Ivanti parchea un bypass de Connect Secure explotado en ataques
CVE-2026-104935 permite ejecutar comandos sin autenticación en Ivanti Connect Secure. Ivanti publicó builds corregidas, mientras la investigación de Volexity describe una tercera vulnerabilidad de la cadena que sigue sin parche.
La alerta urgente sobre Ivanti Connect Secure (ICS) ya tiene una parte concreta que los equipos pueden corregir: una vulnerabilidad de bypass de autenticación, identificada como CVE-2026-104935, permite a un atacante remoto sin credenciales ejecutar comandos en el appliance. Ivanti reconoce que ha visto explotación en un número limitado de clientes. La investigación de Volexity, recogida por SecurityWeek, sitúa los primeros indicios el 3 de octubre.
No es una incidencia para convertir en “parchear y cerrar ticket”. La evidencia pública describe una cadena de tres fallos contra un equipo VPN completamente actualizado: dos vulnerabilidades —entre ellas el bypass y la ejecución remota asociada— ya tienen corrección; la tercera, una elevación de privilegios, todavía no. Por tanto, actualizar reduce exposición a CVE-2026-104935, pero no permite concluir por sí solo que un dispositivo comprometido esté limpio.
-InfraCrew dice: En una VPN, “estaba al día” describe una fecha; no demuestra que nadie hubiera entrado antes-
Qué versiones corrigen el fallo publicado
Ivanti publicó actualizaciones para las ramas 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1. La versión aplicable depende de la rama instalada: conviene contrastar el advisory del fabricante con el inventario real antes de preparar el cambio, especialmente cuando se mantienen appliances en ramas distintas. La vulnerabilidad permite ejecución de comandos sin autenticación, así que la ventana de exposición no depende de que el usuario haga clic o entregue credenciales.
El proveedor describe la explotación como limitada. Eso es evidencia de ataques observados, no una medida del alcance total ni una garantía de que el resto de instalaciones estén fuera de riesgo. La investigación de Volexity relaciona la actividad con UTA0576 y documenta robo de credenciales, reconocimiento de red, extracción de metadatos de Active Directory y manipulación de registros. También indica que no encontró una puerta trasera o web shell en el dispositivo investigado; esa observación de un caso no descarta otros patrones.
-InfraCrew dice: Que no aparezca una web shell en el equipo analizado es un dato útil; convertirlo en certificado de limpieza para toda la flota ya sería otro deporte-
El parche y la respuesta a incidentes son trabajos distintos
La alerta importa especialmente a organizaciones que exponen Connect Secure para acceso remoto y dependen de ese perímetro como entrada a redes internas. El acceso sin autenticación puede dar al atacante capacidad de ejecutar comandos en el appliance, y una VPN comprometida puede aportar credenciales y contexto para moverse hacia otros sistemas. El riesgo real dependerá de la exposición, la configuración y la actividad concreta observada en cada entorno.
La prioridad inmediata es instalar la versión corregida que corresponda a la rama y verificar que el cambio haya quedado aplicado. En paralelo, si el appliance estuvo expuesto durante el periodo vulnerable o hay señales anómalas, hay que activar el proceso de respuesta a incidentes: conservar registros disponibles, revisar accesos y credenciales asociadas y seguir las indicaciones vigentes de Ivanti. No conviene tratar una actualización como sustituto de una investigación cuando ya hay indicios de intrusión.
La tercera vulnerabilidad descrita por Volexity sigue sin parche público en la información revisada. La firma espera una corrección posterior, pero esa previsión no es una fecha de disponibilidad. Hasta que Ivanti publique una actualización, cualquier afirmación más concreta sobre mitigación o alcance sería especulativa. El seguimiento debe apoyarse en el advisory actualizado y en los comunicados del fabricante.
-InfraCrew dice: El parche cierra una puerta concreta; la revisión posterior decide si alguien ya había cruzado el pasillo-
Diccionario de la Crew
Bypass de autenticación — fallo que permite acceder a una función sin superar el mecanismo de autenticación previsto.
Ejecución remota de comandos — capacidad de hacer que un sistema ejecute instrucciones enviadas desde otro equipo.
Elevación de privilegios — vulnerabilidad que permite obtener permisos superiores a los ya disponibles.
Appliance — equipo dedicado, normalmente con software integrado, que presta una función de red o seguridad.
