Por Canuto  

Dos fallas adicionales de Ivanti Connect Secure aparecen vinculadas con ataques reales. La cadena explotada permitió llegar a acceso root y, según investigadores, incluyó el robo de credenciales y la búsqueda de claves de recuperación. Ivanti publicó correcciones y Rapid7 recomienda aplicarlas de inmediato.

***

  • Ivanti añadió CVE-2026-111357 y CVE-2026-118527 a su aviso de seguridad; ambas se explotaron junto con CVE-2026-104935.
  • Volexity observó robo de credenciales y consultas de Active Directory relacionadas con Windows LAPS y claves de recuperación de BitLocker.
  • Las versiones corregidas son 25.1.1.3 y 22.8R2.6; la herramienta Integrity Checker Tool puede no detectar la actividad descrita.

 

 

Ivanti publicó correcciones para dos vulnerabilidades adicionales de Connect Secure después de que la compañía reportara su explotación en ataques reales. Rapid7 indicó que los fallos se encadenaron con una tercera vulnerabilidad para comprometer a un número limitado de clientes, por lo que recomienda aplicar los parches fuera del calendario habitual y revisar los dispositivos en busca de señales de intrusión.

La combinación descrita por los investigadores permitió obtener acceso root sin autenticación a un dispositivo y, según la investigación de Volexity, incluyó el robo de credenciales y consultas a Active Directory para buscar contraseñas de Windows LAPS y claves de recuperación de BitLocker. El caso también incluye una advertencia forense: la actividad observada puede evadir la herramienta de comprobación de integridad de Ivanti, de modo que un resultado limpio no basta para descartar un compromiso.

La cadena de fallas y la explotación observada

El 29 de octubre de 2026, Ivanti actualizó su aviso de seguridad de Connect Secure para incorporar CVE-2026-111357 y CVE-2026-118527, además de publicar correcciones para ambas. La información disponible sobre CVE-2026-111357 no describe de manera uniforme el fallo: el registro de NVD señala que Connect Secure 22.8R2.4 gestiona incorrectamente la confianza del intermediario dsinvoked en los datos de configuración DSCache, mientras que CISA la incluye como una vulnerabilidad de falta de autenticación para una función crítica. Ivanti le asignó una puntuación CVSSv3.1 de 8,8.

La segunda vulnerabilidad, CVE-2026-118527, está relacionada con la generación de números o identificadores predecibles y recibió de Ivanti una puntuación CVSSv3.0 de 4,3. La descripción recogida por HKCERT indica que un atacante remoto autenticado puede cargar archivos en una ubicación conocida del disco. Aunque su puntuación individual es menor, la falla adquiere relevancia por su función dentro de la cadena de explotación reportada.

Ambas vulnerabilidades nuevas se encadenaron con CVE-2026-104935, una falla de suplantación que permite eludir la autenticación y ejecutar comandos de forma remota. Ivanti informó que la explotación ya había ocurrido antes de divulgar las fallas adicionales y afectó a un número limitado de clientes. La empresa había publicado el 13 de octubre una corrección para CVE-2026-104935; las dos vulnerabilidades incorporadas después requerían actualizaciones adicionales.

Volexity reportó que el grupo identificado como UTA0576 comenzó a explotar una cadena el 3 de octubre de 2026 contra un appliance con la versión 22.8R2.4. Su investigación vinculó la actividad con CVE-2026-104935 y CVE-2026-111357, mientras que el aviso posterior de Ivanti incorporó CVE-2026-118527 como otro componente de la cadena. El 30 de octubre, CISA sumó las dos vulnerabilidades nuevas a su catálogo de fallas explotadas conocidas, con base en evidencia de ataques activos.

Qué revelan las puntuaciones y el impacto

Las puntuaciones de Ivanti sitúan CVE-2026-104935 en 8,6, con clasificación alta, y describen su impacto como ejecución remota de comandos sin autenticación. Para CVE-2026-111357, la compañía asignó 8,8; para CVE-2026-118527, fijó 4,3 y describió la carga remota autenticada de archivos en una ruta conocida. Estas valoraciones corresponden a metodologías y condiciones distintas para cada vulnerabilidad.

Hay una diferencia de evaluación en el caso de CVE-2026-111357: el registro CVE y la base de datos de Rapid7 la califican con 7,0, frente al 8,8 de Ivanti. Según el análisis de Rapid7, las evaluaciones consideran de manera distinta la complejidad del ataque y el alcance. La tabla del aviso de Ivanti, de acuerdo con ese análisis, conserva las puntuaciones y clasificaciones de la compañía.

La investigación de Volexity describió el robo de credenciales y consultas a Active Directory orientadas a buscar contraseñas de Windows LAPS y claves de recuperación de BitLocker. Estos elementos amplían el alcance potencial del incidente más allá del appliance VPN: las credenciales y claves buscadas podrían exponer otros sistemas o datos protegidos si los atacantes logran obtenerlas. La fuente no cuantifica cuántas organizaciones sufrieron esos efectos ni confirma que todos los clientes afectados hayan perdido esos datos.

El acceso a Connect Secure importa porque se trata de una solución VPN empresarial desplegada en el borde de la red. Ivanti también tiene antecedentes de explotación de vulnerabilidades de día cero en este producto durante 2024 y 2025, según el informe de Rapid7. En este caso, la combinación de fallas y las acciones descritas por los investigadores justifican una respuesta urgente, aunque las puntuaciones individuales no sean idénticas ni todas estén en la categoría más alta.

Versiones corregidas y acciones de respuesta

Para CVE-2026-111357 y CVE-2026-118527, Ivanti señala como afectadas las versiones 25.1.1.2 y anteriores, y recomienda actualizar a 25.1.1.3. En la rama 22.8, las versiones 22.8R2.5 y anteriores requieren la actualización 22.8R2.6. Las correcciones publicadas el 13 de octubre, 25.1.1.2 y 22.8R2.5, no solucionan estas dos fallas adicionales.

La vulnerabilidad CVE-2026-104935 tiene una ruta de actualización diferente. Ivanti indica que las versiones 25.1.1.1 y anteriores se corrigen con 25.1.1.2; para 25.1.2.2 y anteriores, señala 25.1.3.0 o 25.1.3.1, mientras que 22.8R2.4 y anteriores requieren 22.8R2.5. La compañía recomienda migrar desde 22.8.X a 25.1.1.3 o una versión posterior, y usar 22.8R2.6 si no es posible completar la migración de inmediato.

Ivanti también especifica que 25.1.3.0 y las versiones posteriores no están afectadas en los modelos ISA4500, ISA6500 e ISA8500. Rapid7 aconseja instalar de inmediato las actualizaciones disponibles, sin esperar al siguiente ciclo rutinario de mantenimiento, y después investigar posibles indicios de compromiso. Si existe sospecha de intrusión, la recomendación es seguir el procedimiento de recuperación de Ivanti y rotar las credenciales que pudieron quedar expuestas.

Antes de reiniciar o restablecer un appliance sospechoso, conviene preservar, cuando sea posible, la memoria y los registros, porque esas acciones pueden eliminar evidencia útil para la investigación. Volexity advirtió que la actividad observada evita el Integrity Checker Tool de Ivanti, así que un escaneo sin hallazgos no confirma que el dispositivo esté limpio. La respuesta debe combinar la instalación del parche con la revisión forense y la protección de las credenciales potencialmente afectadas.

Indicadores para buscar en los dispositivos

La guía de Volexity recomienda revisar las solicitudes dirigidas a /dana-na/auth/url_default/welcome.cgi, en especial cuando exista una diferencia entre la URL y el encabezado X-DSCGI-PATH. Entre los valores observados figuran /home/webserver/htdocs/dana/fb/smb/wu.cgi y /home/runtime/tmp/<MD5(nombre de archivo)>. Estos datos sirven como pistas de búsqueda, pero la ausencia de una coincidencia aislada no descarta por sí sola una intrusión.

En el directorio /tmp/, la investigación recomienda buscar los archivos ml.py, rq5.py, mk.py, rr.py, pu.txt, sp_out.txt y spray_hits.json. También menciona el directorio /data/.icscap/, donde podrían aparecer dsstatmond, archivos con el patrón cap* y h.py. La revisión de esos rastros debe realizarse junto con otros indicadores y registros disponibles.

Volexity también señala como fuentes de evidencia los archivos ics-root-run-inband-*.pl y ics-root-result-inband-* dentro de /home/runtime/tmp/. En los registros /home/runtime/dlogs/debuglog y /var/log/audit/audit.log, aconseja buscar señales de eliminación selectiva. Para la actividad de explotación atribuida a UTA0576, la investigación incluye la dirección IP 108.165.147[.]64 como indicador de red.

Volexity publicó además reglas YARA destinadas a identificar evidencia en encabezados de solicitudes y el componente de escalada de privilegios en memoria. Por separado, los clientes de Exposure Command, Vulnerability Management y Nexpose pueden evaluar su exposición a CVE-2026-111357 y CVE-2026-118527 mediante comprobaciones autenticadas disponibles desde la publicación de contenido del 30 de octubre de 2026. Rapid7 recomienda consultar el aviso de Ivanti para las versiones corregidas y la guía de mitigación actualizada.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados