Ir al contenido
Indene
es

Alertas de segurança

Falla en Ivanti Connect Secure es explotada y parte de la cadena de ataque sigue sin corrección

Ivanti confirmó la explotación de la CVE-2026-104935 en la VPN Connect Secure, con ataques desde principios de octubre y robo de credenciales de Active Directory. La actualización cierra dos de las tres fallas de la cadena: hay que corregir y buscar señales de intrusión.

Por Rafael LimaCFO

3 min de lectura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título The patch closes the door, not the case.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título The patch closes the door, not the case.

Ivanti confirmó el 13 de octubre de 2026 que una falla en Connect Secure, la VPN corporativa de la empresa, fue explotada contra clientes antes de que existiera una corrección. La CISA incluyó la CVE-2026-104935 en el catálogo de fallas explotadas (KEV) el mismo día. La actualización cierra dos de las tres fallas usadas en el ataque; la tercera, que otorga privilegio total en el equipo, aún no tiene corrección.

Lo que se sabe

ítem detalle
Identificador CVE-2026-104935
Producto y versiones afectadas Ivanti Connect Secure 22.8R2.4 y anteriores, 25.1.1.1 y anteriores, 25.1.2.2 y anteriores; las versiones 22.7 y anteriores no están afectadas
Gravedad CVSS v3.1 8,6 (Ivanti, en el NVD)
En el catálogo KEV de la CISA sí, desde el 13 de octubre de 2026 · plazo federal estadounidense el 16 de octubre
Corrección 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1, según el aviso del fabricante
Lo que falta corregir la falla de escalada de privilegio usada en la misma cadena; según Volexity, Ivanti prepara la corrección para las próximas semanas

La falla permite eludir la autenticación y ejecutar comandos en el equipo sin iniciar sesión. Según Volexity, que investigó el caso, el atacante encadenó esta falla con otras dos para obtener acceso de administrador total (root) en equipos con todas las actualizaciones aplicadas, desde al menos el 3 de octubre. Defused, otra empresa de inteligencia de amenazas, vio las primeras señales el 1 de octubre. Ivanti habla de explotación "limitada". Shadowserver contaba más de 5.500 equipos Connect Secure expuestos en internet, según BleepingComputer.

Por qué importa para las instituciones financieras

El objetivo no era la VPN en sí. Según el relato de Volexity, después de entrar, el atacante robó credenciales de dominio que pasaban por el equipo, buscó en Active Directory las contraseñas locales de administrador y las claves de recuperación de disco, y sacó datos de la red. Tampoco instaló ningún programa: volvió a explotar la falla con cada comando y borró registros. Por eso la propia Volexity advierte que la herramienta de verificación de integridad de Ivanti puede no detectar el compromiso.

Es el escenario de explotación de un activo expuesto a internet que lleva directo al compromiso de una cuenta corporativa. Y es la tercera ola de fallas explotadas en equipos de borde en menos de un mes, después de F5, Check Point, WSO2 y Arista en septiembre y de Citrix y Cisco a principios de octubre. Connect Secure tiene historial: la CISA ya marcó 36 vulnerabilidades de Ivanti como explotadas desde noviembre de 2021, 12 de ellas por grupos de ransomware, según BleepingComputer.

Para quien tiene el equipo, actualizar es obligatorio y no alcanza. Con una de las fallas aún abierta y el atacante borrando rastros, la pregunta correcta no es "¿ya corregimos?", sino "¿podemos probar que nadie entró entre el 1 de octubre y hoy?".

Qué hacer ahora

  1. Verifique si la institución, o un proveedor que opera el acceso remoto en su nombre, usa Ivanti Connect Secure en una versión afectada y si el equipo es accesible desde internet.
  2. Aplique la versión corregida indicada en el aviso de Ivanti (22.8R2.5, 25.1.1.2, 25.1.3.0 o 25.1.3.1) y acompañe la corrección de la escalada de privilegio, que aún no salió.
  3. Busque señales de acceso indebido desde el 1 de octubre con los indicadores publicados por Volexity, como un volumen anormal de solicitudes a la página de autenticación y archivos extraños en el directorio temporal, sin depender solo de la herramienta de integridad de Ivanti.
  4. Si hay señal de compromiso, cambie las credenciales de dominio que pasaron por la VPN, las contraseñas locales de administrador y las claves de recuperación de disco guardadas en Active Directory, y preserve registros e imágenes para la investigación.
  5. Registre la corrección y la verificación con fecha y responsable: es la evidencia que la auditoría va a pedir.

Referencias

Temas

Sigue leyendo

Todas las noticias