Ivanti: falla de día cero afecta VPN Connect Secure

Ivanti divulgó este martes (13) una falla de día cero en Connect Secure, su puerta de enlace VPN corporativa, ya explotada por atacantes antes de que existiera corrección. El mismo día, la Agencia de Seguridad Cibernética e Infraestructura de EE. UU. (CISA) incluyó la vulnerabilidad, registrada como CVE-2026-104935, en su catálogo de fallas conocidas y dio a las agencias federales civiles hasta el 16 de octubre para corregirla. Son tres días de plazo.

Tres fallas, una sin corrección

La empresa de respuesta a incidentes Volexity, que publicó el análisis técnico también el 13, describe una cadena de tres defectos. Los dos primeros, un desvío de autenticación y una ejecución remota de código agrupados bajo el CVE-2026-104935, permiten que un invasor sin credenciales ejecute comandos en el dispositivo con el usuario del servidor web. El tercero, una escalada de privilegios, eleva ese acceso a root. Según Volexity, el grupo que rastrean como UTA0576 explota la cadena desde al menos el 3 de octubre, contra dispositivos que ejecutaban la versión 22.8R2.4, la más reciente disponible en ese momento.

Ivanti corrigió los dos primeros defectos. La escalada de privilegios continúa abierta: de acuerdo con Volexity, la corrección llegará "en una versión futura en las próximas semanas". En la práctica, una empresa que aplicó todo lo que el fabricante liberó hasta principios de mes estaba expuesta a un atacante capaz de tomar el control total del equipo sin contraseña. Rapid7 recomendó aplicar la actualización fuera del ciclo normal de mantenimiento.

Por qué el equipo importa

Un concentrador de VPN se sitúa en la frontera de la red y autentica a cada empleado, subcontratista y proveedor que accede a sistemas internos. Comprometerlo da al atacante un punto de observación sobre credenciales y sesiones de toda la organización, y la investigación suele ser difícil porque estos dispositivos raramente ejecutan el agente de detección instalado en servidores y estaciones.

Connect Secure tiene antecedentes. En enero de 2024, dos fallas encadenadas en el mismo producto, CVE-2023-46805 y CVE-2024-21887, fueron explotadas por un grupo vinculado a China rastreado como UNC5221. La CISA respondió con la directiva de emergencia 24-01 y, en una medida que la prensa especializada describió como inédita, ordenó a las agencias federales desconectar todas las instancias del producto en 48 horas, con reinstalación de fábrica antes de volver a conectarlas. La directiva también ordenaba suponer comprometidas las cuentas de dominio asociadas a los dispositivos.

Volexity no atribuyó el UTA0576 a ningún país, ni ella ni Ivanti informaron cuántos clientes fueron atacados. Este texto no hace esa atribución.

Donde el riesgo se extiende

En EE. UU., el plazo del 16 de octubre solo aplica al gobierno federal, pero la lista de la CISA funciona como referencia de prioridad para bancos, operadores de salud y proveedores del gobierno, que a menudo la utilizan en contratos y auditorías.

En Australia, la prensa especializada repercutió el alerta con recomendación de corrección inmediata. El país vivió de cerca el episodio de 2024: el Centro Australiano de Seguridad Cibernética publicó con la CISA el aviso conjunto que mostró cómo los atacantes engañaban a la herramienta de verificación de integridad de Ivanti.

El caso también llega a la cadena de subcontratación. Consultorías y proveedores de servicios de TI que operan centros de entrega en India, Europa del Este o Brasil acceden a ambientes de clientes, en gran parte, por VPNs corporativas como esta. Un gateway comprometido del lado del cliente expone las credenciales del proveedor, y un gateway comprometido del lado del proveedor abre camino para docenas de clientes al mismo tiempo.

Lo que pesa para el CISO

Con la tercera falla aún sin corrección, aplicar el paquete liberado reduce el riesgo, pero no cierra la cadena completa. El manual consolidado en 2024 sigue siendo válido: tratar el dispositivo como potencialmente comprometido si estuvo expuesto desde inicios de octubre, recolectar evidencias antes de reiniciar, cambiar las credenciales que pasaron por él y verificar si los logs fueron eliminados o desactivados, señal que la propia Volexity ya apuntó como un fuerte indicador de invasión.

El episodio añade un dato incómodo a la discusión sobre sustituir VPNs por modelos de acceso de confianza cero. Por segunda vez en menos de tres años, el mismo producto fue explotado en cadena antes de que el fabricante conociera el problema, y esta vez la versión más actual estaba vulnerable. Para los consejos que preguntan si la empresa está "al día con los parches", la respuesta honesta en este caso es que estar al día no fue suficiente.