Falla en la VPN Ivanti Connect Secure permite ejecutar comandos sin autenticación y ya se explota

Ivanti publicó el 13 de octubre una actualización de seguridad para Connect Secure, su VPN para empresas, que corrige una falla explotada antes de que existiera el parche. La firma de seguridad Volexity, que la descubrió, registra ataques desde el 3 de octubre contra un equipo que tenía instalada la última versión disponible. Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la sumó a su catálogo de vulnerabilidades explotadas y fijó el 16 de octubre como plazo para los organismos federales.

Qué es la falla

Connect Secure es el equipo que muchas organizaciones ponen en el borde de su red para que empleados y proveedores se conecten a distancia. La falla permite que alguien sin usuario ni contraseña engañe al equipo para llegar a funciones que deberían estar protegidas y ejecutar comandos en él.

En términos técnicos, es una evasión de autenticación por suplantación (CWE-290), registrada como CVE-2026-104935. Según el análisis de Volexity, el atacante pide una dirección pública del portal (welcome.cgi) pero agrega el encabezado X-DSCGI-PATH, que es el que decide a qué programa interno va la petición. Así alcanza un script protegido (wu.cgi) que tiene una condición de carrera: un archivo subido queda en disco un instante antes de borrarse, y eso alcanza para ejecutarlo. Los comandos corren con el usuario cgi-server. Una tercera falla de la cadena, en el servicio dsinvoked, lleva los privilegios hasta root. Ivanti agrupa las dos primeras bajo el mismo CVE; la escalada a root no tiene CVE publicado.

A quién afecta

Afecta a Ivanti Connect Secure en estas ramas, según BleepingComputer:

• 22.8R2.4 y anteriores de la rama 22.8
• 25.1.1.1 y anteriores, y 25.1.2.2 y anteriores, de la rama 25.1

Las versiones corregidas son 22.8R2.5, 25.1.3.0 y 25.1.3.1, según el registro de la falla en la base de datos de vulnerabilidades de Estados Unidos (NVD). La rama 22.7R2.14 y anteriores no está afectada. Las fuentes consultadas no mencionan Policy Secure ni los gateways ZTA: conviene revisarlos en el aviso de Ivanti.

Estado de explotación

Explotada, según Ivanti, que habla de "explotación limitada", Volexity y CISA. Volexity atribuye los ataques a un grupo nuevo al que llama UTA0576, sin vínculo con ningún país. Estima con baja confianza que su motivación es criminal y no de espionaje, y con confianza media que usó modelos de lenguaje para desarrollar el ataque.

Dentro de las redes atacadas, el grupo robó credenciales de Active Directory, contraseñas de administrador local (LAPS) y claves de recuperación de BitLocker, probó contraseñas en masa y capturó tráfico LDAP. No dejó malware ni puertas traseras: volvía a explotar el equipo para cada comando y borraba sus rastros de los registros.

La organización Shadowserver registra más de 5.500 equipos Connect Secure expuestos en internet. No se sabe cuántos ya están actualizados.

Antecedentes

Connect Secure es un blanco frecuente. En enero y abril de 2025, dos fallas de ejecución remota de código (CVE-2025-0282 y CVE-2025-22457) se explotaron antes de tener parche, y CISA registra que bandas de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.) las usaron. Según BleepingComputer, CISA suma 36 fallas de Ivanti explotadas desde noviembre de 2021, 12 de ellas usadas en ataques de ransomware.

Qué hacer

• Actualizar ya a 22.8R2.5, 25.1.3.0 o 25.1.3.1, según la rama instalada.
• Tener en cuenta que la escalada a root sigue abierta: Ivanti promete corregirla "en las próximas semanas", sin fecha.
• No confiar solo en la herramienta de integridad de Ivanti (Integrity Checker Tool): según Volexity, no detecta esta cadena porque el atacante no deja archivos.
• Buscar en los registros muchas peticiones a /dana-na/auth/url_default/welcome.cgi con un encabezado X-DSCGI-PATH distinto de la dirección pedida, y revisar archivos extraños en /tmp/.
• Si hay señales de ataque, tratarlo como un compromiso del dominio: cambiar credenciales de Active Directory, contraseñas LAPS y claves de BitLocker, y hacer análisis forense de memoria y red.
• Volexity publicó una dirección IP usada en los ataques, 108.165.147.64, para buscarla en los registros.

Ficha técnica

• CVE: CVE-2026-104935
• CVSS: 8,6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L), puntaje del fabricante; NVD todavía no asignó el suyo
• CWE: CWE-290, evasión de autenticación por suplantación
• Producto: Ivanti Connect Secure
• Versiones corregidas: 22.8R2.5, 25.1.3.0 y 25.1.3.1
• Aviso del fabricante: actualización de seguridad de octubre de 2026 de Ivanti, 13 de octubre de 2026
• Catálogo KEV de CISA: alta el 13 de octubre de 2026, plazo el 16 de octubre