Zero-days en Ivanti Connect Secure permiten acceso root mediante exploits encadenados

Investigadores de seguridad han identificado una campaña de explotación activa dirigida a los dispositivos VPN Ivanti Connect Secure. El 13 de octubre, la firma de seguridad Volexity informó que un atacante encadenó tres vulnerabilidades de día cero para ejecutar comandos como usuario root sin autenticación. Aunque Ivanti ha lanzado parches para dos de estos fallos, la solución para el tercero sigue indisponible, dejando algunos sistemas vulnerables a pesar de las actualizaciones.

Qué ocurrió

Volexity descubrió el ataque en el dispositivo de un cliente que ejecutaba la versión 22.8R2.4. Aunque esta versión se consideraba completamente parcheada en ese momento, el atacante, rastreado como UTA0576, comenzó a explotar el sistema el 3 de octubre. La cadena de ataque involucra dos fallos iniciales, rastreados conjuntamente como CVE-2026-104935, que incluyen una omisión de autenticación y una vulnerabilidad de ejecución remota de código. Estos permiten al atacante ejecutar código como el usuario cgi-server. Un tercer fallo, una vulnerabilidad de escalada de privilegios, eleva posteriormente esos permisos a acceso root.

Ivanti ha reconocido una explotación limitada en entornos reales e instó a los clientes a actuar de inmediato. La empresa lanzó correcciones para los componentes de omisión de autenticación y ejecución remota de código en la versión 25.1.3.0, fechada en julio de 2026. Sin embargo, el fallo de escalada de privilegios permanece sin parchear, y Volexity declaró que la corrección llegará en una futura versión en las próximas semanas. Actualmente no está claro qué riesgo representa el fallo restante si los dos primeros ya están mitigados.

El método de ataque es particularmente sigiloso. Volexity señaló que la Herramienta de Verificación de Integridad (Integrity Checker Tool) de Ivanti no detecta esta cadena específica de exploits porque el atacante modifica el código de la biblioteca solo en memoria y restaura los datos de configuración después de su uso. Esto significa que las verificaciones de integridad estándar pueden devolver resultados limpios incluso mientras el sistema está comprometido. Confirmar una brecha requiere una investigación forense profunda, incluyendo análisis de red y de memoria, en lugar de depender únicamente de herramientas automatizadas.

Detalles clave

• Versiones afectadas: Las versiones de Connect Secure anteriores a la 25.1.3.0 están afectadas, excepto la versión 22.7R2.14 y anteriores, que figuran como no afectadas.
• Versiones parcheadas: Las versiones 22.8R2.5, 25.1.3.0 y 25.1.3.1 figuran como no afectadas según el registro inicial del CVE.
• Explotación activa: La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) marca la explotación como activa con un impacto técnico total.
• Técnicas de sigilo: El atacante vuelve a ejecutar toda la cadena de exploits para cada comando y no deja puertas traseras ni web shells, lo que dificulta la detección.
• Robo de datos: En el incidente investigado, el atacante robó credenciales de dominio LDAP y realizó ataques de pulverización de contraseñas contra cuentas de Active Directory.
• Otras vulnerabilidades: Ivanti también parcheó fallos críticos en Xtraction (CVE-2026-106042) y Neurons Patch for Intune (CVE-2026-109412), aunque no se ha reportado explotación para estos.

Contexto

Las vulnerabilidades de día cero son fallos de seguridad desconocidos por el proveedor y sin parche disponible en el momento de su descubrimiento. Cuando los atacantes encadenan múltiples días cero, pueden eludir defensas en capas que podrían detener un único exploit. En este caso, la cadena pasa de eludir la autenticación a ejecutar código, y finalmente a obtener control administrativo completo. Esta progresión es peligrosa porque permite al atacante operar con el nivel más alto de privilegios en el dispositivo de red.

La escalada de privilegios es un objetivo común en este tipo de ataques. Una vez que el atacante obtiene una posición inicial con permisos limitados, busca elevar su estatus a root o administrador. Esto le otorga la capacidad de modificar configuraciones del sistema, instalar malware persistente o acceder a almacenes de datos sensibles como bases de datos de credenciales. El hecho de que este exploit específico opere en memoria hace que sea más difícil de detectar con el monitoreo tradicional de integridad de archivos, que normalmente verifica cambios en disco y no en la RAM activa.

Por qué importa

Para los equipos que gestionan su propia infraestructura de acceso remoto, este incidente destaca las limitaciones de depender exclusivamente de las herramientas de integridad proporcionadas por el proveedor. Si su organización utiliza Ivanti Connect Secure, simplemente ejecutar la Integrity Checker Tool puede ofrecer una falsa sensación de seguridad. La naturaleza sigilosa de este ataque significa que los sistemas comprometidos pueden seguir operando con normalidad mientras los atacantes exfiltran credenciales. Esto es especialmente riesgoso para organizaciones que almacenan credenciales de LDAP o Active Directory en el dispositivo, ya que estas pueden usarse para pivotar más profundamente dentro de la red corporativa.

El retraso en el parcheo del tercer vulnerability crea una ventana de incertidumbre. Incluso si actualiza a la última versión para corregir los dos primeros fallos, el vector de escalada de privilegios permanece abierto hasta la próxima versión. Esto obliga a los líderes de TI a equilibrar la urgencia de aplicar los parches disponibles frente al riesgo de la exposición restante. También subraya la necesidad de capacidades robustas de monitoreo de red y forenses, ya que las alertas automatizadas pueden no activarse durante la compromisión inicial.

Qué puede hacer

• Actualice inmediatamente: Si está en una versión afectada, actualice a la 25.1.3.0 o posterior para parchear los fallos de omisión de autenticación y ejecución remota de código.
• Monitoree IOCs: Revise sus registros buscando altos volúmenes de solicitudes a /dana-na/auth/url_default/welcome.cgi con encabezados X-DSCGI-PATH no coincidentes.
• Verifique directorios sospechosos: Busque la presencia del directorio /data/.icscap/, que fue utilizado en el incidente investigado.
• Bloquee IPs maliciosas conocidas: Considere bloquear la IP 108.165.147[.]64 en su firewall si aparece en sus registros de tráfico.
• Realice análisis forense: No dependa únicamente de la Integrity Checker Tool; realice forense de memoria y red si sospecha de una compromisión.
• Rotar credenciales: Si sospecha de alguna exposición, rote las contraseñas de LDAP y Active Directory inmediatamente para prevenir ataques de pulverización de contraseñas.