Ivanti Connect Secure: la cadena de tres días cero dio acceso root a un equipo parcheado y la escalada de privilegios sigue sin parche

Qué ha pasado

Este reportaje continúa la noticia que Orbitaley publicó el 13 de octubre sobre la explotación de CVE-2026-104935 en Ivanti Connect Secure (ICS). Desde entonces, el análisis técnico de Volexity, la empresa que descubrió los ataques, ha cambiado la dimensión del problema: el fallo corregido es solo una parte de una cadena de tres días cero, y el último eslabón, una escalada de privilegios a root, sigue sin parche.

Según Volexity, un actor desconocido al que denomina UTA0576 encadenó una omisión de autenticación en welcome.cgi mediante la cabecera X-DSCGI-PATH, una escritura de archivos en wu.cgi aprovechando una condición de carrera y un abuso de la confianza del servicio dsinvoked en el almacén de configuración DSCache. Así ejecutó código como root en un equipo con todos los parches disponibles (22.8R2.4, Build 19097). Ivanti agrupa los dos primeros fallos bajo CVE-2026-104935; el tercero se corregirá «en las próximas semanas», según Volexity y CERT.be.

El atacante no instaló puerta trasera ni web shell: relanzaba la cadena completa para cada comando y recibía los resultados en las respuestas HTTPS. Robó las credenciales LDAP de dominio guardadas en el equipo, extrajo metadatos de Active Directory, buscó contraseñas LAPS y claves de recuperación de BitLocker con herramientas propias, capturó tráfico LDAP con un tcpdump renombrado como «dsstatmond» y probó contraseñas comunes contra muchas cuentas. Después borró entradas de registros y restauró los componentes alterados.

Lo que está confirmado y lo que no

El estado de cada dato, con su fuente:

• Confirmado (CISA): explotación activa para robar credenciales y exfiltrar datos; fallo incluido en el catálogo KEV el 13 de octubre; las agencias civiles federales de EE. UU. deben parchear antes del 16 de octubre.
• Confirmado (CISA): la Integrity Checker Tool de Ivanti puede no detectar la explotación porque los comandos se ejecutan en memoria.
• Confirmado (Ivanti, citada por BleepingComputer y Security.NL): explotación «limitada», sin cifra de clientes, y sin indicadores de compromiso fiables en el momento del aviso.
• Confirmado (CCB/CERT.be): CVSS 8.6, tipo CWE-290.
• Confirmado (Previdian, según The Hacker News): 105 intentos desde 50 IP de Singapur y EE. UU. contra sus honeypots; los payloads comprueban si ejecutan código, sin desplegar malware.
• Sin confirmar (Defused, según BleepingComputer): primeros indicios el 1 de octubre, dos días antes de lo observado por Volexity.
• Sin confirmar (Volexity, confianza baja): motivación criminal y no de espionaje.
• Sin confirmar (Volexity, confianza media, por indicios indirectos): uso de modelos de lenguaje para crear el exploit y operar dentro del equipo.
• Evaluación (Volexity, confianza alta): el atacante preparaba movimiento lateral; su objetivo final se desconoce porque la operación se cortó.
• Sin confirmar (solo ITdaily): parches 25.1.1.2 el 5 de octubre y 22.8R2.5 el 12, frente al 13 que indica Volexity.

Por qué importa

ICS es la puerta de acceso remoto de muchas organizaciones: comprometerlo da un punto de entrada a la red interna y, como muestra el caso documentado, acceso a los secretos de Active Directory. Shadowserver contabiliza más de 5.600 equipos expuestos que parecen ICS, según BleepingComputer, aunque la cifra no descuenta los ya parcheados ni los honeypots.

El patrón se repite. Rapid7 recuerda que ICS ya sufrió días cero en 2024 y 2025; en 2025, un fallo parcheado en febrero se explotó desde marzo por un actor de espionaje vinculado a China, según BleepingComputer. Esta vez, CyberScoop y Rapid7 cuentan que Ivanti detectó parte del fallo en junio, lo corrigió en la 25.1.3.0 de julio y aún adaptaba el parche al resto de ramas cuando empezaron los ataques. Según Security.NL, CISA suma ya 36 vulnerabilidades de Ivanti explotadas.

Cronología

Fechas clave según las fuentes citadas:

1. Junio de 2026Ivanti detecta internamente parte del fallo (CyberScoop).
2. Julio de 2026lo corrige en la 25.1.3.0 (Rapid7).
3. 30 de septiembre a 7 de octubreel servidor de UTA0576 tiene activo un OpenVPN (Volexity).
4. 1 de octubreprimeros indicios de explotación, según Defused.
5. 3 de octubreUTA0576 empieza a atacar al cliente de Volexity.
6. 5 de octubreVolexity abre la investigación.
7. 10 de octubreVolexity entrega indicadores a sus clientes.
8. 13 de octubreaviso y parches de Ivanti, análisis de Volexity, alerta de CISA e inclusión en KEV.
9. 14 de octubreaviso de CERT.be, intentos en honeypots de Previdian y recuento de Shadowserver.
10. 16 de octubrevence el plazo de CISA para las agencias federales.

Qué pueden hacer las organizaciones

Ivanti no ofrece solución provisional, según watchTowr: solo actualizar. Están afectadas la 25.1.1.1, la 25.1.2.2 y la 22.8R2.4 y anteriores; las corregidas son la 25.1.1.2 (ISA6000/ISA8000), la 25.1.3.0 y 25.1.3.1 (ISA4500/ISA6500/ISA8500) y la 22.8R2.5. La rama 22.7.x no está afectada.

• Antes de tocar el equipo, guardar registros, configuración e imágenes (watchTowr).
• Buscar ráfagas de peticiones a /dana-na/auth/url_default/welcome.cgi con X-DSCGI-PATH que apunte a wu.cgi o a /home/runtime/tmp/<MD5>, y cualquier desajuste entre URL y cabecera, porque habrá variantes (Volexity).
• Revisar /tmp/, el directorio oculto /data/.icscap y procesos llamados dsstatmond; cruzar el tráfico con 108.165.147[.]64 y los indicadores que Volexity publica en GitHub.
• No fiarse solo de la Integrity Checker Tool: análisis forense de memoria y de red (CISA, Volexity) y seguir buscando intrusiones después de parchear (Rapid7).
• Ante sospecha, la pauta de CISA: copiar la configuración, restablecer de fábrica y actualizar (o reconstruir la instancia virtual), restaurar la configuración, cambiar todas las contraseñas de dominio, administrador y locales, reemitir certificados y renovar claves de API y credenciales del servidor de licencias.

Qué vigilar ahora

Lo decisivo es el parche de la escalada de privilegios: no tiene fecha ni se sabe si tendrá CVE propio. Tampoco se sabe cuántas organizaciones han sido atacadas, de qué sectores o países, si la corrección de julio cubría toda la cadena ni si los intentos que ven Previdian y Defused son de UTA0576 o de otros actores.

El director ejecutivo de Previdian prevé explotación plenamente armada en horas o días, una previsión y no un hecho; el SOC nacional de NHS England Digital la ve «muy probable», según una fuente secundaria. No consta código de explotación público. A medio plazo, la rama 22.8 pierde soporte el 31 de enero de 2027, según CISA.

Fuentes

• Volexity: chained exploitation of Ivanti Connect Secure zero-days
• CISA alert on Ivanti Connect Secure
• CCB/CERT.be advisory
• Rapid7: Ivanti Connect Secure zero-day exploited in the wild
• watchTowr: CVE-2026-104935 FAQ
• BleepingComputer: CISA warns admins to fix Ivanti flaw
• BleepingComputer: Ivanti warns of Connect Secure zero-day
• The Hacker News: honeypots log 105 exploit attempts
• CyberScoop: Ivanti missed chance to fix flaw before attacks

Vulnerabilidades (1)