🛡 VULNERABILIDADES 🛡

Ivanti pierde la oportunidad de solucionar una vulnerabilidad antes de que los atacantes la convirtieran en un zero-day.

⏰14 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Ivanti pierde la oportunidad de solucionar una vulnerabilidad antes de que los atacantes la convirtieran en un zero-day.

⟫ 13/10/2026 ⟫ Matt Kapko

Fuente: CyberScoop

**Un nuevo desafío de ciberseguridad para los clientes de Ivanti: vulnerabilidad crítica en Ivanti Connect Secure**

En el complejo paisaje de la ciberseguridad, los clientes de Ivanti se encuentran nuevamente ante un desafío significativo. Recientemente, se ha revelado la explotación activa de una vulnerabilidad de día cero en uno de los productos de seguridad más utilizados por la empresa, Ivanti Connect Secure. Esta situación no solo afecta a los usuarios de esta plataforma, sino que también plantea preocupaciones más amplias sobre la seguridad de las infraestructuras críticas en un momento en que las amenazas cibernéticas son cada vez más sofisticadas y frecuentes.

Investigadores de Volexity han documentado la explotación en el mundo real de esta vulnerabilidad, que se ha encadenado con otras dos, permitiendo a los atacantes eludir la autenticación, ejecutar código de forma remota y escalar privilegios. La vulnerabilidad principal, identificada como CVE-2026-104935, fue descubierta por Ivanti durante revisiones internas de seguridad en junio, aunque se reveló que los atacantes, a los que Volexity rastrea como UTA0576, ya habían explotado los defectos antes de que la empresa pudiera emitir un parche.

La portavoz de Ivanti explicó que, dado que el problema fue descubierto internamente y no estaba siendo explotado activamente, el arreglo se programó para su inclusión en el ciclo normal de lanzamientos de productos. Sin embargo, el hecho de que múltiples vulnerabilidades deban ser encadenadas para su explotación exitosa resalta la complejidad de la situación. Ivanti ha abordado completamente el componente de ejecución remota de código no autenticado de esa cadena, eliminando la principal vía de explotación. Aun así, la investigación sobre el alcance total de la violación continúa, y la empresa ha admitido que un "número limitado de clientes" ya había sido comprometido antes de la divulgación.

El 1 de octubre se registró la primera instancia confirmada de explotación, aunque los investigadores de Volexity no descartan que haya habido actividad ya a finales de septiembre. Durante una investigación relacionada con un cliente cuya solución Ivanti Connect Secure VPN había sido comprometida, el equipo de Volexity observó una serie de actividades post-explotación. El grupo UTA0576 aprovechó estas vulnerabilidades para comprometer el dispositivo VPN e implementar comandos maliciosos. Entre las actividades realizadas por el actor de amenazas, se incluye la extracción de credenciales almacenadas, el volcado y robo de metadatos de Active Directory, así como la implementación de herramientas personalizadas y maliciosas para facilitar ataques posteriores, pruebas de credenciales y búsqueda de contraseñas de administrador y claves de recuperación.

La compañía Volexity ha observado que UTA0576 se centró principalmente en el robo de credenciales, la exfiltración de datos, la manipulación de registros y la exploración de redes. En respuesta a esta situación crítica, Ivanti ha instado a sus clientes potencialmente vulnerables a actuar de inmediato, actualizando a la última versión del software, utilizando regularmente la herramienta de verificación de integridad de la empresa y revisando los indicadores de compromiso que han sido publicados por Volexity.

La Agencia de Seguridad Cibernética e Infraestructura (CISA) también ha instado a los clientes de Ivanti a aplicar rápidamente el parche para la vulnerabilidad, desalentando la dependencia exclusiva de la herramienta de verificación de integridad de la compañía. CISA advirtió que las organizaciones que intenten determinar si han sido comprometidas necesitarán realizar análisis forenses de red y memoria para identificar pruebas de explotación. La herramienta de verificación de integridad de Ivanti puede no detectar evidencia de explotación de la CVE-2026-104935, ya que los comandos del actor de amenazas se ejecutan en memoria.

Los productos de Ivanti, incluido Ivanti Connect Secure, son un objetivo frecuente para atacantes motivados por diversas razones en el ámbito de la red. Desde finales de 2021, CISA ha marcado 36 defectos de Ivanti en su catálogo de vulnerabilidades conocidas explotadas. Desde finales de enero, al menos seis defectos en productos de Ivanti han sido explotados activamente. Según Sean Koessel, vicepresidente de servicios profesionales en Volexity, los dispositivos de borde son un objetivo valioso para los atacantes, ya que a menudo permiten una mayor penetración en redes específicas.

La expectativa de una explotación generalizada de esta vulnerabilidad es alta, y otros investigadores también comparten esta preocupación. Yordan Ganchev, especialista principal en inteligencia de amenazas en watchTowr, señala que, dada la atención histórica que ha recibido Ivanti Connect Secure y la trivialidad del bypass de autenticación, la explotación indiscriminada es inevitable. La condición de carrera necesaria para la ejecución de código presenta poca resistencia, ya que un atacante no autenticado puede intentar la explotación repetidamente hasta que tenga éxito.

En resumen, la situación actual de Ivanti ilustra la fragilidad de la seguridad cibernética en un entorno donde las amenazas son cada vez más sofisticadas. La responsabilidad recae tanto en los proveedores de software como en los usuarios para mantenerse al día con las actualizaciones y prácticas de seguridad. Las organizaciones deben prepararse para la posibilidad de que sus infraestructuras sean atacadas y considerar medidas proactivas para mitigar estos riesgos.

◢ VULNERABILIDADES ◣

Ivanti misses opportunity to fix vulnerability before attackers got to work and made it a zero-day

⟫ 13/10/2026 ⟫ Matt Kapko

Source: CyberScoop

Ivanti customers are in familiar territory, responding to yet another actively exploited zero-day affecting one of the vendor’s most commonly targeted security products. Volexity researchers, which discovered in-the-wild exploitation earlier this month, said attackers actuallyexploited three zero-days in a chainthat allowed them to bypass authentication, execute code remotely and escalate privileges. Ivanti disclosed and issued a patch for the authentication bypass and remote-code execution components of the exploit chain as a single vulnerability in Ivanti Connect Secure. The company said it initially discovered a portion of the high-severity vulnerability —CVE-2026-104935— during internal security checks in June. A threat actor, which Volexity tracks as UTA0576, exploited the defects before Ivanti addressed them and issued a patch. “Because the issue was discovered internally, was not being actively exploited, and did not meet the threshold for an out-of-band release, a fix was scheduled for inclusion in our normal product release cycle,” an Ivanti spokesperson wrote in response to questions. “Successful exploitation requires chaining multiple vulnerabilities and Ivanti has fully addressed the unauthenticated remote code execution component of that chain, eliminating the primary exploitation path,” the spokesperson added. “We are also developing additional updates to address the remaining vulnerability and further strengthen product security.” The full scope of compromise remains under investigation. The company, in asecurity advisory, said a “limited number of customers” were already compromised prior to disclosure. The Cybersecurity and Infrastructure Security Agency added the defect to itsknown exploited vulnerabilities catalogTuesday. Sean Koessel, vice president of professional services at Volexity, said the earliest confirmed instance of exploitation occurred Oct. 1. Yet, “it wouldn’t surprise us if there was activity toward the end of September,” he added. Volexity researchers observed a series of post-exploitation activities during an investigation involving a customer’s compromised Ivanti Connect Secure VPN appliance earlier this month. “UTA0576 repeatedly exploited these vulnerabilities to compromise the ICS VPN appliance and run commands on it,” the company wrote in a blog post. The threat actor extracted credentials stored on the device, dumped and stole Active Directory metadata, and deployed multiple custom and malicious tools capable of facilitating follow-on attacks, credential testing and hunting for administrator passwords, recovery keys and other passwords. “Based on Volexity’s observations, UTA0576 primarily focused on credential theft, data exfiltration, log tampering, and network reconnaissance,” the company added. Ivanti encouraged potentially vulnerable customers toact immediatelyby upgrading to the latest version of software, running the company’s Integrity Checker Tool regularly, and reviewing indicators of compromise published by Volexity. CISA also urged Ivanti customers to patch the vulnerability quickly, as it dissuaded customers from relying on the company’s Integrity Checker Tool. “Organizations seeking to determine whether they were compromised will need to conduct network and memory forensics to identify evidence of exploitation,” the agency said in analertTuesday. “Ivanti’s Integrity Checker Tool may not detect evidence of exploitation of CVE-2026-104935 because threat actor commands execute in memory.” Ivanti products, including Ivanti Connect Secure, are afrequent target for attackersof various motivations in the network edge space. CISA has flagged 36 Ivanti defects on itsknown exploited vulnerabilities catalogsince late 2021. At least 6 defects across Ivanti products have been exploited since late January. “Edge devices are a valuable initial foothold and often enable attackers to pivot further into targeted networks,” Koessel said. “It would be fair to expect widespread exploitation, this is a common theme with most vulnerabilities in edge devices.” Other researchers also expect exploitation to pick up rapidly. “Given the history of attacker attention and focus Ivanti Connect Secure has previously drawn — and the trivial nature of the authentication bypass — widespread, indiscriminate exploitation is inevitable as attackers begin reviewing patches and public information,” said Yordan Ganchev, principal threat intelligence specialist at watchTowr.“The race condition required for code execution offers little resistance, as an unauthenticated attacker can repeatedly attempt exploitation until it succeeds,” he added. The postIvanti misses opportunity to fix vulnerability before attackers got to work and made it a zero-dayappeared first onCyberScoop.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD