de seguridad publicados por Ivanti para cerrar los componentes vulnerables en welcome.cgi y los servicios de fondo afectados.
  • Revisión independiente del disco: Tener en cuenta que las herramientas nativas basadas en verificación de archivos en disco (como el Integrity Checker Tool) pueden dar una falsa sensación de seguridad debido a la manipulación directa de la memoria RAM realizada por el atacante.
  • Acceso con privilegios mínimos: Restringir drásticamente el acceso administrativo a la interfaz de gestión de las VPN, permitiéndolo únicamente desde redes internas gestionadas mediante túneles seguros o saltos certificados.

Detección

  • Monitoreo de comportamiento en memoria y red: Vigilar patrones inusuales de tráfico LDAP originados desde la propia appliance VPN hacia los controladores de dominio internos.
  • Auditoría de logs borrados: Buscar discontinuidades temporales o vacíos en los registros de depuración de Linux y bitácoras de auditoría del sistema operativo perimetral.

“La persistencia en memoria y la restauración inmediata de los estados de configuración demuestran que las revisiones tradicionales basadas en hashes de disco son insuficientes ante actores avanzados que operan sin dejar artefactos permanentes.”

Recapitulando

El incidente protagonizado por el actor UTA0576 contra dispositivos Ivanti Connect Secure mediante el uso de la vulnerabilidad CVE-2026-104935 evidencia la evolución constante de las amenazas dirigidas a la infraestructura crítica perimetral. La capacidad de combinar bypass de autenticación, ejecución de código mediante condiciones de carrera y modificación directa en memoria eludiendo herramientas de integridad subraya la urgencia de adoptar enfoques de defensa en profundidad, visibilidad avanzada de memoria y la aplicación estricta y oportuna de los boletines oficiales de los fabricantes.

Referencias