Seguridad · 16 de octubre de 2026
Ivanti advierte de vulnerabilidad zero-day explotada en Connect Secure
Ivanti instó a los clientes el martes a aplicar parches de inmediato a una vulnerabilidad zero-day activamente explotada en el gateway de acceso remoto Ivanti Connect Secure.
La vulnerabilidad, identificada como CVE-2026-104935, es una bypass de autenticación de alta severidad que afecta a versiones 22.8R2.4 y anteriores, 25.1.2.2 y anteriores, y 25.1.1.1 y anteriores.
Actores de amenaza remotos sin privilegios pueden explotar CVE-2026-104935 en ataques de baja complejidad que no requieren interacción del usuario para ejecutar comandos arbitrarios en los aparatos ICS afectados.
Shadowserver ahora rastrea más de 5.500 instancias de ICS expuestas en línea, aunque no hay información sobre cuántos son cebo o ya han sido asegurados contra ataques en curso.
Volexity reveló que un actor de amenaza desconocido, rastreado como UTA0576, ha encadenado CVE-2026-104935 desde al menos el 3 de octubre con otras dos fallas para lograr ejecución de código sin privilegios y nivel raíz.
Notablemente, UTA0576 no implementó malware ni web shell. En su lugar, el actor reexplotó el dispositivo para cada comando ejecutado y manipuló los registros para ocultar su rastro, eludiendo la herramienta Integrity Checker de Ivanti.
Ivanti ha parcheado dos fallas, pero aún trabaja para abordar una vulnerabilidad de escalamiento de privilegios que UTA0576 explotó como parte de la misma cadena.
Defused confirmó el informe de Volexity, indicando que detectó los primeros signos de explotación de CVE-2026-104935 en la naturaleza a partir del 1 de octubre.
Hackers han explotado frecuentemente vulnerabilidades de Ivanti, a menudo como zero-days, porque ofrecen una vía rápida para penetrar redes empresariales y robar datos sensibles de clientes y corporativos.
Ivanti también ha parcheado varios zero-days de Connect Secure explotados en la naturaleza durante los últimos años, algunos de ellos encadenados en ataques generalizados para desplegar malware.
La Agencia de Ciberseguridad e Infraestructura (CISA) ha señalado 36 vulnerabilidades en varios productos Ivanti como explotadas activamente en la naturaleza desde noviembre de 2021, 12 de las cuales también han sido abusadas por gangs de ransomware.
Ivanti tiene más de 3.000 empleados, una red de más de 7.000 socios y más de 40.000 clientes en todo el mundo que utilizan sus soluciones de gestión de activos de TI.
Una vez que los atacantes tienen credenciales válidas, solo el 37% de sus acciones están bloqueadas.
Las puntuaciones generales de prevención pueden ocultar lo que sucede después del acceso inicial. Una vez que los atacantes usan credenciales válidas, la prevención disminuye drásticamente.
El Informe Azul 2026 mide defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.