Zero-day en Ivanti Connect Secure bajo explotación activa desde principios de octubre: el atacante evade la herramienta de detección propia

Ivanti reveló el 13 de octubre de 2026 que una vulnerabilidad zero-day de omisión de autenticación en su pasarela SSL VPN Connect Secure, identificada como CVE-2026-104935, está siendo explotada activamente — y que el actor detrás de la campaña lleva operándola desde al menos el 1 de octubre, casi dos semanas antes de que se emitiera el aviso público. El fallo afecta a las versiones 22.8R2.4 y anteriores de Connect Secure (ICS), así como a la rama 25.1.x.

Qué permite la vulnerabilidad

El bug permite que un atacante remoto no autenticado ejecute comandos arbitrarios en el dispositivo, sin necesidad de interacción del usuario y con baja complejidad de ataque — una combinación que convierte una pasarela VPN expuesta a internet en una puerta abierta. La firma de seguridad Volexity, que descubrió y reportó el fallo, rastrea al grupo que lo explota como UTA0576. Según Volexity, el actor no utilizó este bug de forma aislada: encadenó CVE-2026-104935 con otras dos vulnerabilidades para lograr ejecución de código a nivel root sin autenticación en dispositivos que, por lo demás, estaban completamente parcheados.

Ivanti ha publicado correcciones para dos de las tres vulnerabilidades de esa cadena. Un fallo de escalada de privilegios que completa la ruta de explotación permanece sin parchear en el momento de redactar este artículo, lo que significa que el parche disponible reduce pero no cierra por completo la superficie de ataque.

Técnicas antiforenses

Lo que distingue esta campaña de la explotación rutinaria de VPN es el trabajo de evasión del atacante. UTA0576 no desplegó malware ni web shell — los artefactos habituales que los defensores buscan tras un compromiso. En cambio, Volexity observó que el actor re-explotaba el dispositivo desde cero para cada comando que deseaba ejecutar, y alteraba activamente los registros del dispositivo para borrar cualquier evidencia de su actividad. El grupo también evadió el propio Integrity Checker Tool de Ivanti, la utilidad que se recomienda a las organizaciones ejecutar para confirmar que su dispositivo no ha sido manipulado — lo que significa que un análisis limpio del Integrity Checker en un dispositivo afectado no puede considerarse garantía de seguridad.

Escala de la exposición

El servicio de análisis de internet Shadowserver contabiliza más de 5.500 instancias de Connect Secure accesibles desde la internet pública, aunque no está claro cuántas de ellas son señuelos, honeypots o ya han sido remediadas. Por su parte, el investigador Defused reportó haber detectado señales de explotación tan pronto como el 1 de octubre, lo que sugiere que el verdadero inicio de la campaña podría ser anterior incluso a la estimación del 3 de octubre de Volexity.

Qué deben hacer las organizaciones

Ivanti insta a los administradores a actualizar a una versión corregida de inmediato y a tratar el Integrity Checker Tool como una señal más entre varias, en lugar de como una autorización definitiva, dada la demostrada capacidad del atacante para evadirlo. Dado que el tercer componente de la cadena de explotación permanece sin parchear, las organizaciones que ejecuten Connect Secure deben asumir que el riesgo persiste incluso después de aplicar los parches disponibles, y deben revisar los registros y el estado del dispositivo en busca de indicios de compromiso desde principios de octubre — no solo a partir de la fecha de divulgación.

Las pasarelas VPN empresariales han sido un objetivo recurrente a lo largo de 2026 precisamente porque se sitúan en el perímetro de la red con acceso privilegiado a todo lo que hay detrás; este incidente sigue un patrón ya conocido de actores vinculados a estados-nación y motivados económicamente que encadenan múltiples vulnerabilidades para vencer tanto la autenticación como las propias herramientas de detección del fabricante en una sola campaña.

Según lo reportado por BleepingComputer, basándose en la investigación de Volexity y el aviso de seguridad oficial de Ivanti.