Ivanti Connect Secure tuvo abierta una vía de acceso root que no pedía contraseña, y el primer equipo atacado estaba actualizado al completo. Tres fallos encadenados permitieron entrar sin credenciales, ejecutar código y quedarse con el control total del aparato que hace de puerta de entrada a la red corporativa. La explotación arrancó el 3 de octubre y la firma Volexity la detectó dos días después, el 5 de octubre, al revisar la red de un cliente.
El cierre completo llegó recién el 29 de octubre. Ese día Ivanti publicó las versiones 25.1.1.3 y 22.8R2.6 de Connect Secure, con la corrección de los dos fallos que faltaban en la cadena. Un día después, el 30 de octubre, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) metió ambos fallos en su catálogo de vulnerabilidades explotadas de forma activa, el registro KEV, y fijó a las agencias federales un plazo que vence este lunes 2 de noviembre para aplicar la primera de las correcciones.
Tres fallos encadenados y un equipo al día que cayó igual
La cadena combina tres piezas. La primera es CVE-2026-104935, con nota CVSS de 8,6: una evasión de la autenticación que abre paso a la ejecución remota de código sin usuario ni contraseña, divulgada el 13 de octubre. La segunda, CVE-2026-111357, lleva un 8,8 en la escala CVSS y la propia Ivanti la describe como falta de autenticación en una función crítica; sirve para subir privilegios a quien ya logró un primer apoyo dentro del equipo. La tercera, CVE-2026-118527, tiene nota 4,3: los nombres de archivo predecibles permiten a un atacante remoto con sesión iniciada subir archivos con contenido propio a una ruta conocida del disco.
Volexity atribuye la campaña a un actor que nadie había documentado antes y al que sigue con la clave UTA0576. El equipo comprometido corría la versión 22.8R2.4, la más reciente disponible en ese momento: estaba al día y cayó igual. La técnica explica parte del sigilo. El ataque parchea en memoria el código de una librería del sistema y devuelve los datos de configuración a su estado original al terminar, de modo que el rastro en disco queda limpio. Volexity también observó el borrado de entradas recientes de los registros de depuración y de auditoría del aparato.
El botín no era el equipo: eran las llaves de la red
Una vez dentro, UTA0576 no dejó una puerta trasera web ni un programa malicioso de primera etapa, el comportamiento habitual en este tipo de intrusiones. Sin ese apoyo permanente, el atacante tenía que explotar el equipo otra vez para cada sesión nueva. Su objetivo estaba detrás del aparato: extrajo las credenciales del dominio guardadas en la configuración de la VPN, recogió metadatos del directorio corporativo Active Directory y buscó dos tesoros concretos, las contraseñas de administrador local que gestiona LAPS (la solución de contraseñas de administrador local de Microsoft) y las claves de recuperación de BitLocker, el cifrado de disco de Windows. Con ese material, moverse a otros equipos de la red deja de ser un problema técnico y pasa a ser un trámite.
El detalle incómodo es la herramienta de verificación del propio fabricante. La Integrity Checker Tool de Ivanti revisa los archivos del disco, y este ataque trabaja en memoria: la herramienta «no detecta modificación alguna» en un equipo comprometido, apuntó Volexity. CISA emitió el mismo aviso el 13 de octubre: su herramienta puede no mostrar evidencia de la explotación. El patrón se repite en otros equipos de borde este mismo mes, con la VPN de Cisco ASA y FTD bajo ataque activo por otra falla crítica: la puerta de la red es hoy el blanco favorito, porque quien la controla hereda las credenciales de todos los que entran por ella.
Versiones corregidas, plazos de CISA y trabajo pendiente
Las versiones afectadas son la 25.1.1.2 y las anteriores, y la 22.8R2.5 y las anteriores; la corrección está en la 25.1.1.3 y en la 22.8R2.6, publicadas el 29 de octubre. Para el catálogo KEV, las agencias federales de Estados Unidos deben corregir CVE-2026-111357 antes del 2 de noviembre y CVE-2026-118527 antes del 13 de noviembre. Ivanti explicó su orden de publicación: la corrección de CVE-2026-104935 ya estaba en pruebas cuando aparecieron los otros dos fallos y la empresa decidió no retrasar esa primera entrega. Una parte del fallo principal ya venía corregida en la versión de julio, la 25.1.3.0, y el traslado de esa corrección a las demás versiones seguía en curso cuando empezó la explotación. La rama 22.8, además, tiene fecha de fin de vida fijada: el 31 de enero de 2027.
Parchear cierra la puerta, pero no borra lo que el atacante pudo copiar antes. Para equipos expuestos desde inicios de octubre, Volexity recomienda vigilar volúmenes anormales de peticiones a la página de acceso del aparato y revisar la carpeta temporal del sistema en busca de actividad posterior a la intrusión, con análisis forense de red y de memoria en los casos sospechosos. CISA pide para los equipos comprometidos un restablecimiento de fábrica y credenciales, certificados y claves de acceso nuevos. La cuenta práctica es directa: un Connect Secure actualizado el fin de semana y con las contraseñas de administrador local y las claves de BitLocker rotadas queda protegido dos veces; uno solo parcheado conserva intacto el botín que UTA0576 fue a buscar.
Fuente: The Hacker News
