Introducción
La superficie de ataque de las pasarelas de acceso remoto se ha convertido en el vector preferido para actores de amenazas que buscan penetración inicial en redes corporativas sin interactuar con el usuario final. Ivanti confirmó el martes una vulnerabilidad de día cero (zero-day) en su producto Connect Secure (ICS), identificada como CVE-2026-104935, que está siendo explotada activamente en la naturaleza. A diferencia de incidentes pasivos, esta falla permite a atacantes no autenticados ejecutar comandos arbitrarios en los dispositivos, comprometiendo la integridad de la infraestructura de red desde el perímetro. Para los equipos de DevOps y Seguridad, esto no es solo un problema de parche, sino una alerta de compromiso inmediato que requiere intervención forense y contención rápida antes de que el acceso se persista o se exfiltren datos. La gravedad radica en que el exploit funciona en versiones que se consideraban estables y en un componente crítico para el trabajo híbrido.
Qué ocurrió
Ivanti emitió una advertencia crítica instando a sus clientes a parchear inmediatamente sus gateways SSL VPN Ivanti Connect Secure. La vulnerabilidad, rastreada como CVE-2026-104935, es un fallo de bypass de autenticación de complejidad baja que no requiere interacción del usuario para su ejecución. Los atacantes aprovechan esta falla para ejecutar comandos arbitrarios en los appliances afectados. Ivanti reconoció que, al momento de la divulgación, ya existía explotación limitada pero confirmada en el mundo real. La empresa está trabajando directamente con las organizaciones impactadas mientras publica información de remediación para la comunidad más amplia de usuarios. El impacto no se limita a una sola versión; la falla afecta a múltiples ramas de mantenimiento del producto, lo que sugiere un defecto arquitectónico subyacente en el manejo de sesiones o validación de credenciales que ha persistido durante varios ciclos de desarrollo.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El impacto operativo es severo para cualquier organización que utilice ICS como punto de entrada para empleados remotos, contratistas o acceso a recursos en la nube. Al ser una pasarela SSL VPN, el dispositivo ICS suele tener permisos elevados para enrutar tráfico hacia redes internas sensibles, incluyendo bases de datos, entornos de desarrollo y servicios en AWS o EKS. La explotación exitosa elimina la necesidad de credenciales válidas, neutralizando las defensas perimetrales tradicionales. Shadowserver, una entidad que monitorea la exposición de internet, rastrea actualmente más de 5.500 instancias de ICS expuestas públicamente. Aunque no se especifica cuántas son honeypots, este volumen representa un blanco masivo y automatizado. Para los ingenieros de infraestructura, esto significa que una sola instancia parcheada incorrectamente puede servir como pivote para comprometer toda la red VPC o el cluster de Kubernetes asociado, facilitando movimientos laterales hacia cargas de trabajo productivas.
Detalles técnicos
La vulnerabilidad CVE-2026-104935 afecta a las versiones 22.8R2.4 y anteriores, 25.1.2.2 y anteriores, y 25.1.1.1 y anteriores de Ivanti Connect Secure. La empresa de ciberseguridad Volexity, que descubrió y reportó la falla, reveló que un actor de amenazas desconocido, rastreado como UTA0576, ha estado encadenando esta vulnerabilidad con otras dos fallas desde al menos el 3 de octubre para lograr ejecución de código raíz no autenticada en dispositivos incluso parcheados parcialmente. Lo más preocupante es la técnica de evasión: UTA0576 no desplegó malware tradicional ni web shells. En su lugar, el actor re-explotó el dispositivo para cada comando ejecutado y manipuló los logs para borrar sus huellas, logrando evadir la herramienta de verificación de integridad (Integrity Checker Tool) de Ivanti.
La cadena de explotación utiliza CVE-2026-104935 como punto de entrada para obtener una shell inicial, y luego explota una vulnerabilidad de escalada de privilegios (aún no parcheada completamente por Ivanti) para obtener acceso root. Defused, una compañía de inteligencia de amenazas, confirmó que los primeros signos de explotación en la naturaleza comenzaron el 1 de octubre. Históricamente, Ivanti ha parcheado múltiples zero-days explotados en cadena, como CVE-2023-46805 y CVE-2024-21887 en enero de 2024, y CVE-2025-0282 en enero de 2025. La CISA ha marcado 36 vulnerabilidades en productos Ivanti como explotadas activamente desde noviembre de 2021, 12 de las cuales fueron utilizadas por grupos de ransomware.
Qué deberían hacer los administradores y equipos técnicos
La acción inmediata es imperativa. No se debe esperar a la ventana de mantenimiento programada. Los administradores deben revisar el advisory de seguridad de Ivanti y actualizar sus Appliances ICS a las versiones corregidas más recientes disponibles. Si el parche inmediato no es posible debido a restricciones operativas críticas, se debe aplicar una mitigación virtual o ACL estricta que limite el acceso a la interfaz de administración del ICS únicamente a IPs de confianza conocidas, bloqueando el acceso desde internet si la política de negocio lo permite.
Adicionalmente, los equipos de seguridad deben ejecutar la herramienta Integrity Checker Tool de Ivanti en todos los dispositivos afectados. Sin embargo, dado que UTA0576 está manipulando logs para evadir esta herramienta, no se debe confiar únicamente en su resultado. Se recomienda realizar una auditoría manual de los registros de acceso (access logs) y de autenticación buscando patrones anómalos de conexiones SSH o comandos ejecutados sin sesión de usuario válida. Si se detectan indicativos de compromiso, se debe proceder con una reinstalación limpia del sistema operativo del appliance desde un medio verificado, ya que la reutilización de configuraciones puede persistir puertas traseras. Para entornos en la nube, se debe auditar inmediatamente los registros de CloudTrail en AWS o los logs de auditoría en Azure/GCP para detectar movimientos laterales que provengan de las IPs de los gateways ICS comprometidos.
Conclusión
La explotación activa de CVE-2026-104935 en Ivanti Connect Secure subraya la fragilidad inherente de los dispositivos de perímetro dedicados cuando son objetivo de actores sofisticados. La capacidad de UTA0576 para operar sin malware persistente y evadir herramientas de detección estándar cambia el paradigma de defensa: la confianza en la integridad del dispositivo debe ser cero hasta que se verifique mediante una reimagen completa. Los equipos de DevOps y SRE deben integrar la gestión de parches de seguridad de estos dispositivos en sus pipelines de infraestructura como código (IaC) de manera más rigurosa, asumiendo que cualquier gateway expuesto a internet es una superficie de riesgo alto. La colaboración entre los equipos de red, seguridad y desarrollo es crucial para cerrar este vector de ataque antes de que derive en incidentes de ransomware o exfiltración de datos a gran escala.
Fuentes
https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-day-exploited-in-attacks/