Ivanti Connect Secure: cadena de días cero da acceso root
Un actor de amenazas desconocido ha estado encadenando tres vulnerabilidades en los dispositivos VPN Ivanti Connect Secure (ICS) para obtener acceso root, robar credenciales y cartografiar las redes de sus víctimas. Los ataques funcionaron contra dispositivos que en ese momento tenían todos los parches aplicados.
Volexity detectó la actividad en la primera semana de octubre de 2026 y sigue al atacante con el nombre de UTA0576. El dispositivo comprometido ejecutaba la versión 22.8R2.4, la más reciente disponible en ese momento.
Ivanti afirma que, cuando se hizo público el problema, solo se había visto afectado un número limitado de clientes, y que está ayudando a esas organizaciones.
Tres fallos, una cadena
Según Volexity, la cadena empieza con una omisión de autenticación en welcome.cgi. A continuación viene una vulnerabilidad de escritura de archivos en wu.cgi. El último paso es un fallo de escalada de privilegios en la forma en que el intermediario dsinvoked de ICS confía en los datos de configuración de DSCache. Ese fallo permite a un atacante ejecutar comandos como root.
Con acceso root, UTA0576 tenía el control total de los dispositivos atacados. Los atacantes lo aprovecharon para:
- extraer las credenciales almacenadas en el dispositivo
- exfiltrar parte de los metadatos de Active Directory
- recopilar contraseñas de administrador local y claves de recuperación de BitLocker
- robar datos de configuración
- capturar el tráfico LDAP que pasaba por el dispositivo comprometido
- manipular los registros, borrar artefactos temporales de ejecución y, en general, eliminar sus huellas
Según Defused Cyber, el primer ataque confirmado se produjo el 1 de octubre.
¿Delincuencia o espionaje?
Volexity cree, con un grado de confianza bajo, que a UTA0576 le mueve el dinero y no el espionaje, y basa esa opinión en el perfil de los objetivos. Como la intrusión se detectó y se frenó, los investigadores no pudieron averiguar qué buscaban en última instancia los atacantes.
Lo que sí tienen más claro es hacia dónde se dirigían. Volexity considera, con un alto grado de confianza, que las acciones del atacante eran la preparación para un movimiento lateral y un compromiso más amplio de la red de la víctima.
Parche disponible para parte de la cadena
Ivanti ha publicado una corrección para la vulnerabilidad de omisión de autenticación y ejecución remota de código, identificada como CVE-2026-104935. La corrección para la parte de escalada de privilegios de la cadena todavía está en desarrollo.
La empresa asegura que ya había detectado parte del problema a través de su propio programa de seguridad de productos. Corrigió esa parte en la versión 25.1.3.0 en julio y estaba trasladando la corrección al resto de versiones con soporte cuando empezaron los ataques.
Ivanti recomienda a sus clientes actualizar a una versión corregida, revisar sus sistemas con los indicadores de compromiso publicados por Volexity y ejecutar con regularidad la herramienta ICS Integrity Checker Tool, que busca cambios inesperados en los archivos del disco.
Volexity advierte de que la herramienta no servirá de mucho en este caso. La cadena de exploits modifica el código de las bibliotecas solo en memoria y restaura los datos del almacén de configuración, de modo que el comprobador no ve nada raro. Volexity sostiene que hace falta una investigación forense para encontrar indicios de explotación.
La CISA, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, dio un consejo similar. Añadió CVE-2026-104935 a su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities) y ordenó a las agencias civiles federales de Estados Unidos corregir el fallo y realizar un triaje forense antes del 16 de octubre de 2026. Las organizaciones que encuentren pruebas de compromiso deben seguir los pasos de recuperación de Ivanti.
Por qué es importante
Este caso demuestra que "con todos los parches aplicados" no significa seguro cuando hablamos de dispositivos perimetrales. Los atacantes lograron vulnerar una versión actualizada y borraron su rastro lo bastante bien como para esquivar la propia herramienta de integridad del fabricante. Los administradores que confían en esa herramienta para quedarse tranquilos no deberían hacerlo esta vez.
Los ataques encajan además en un patrón ya conocido. Los equipos de acceso remoto siguen atrayendo a los atacantes, como demuestran los casos recientes del SonicWall SMA1000, un día cero en SAML de Citrix NetScaler y los dispositivos Fortinet comprometidos.
Hay dos cosas que conviene vigilar. La primera, cuándo publica Ivanti la corrección para la escalada de privilegios. La segunda, si aparecen más víctimas. Las claves de BitLocker y las contraseñas de administrador robadas apuntan a que podrían producirse nuevas intrusiones a partir de este ataque.