Una vulnerabilidad de Ivanti Connect Secure ya se está utilizando contra redes reales y permite ejecutar comandos sin iniciar sesión. El fallo, identificado como CVE-2026-104935, afecta a varias ramas del popular sistema de acceso remoto empresarial. Ivanti publicó los parches el 13 de octubre de 2026 y CISA incluyó la brecha ese mismo día en su catálogo de vulnerabilidades explotadas.
No es una alerta preventiva basada únicamente en una prueba de laboratorio. La firma de respuesta a incidentes Volexity detectó la explotación a comienzos de octubre en un dispositivo que estaba completamente actualizado en aquel momento. El atacante encadenó tres fallos para conseguir ejecución remota de código con privilegios de administrador, acceder a credenciales internas y borrar parte de las huellas de su actividad.
- Vulnerabilidad: CVE-2026-104935, omisión de autenticación y ejecución de comandos.
- Gravedad: 8,6 sobre 10 en CVSS 3.1.
- Explotación activa: confirmada por Ivanti, CISA y la investigación de Volexity.
- Acción recomendada: instalar la versión corregida correspondiente y buscar indicios de compromiso, no limitarse a actualizar.
Qué versiones de Ivanti Connect Secure hay que actualizar
La versión correcta depende de la rama instalada. Ivanti ha distribuido actualizaciones para las líneas afectadas y conviene respetar la ruta de actualización indicada por el fabricante, especialmente en dispositivos en producción.
| Versión afectada | Versión corregida |
|---|---|
| 25.1.1.1 y anteriores de esa rama | 25.1.1.2 |
| 25.1.2.2 y anteriores de esa rama | 25.1.3.0 o 25.1.3.1 |
| 22.8R2.4 y anteriores de esa rama | 22.8R2.5 |
Ivanti señala que 22.7.x y versiones anteriores no están afectadas por esta CVE concreta. Eso no convierte automáticamente una versión antigua en una opción segura: cada organización debe revisar su ciclo de soporte y el resto de avisos aplicables antes de mantener software sin soporte o retrasar una migración.
Por qué el fallo es especialmente peligroso en una VPN
Connect Secure suele estar situado en el perímetro de la red para autenticar conexiones remotas y dar acceso a recursos corporativos. Una brecha que permite saltarse el inicio de sesión afecta precisamente al sistema que debería separar Internet de los servicios internos. El registro CVE describe un authentication bypass by spoofing: un atacante remoto y no autenticado puede enviar peticiones manipuladas y ejecutar comandos en el dispositivo.
La puntuación CVSS 8,6 es alta, aunque el contexto operativo pesa más que el número. La explotación no requiere una cuenta válida ni interacción de un usuario, y el equipo afectado puede tener acceso a directorios corporativos, configuraciones de autenticación y tráfico interno. CISA ha dado a las agencias federales estadounidenses hasta el 16 de octubre de 2026 para aplicar las medidas del fabricante y completar las tareas de análisis forense exigidas por su directiva.
El ataque observado llegó hasta Active Directory
Volexity atribuye la campaña a un actor desconocido al que denomina UTA0576. Su investigación comenzó el 5 de octubre, después de detectar actividad anómala en un cliente. El origen era un appliance Ivanti Connect Secure con la versión 22.8R2.4, considerada plenamente parcheada en ese momento.
Según el análisis forense, la cadena combinaba una omisión de autenticación, una escritura de archivos y una elevación de privilegios. CVE-2026-104935 agrupa los componentes de omisión y ejecución remota, mientras que Ivanti prepara aparte una corrección para la vulnerabilidad de escalada de privilegios utilizada en el ataque.
Una vez dentro, el atacante consultó datos de Active Directory, extrajo credenciales usadas por el appliance y buscó información de especial valor, incluidas contraseñas de administrador local gestionadas con LAPS y claves de recuperación de BitLocker. También realizó reconocimiento de red, pruebas de credenciales y capturas de tráfico LDAP. Volexity no observó un web shell persistente: el actor volvía a ejecutar la cadena y devolvía los resultados mediante las propias peticiones HTTPS.
Actualizar es imprescindible, pero puede no ser suficiente
El parche cierra CVE-2026-104935 y debe instalarse con urgencia, pero un equipo ya comprometido no queda limpio por el mero hecho de actualizarlo. Volexity comprobó que el atacante restauraba componentes modificados en memoria y eliminaba entradas de los registros de depuración y auditoría. La operación estaba diseñada para reducir las evidencias visibles.
Además, el Integrity Checker Tool de Ivanti no detectó los cambios observados porque parte de la manipulación se producía únicamente en memoria y la configuración era restaurada después. Ivanti indicó al publicar el aviso que no disponía de indicadores fiables para todos los casos. Por eso CISA no se limita a pedir el parche: también reclama análisis forense y la aplicación de las instrucciones de recuperación del fabricante cuando exista sospecha de explotación.
Qué deben hacer los administradores ahora
- Inventariar los appliances: localizar todas las instancias de Connect Secure, incluidas las de contingencia o laboratorios expuestos.
- Confirmar la rama instalada: aplicar 25.1.1.2, 25.1.3.0/25.1.3.1 o 22.8R2.5 según corresponda y siguiendo la ruta oficial.
- No borrar evidencias antes de investigar: si hay actividad extraña, conservar registros, memoria y discos conforme al procedimiento de respuesta a incidentes.
- Revisar accesos internos: buscar conexiones laterales originadas en la VPN, consultas inusuales a Active Directory, acceso a secretos y uso anómalo de cuentas de servicio.
- Rotar credenciales cuando proceda: especialmente las almacenadas o utilizadas por el appliance, pero solo después de comprender el alcance para no alertar al atacante ni destruir pistas.
- Seguir el aviso de Ivanti: el fabricante puede actualizar versiones afectadas, instrucciones de recuperación o información sobre la elevación de privilegios pendiente.
El caso recuerda que un dispositivo perimetral actualizado ayer puede convertirse hoy en la primera prioridad del equipo. En Bytecora ya vimos un patrón parecido con la respuesta de SonicWall a fallos en sus sistemas de acceso remoto: cuando existe explotación confirmada, el trabajo no termina al instalar el paquete. Hay que verificar que el atacante no hubiera entrado antes.
Una corrección empezó a llegar en julio, pero no a todas las ramas
Ivanti explica que parte del problema se descubrió a través de su programa de seguridad y quedó corregida en 25.1.3.0, publicada en julio de 2026. La explotación se produjo mientras la compañía trasladaba la solución a otras versiones compatibles. Ese intervalo dejó expuesta la rama 22.8 que utilizaba la víctima investigada por Volexity.
La conclusión práctica es sencilla: las organizaciones que ejecutan Connect Secure no deberían esperar al siguiente mantenimiento ordinario. Hay parches disponibles, la explotación está confirmada y el análisis documenta acceso a secretos que pueden facilitar un movimiento posterior por la red. La prioridad es actualizar, investigar y vigilar.
Fuentes
- Ivanti: aviso de seguridad de CVE-2026-104935
- CISA: alerta de explotación y recomendación de parcheo
- CVE.org: registro de CVE-2026-104935
- Volexity: análisis forense de la cadena de explotación
Imagen de portada: ilustración editorial generada con IA para Bytecora; no representa una captura real del ataque ni la interfaz de Ivanti Connect Secure.
<span class="dsq-postid" data-dsqidentifier="9457 https://bytecora.net/ivanti-connect-secure-cve-2026-104935/">1 comentario
Pingback: Actualiza Windows: ataques explotan fallo que esquiva alertas