Fallas de día cero en la VPN de Ivanti dieron acceso root y robo de credenciales

Un atacante que la empresa de seguridad Volexity identifica como UTA0576 encadenó tres fallas de Ivanti Connect Secure, la VPNConexión cifrada que arma un túnel seguro a través de internet entre un equipo y una red, para entrar a ella a distancia sin dejarla expuesta. de acceso remoto de Ivanti, para ejecutar comandos como rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo. sin credenciales y robar contraseñas del directorio de la organización atacada, según el análisis de Volexity. El 30 de octubre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó dos de esas fallas a su catálogo de vulnerabilidades explotadas, un día después de que Ivanti publicara el parche de la última que quedaba abierta.

El ataque funcionó contra un equipo que tenía todas las actualizaciones al día, la versión 22.8R2.4. La VPN es la puerta de entrada a la red interna de bancos, organismos públicos y empresas de telecomunicaciones, y guarda las credenciales con las que se conecta al directorio de usuarios.

Qué es la falla

En simple, el atacante engaña a la VPN para que trate un pedido como si viniera de su página pública de inicio de sesión, sube un archivo que el equipo borra a los pocos instantes y lo ejecuta antes de que desaparezca. Después aprovecha un servicio interno que confía en una configuración que el atacante puede modificar, y pasa a tener el control total del equipo.

En la capa técnica son tres fallas. CVE-2026-104935 combina un salto de autenticaciónFalla que permite entrar a un sistema o usar sus funciones sin pasar por el control de usuario y contraseña, como si el atacante ya estuviera identificado. y la ejecución remota de códigoVulnerabilidad o ataque, conocido por la sigla en inglés RCE, que permite a alguien ejecutar sus propias instrucciones en un equipo o servidor ajeno a distancia, por lo general a través de internet., por la red y sin credenciales. CVE-2026-118527 permite subir archivos con nombres predecibles. CVE-2026-111357 es la escalada a root a través del servicio dsinvoked, que confía en datos de configuración de DSCache. Volexity contó que el atacante no instaló puertas traseras. Repetía la cadena completa por cada comando y borraba sus rastros de los registros, por lo que la herramienta de integridad de Ivanti puede no detectar el ingreso.

Una vez adentro, según Volexity, el atacante extrajo credenciales guardadas en la VPN, consultó el Active Directory en busca de contraseñas de administrador local (LAPS) y claves de recuperación de BitLocker, y probó contraseñas contra cuentas de la red. Volexity estima con baja confianza que el móvil es criminal y no de espionaje, y no atribuye el ataque a ningún país.

A quién afecta

• Ivanti Connect Secure 22.8R2.4 (Build 19097), la versión atacada.
• Las versiones de la rama 22.8 anteriores a 22.8R2.6 y de la rama 25.1 anteriores a 25.1.1.3, según GBHackers y el Centro Canadiense de Ciberseguridad, que también menciona versiones anteriores a 25.1.3.1.
• Según el registro de CVE-2026-104935, la versión 22.7R2.14 y las anteriores no están afectadas por la primera falla de la cadena.

Estado de explotación

Explotada. Volexity detectó ataques desde el 3 de octubre, e Ivanti informó que afectaron a "un número limitado de clientes", según GBHackers. CISA dio de alta CVE-2026-104935 el 13 de octubre, y CVE-2026-111357 y CVE-2026-118527 en la versión del catálogo del 30 de octubre, publicada a las 17:02 UTC (14:02 en Buenos Aires y São Paulo, 12:02 en Bogotá y Lima, 11:02 en Ciudad de México). Las agencias federales de Estados Unidos tienen plazo hasta el 2 de noviembre para corregir la escalada a root y hasta el 13 de noviembre para la subida de archivos. No hay víctimas confirmadas en Latinoamérica.

Antecedentes

CISA ya había sumado a su catálogo fallas de Connect Secure explotadas en enero de 2024, enero de 2025 y abril de 2025.

Qué hacer

• Actualizar a 22.8R2.6 o 25.1.1.3, o a la versión corregida de cada rama que indica el aviso de Ivanti.
• Un resultado limpio de la herramienta de integridad de Ivanti no descarta un ingreso, según Volexity. Ante cualquier sospecha, conviene un análisis forense de memoria y disco del equipo.
• Cambiar la contraseña de la cuenta de servicio de Active Directory que usa la VPN y revisar consultas LDAP inusuales sobre LAPS y BitLocker.
• Buscar intentos de movimiento lateralEtapa de un ataque en la que el intruso, ya dentro de una red, salta de un equipo a otro para llegar a sistemas y cuentas más valiosos. que salgan de la VPN y pedidos web cuya ruta no coincida con el destino indicado en sus encabezados.

Ficha técnica

• CVE-2026-104935, salto de autenticación por suplantación con ejecución remota. CVSS 3.1 de 8,6, vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L, CWE-290. Alta en KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. el 13 de octubre de 2026.
• CVE-2026-111357, escalada de privilegiosAprovechamiento de una falla para pasar de una cuenta con permisos limitados a otra con más control sobre un sistema, como la de administrador o root. a root. GBHackers le atribuye un CVSS de 8,8 en la actualización de Ivanti; el registro CVE publicado por MITRE le da 7,0, vector AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H. CWE-829 en el registro y CWE-306, CWE-862 y CWE-345 en el catálogo de CISA. Alta en KEV el 30 de octubre de 2026, plazo el 2 de noviembre.
• CVE-2026-118527, subida de archivos con nombres predecibles. CVSS de 4,3 según GBHackers, sin ficha en NVD al 30 de octubre. CWE-340. Alta en KEV el 30 de octubre de 2026, plazo el 13 de noviembre.
• Versiones corregidas: 22.8R2.6 y 25.1.1.3, según GBHackers; el centro canadiense lista también 25.1.3.1.
• Aviso del fabricante: Security Advisory Ivanti Connect Secure (CVE-2026-104935), actualizado el 29 de octubre de 2026.