Ivanti alertó este 13 de octubre de 2026 sobre ataques que explotan una vulnerabilidad de día cero en Connect Secure, su solución de VPN para empresas. La compañía reconoce una explotación limitada y pide actualizar de inmediato, según su comunicado de seguridad.

🔒 CVE-2026-104935, clasificada como de severidad alta, permite saltarse la autenticación y ejecutar comandos remotamente, sin privilegios previos ni interacción del usuario, mediante ataques de baja complejidad. Las versiones afectadas son 22.8R2.4 y anteriores, 25.1.2.2 y anteriores, y 25.1.1.1 y anteriores. Según SecurityWeek, ese identificador agrupa dos fallas —evasión de autenticación y ejecución remota de código— corregidas en 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1.

⚙️ Volexity descubrió y reportó las fallas al investigar un incidente de un cliente: el actor, antes desconocido y ahora identificado como UTA0576, encadenó tres vulnerabilidades para ejecutar código como root sin iniciar sesión, incluso en un dispositivo que estaba completamente actualizado. La firma encontró evidencia desde el 3 de octubre; Defused confirmó el reporte y dijo haber detectado indicios desde el 1 de octubre. La tercera falla, de escalamiento de privilegios, sigue sin parche y, según SecurityWeek, Ivanti prevé corregirla durante las próximas semanas.

🛠️ El atacante no instaló malware, una puerta trasera ni una web shell: volvía a explotar el dispositivo para cada comando y alteraba los registros, con lo que evadía el Integrity Checker Tool de Ivanti. Robó credenciales de dominio almacenadas en el equipo, extrajo una cantidad limitada de metadatos de Active Directory y usó una herramienta propia para buscar contraseñas de LAPS y claves de recuperación de BitLocker. También realizó ataques de password spraying, probó credenciales con una herramienta propia de Kerberos, intentó extraerlas del tráfico capturado, escaneó la red, recopiló la configuración del dispositivo y revisó registros de autenticación para identificar usuarios válidos.

🧠 La operación fue detectada e interrumpida antes de que quedara claro su objetivo final; Volexity considera con alta confianza que preparaba movimiento lateral y un compromiso más amplio de la red. La firma atribuye una posible motivación criminal, en lugar de espionaje, con baja confianza, basándose en el objetivo atacado. También estima con confianza media que UTA0576 utilizó modelos de lenguaje para desarrollar exploits y realizar actividades posteriores a la intrusión: es una evaluación, no una confirmación.

¿Por qué importa para quienes administran estas VPN?

Connect Secure, antes llamado Pulse Connect Secure y originalmente Juniper Pulse, es una VPN SSL empresarial que conecta a empleados remotos, contratistas y equipos híbridos con recursos corporativos y de nube. Por eso, comprometer este punto de acceso abre una ruta hacia credenciales y sistemas internos; BleepingComputer señala que Shadowserver registra más de 5,500 instancias expuestas en internet, aunque no se sabe cuántas son señuelos ni cuántas ya están protegidas.

Ivanti recomienda revisar el aviso de seguridad, instalar una versión corregida cuanto antes y ejecutar regularmente el Integrity Checker Tool. Pero el caso muestra que esa herramienta no debe ser la única comprobación: la propia compañía pide complementar el parche con controles de acceso sólidos, monitoreo de red, revisión de registros y validación continua de la integridad del dispositivo.

No es un incidente aislado: las vulnerabilidades de Ivanti han sido aprovechadas repetidamente para entrar a redes empresariales y robar información, en ocasiones mediante cadenas de fallas de día cero que terminaron desplegando malware. Estos son algunos antecedentes y cifras que recoge BleepingComputer:

  • A principios de enero de 2024, Ivanti corrigió la evasión de autenticación CVE-2023-46805 y la inyección de comandos CVE-2024-21887; dos semanas después atendió la falsificación de solicitudes del lado del servidor CVE-2024-21893.
  • En enero de 2025 corrigió la ejecución remota de código CVE-2025-0282. Posteriormente corrigió CVE-2025-22457, otra falla de ejecución remota explotada por actores de ciberespionaje vinculados con China desde, al menos, mediados de marzo de 2025.
  • Desde noviembre de 2021, CISA ha señalado 36 vulnerabilidades de distintos productos de Ivanti como explotadas activamente; 12 también fueron aprovechadas por grupos de ransomware.
  • Ivanti cuenta con más de 3,000 empleados, una red de más de 7,000 socios y más de 40,000 clientes de sus soluciones de gestión de activos de TI en todo el mundo.

💬 Si administras una VPN empresarial, ¿cómo verificas que el dispositivo sigue íntegro después de instalar un parche?

¿Pero deveras? 🌵💚