🛡 VULNERABILIDADES 🛡

Los ataques de día cero en Ivanti ICS destacan los obstáculos en el parcheo de proveedores.

⏰15 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Los ataques de día cero en Ivanti ICS destacan los obstáculos en el parcheo de proveedores.

⟫ 14/10/2026 ⟫ Rob Wright

Fuente: Dark Reading

**Introducción contextual**

En el mundo de la ciberseguridad, las vulnerabilidades de día cero representan uno de los desafíos más significativos para las empresas tecnológicas y sus clientes. Estas brechas de seguridad son descubiertas por los atacantes antes de que los proveedores de software tengan la oportunidad de mitigarlas, lo que les permite llevar a cabo ataques devastadores. A pesar de que algunos proveedores afirman haber detectado y corregido vulnerabilidades, como es el caso reciente de Ivanti, la realidad es que la rapidez de los actores maliciosos puede superar la capacidad de respuesta de las empresas. Este artículo analiza un caso reciente en el que Ivanti sufrió la explotación de dos vulnerabilidades de día cero en su producto Ivanti Connect Secure (ICS), lo que pone de relieve la urgencia de una respuesta eficaz ante las amenazas crecientes en el panorama digital.

**Detalles técnicos**

Ivanti ha revelado que dos vulnerabilidades críticas han sido explotadas en su plataforma ICS, clasificadas como CVE-2026-104935. La primera es una vulnerabilidad de bypass de autenticación de alta gravedad, que permite a un atacante eludir los mecanismos de seguridad establecidos. La segunda es una vulnerabilidad de ejecución remota de código (RCE), que otorga a un actor malicioso la capacidad de ejecutar código en un dispositivo comprometido sin necesidad de autenticación. Este tipo de fallos es especialmente preocupante, ya que pueden ser utilizados para tomar el control total de los sistemas afectados.

El proceso de explotación se volvió más complejo cuando, a pesar de que Ivanti había identificado parte de esta vulnerabilidad en julio y había lanzado un parche en la versión 25.1.3.0, los atacantes lograron ejecutar su cadena de explotación antes de que se aplicaran las correcciones necesarias en todas las versiones afectadas. Los investigadores de Volexity rastrearon a un actor de amenazas conocido como UTA0576, que utilizó esta cadena de explotación para comprometer dispositivos ICS que ya estaban completamente actualizados.

La cadena de explotación utilizada por UTA0576 combinó el bypass de autenticación, la ejecución remota de código y una vulnerabilidad de escalada de privilegios, lo que permitió la ejecución de código a nivel de raíz sin necesidad de autenticación. Esta última vulnerabilidad aún no ha sido divulgada públicamente, pero Ivanti está trabajando en una solución que se implementará en una actualización futura.

**Datos factuales**

El primer indicio de actividad maliciosa se detectó el 5 de octubre durante la investigación de un incidente en un cliente de monitoreo de seguridad de red. A partir de una investigación forense, se determinó que un dispositivo ICS había sido el origen del ataque que comenzó el 3 de octubre, utilizando la cadena de explotación identificada. Los atacantes extrajeron credenciales del dispositivo ICS y llevaron a cabo diversas actividades post-compromiso, como acceder al Active Directory de la organización y eliminar pruebas de explotación de los registros de depuración de Ivanti.

Douglas McKee, director de inteligencia sobre vulnerabilidades en Rapid7, comentó que el desafío al que se enfrentan los proveedores no solo es identificar vulnerabilidades antes que los atacantes, sino también remediarlas completamente antes de que puedan ser explotadas. McKee enfatizó que la detección de un error es solo una parte del trabajo; el verdadero reto es asegurar que cada cliente reciba la solución antes de que los atacantes puedan aprovecharse del fallo.

La Agencia de Ciberseguridad e Infraestructura (CISA) de EE. UU. incluyó CVE-2026-104935 en su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) y dio un plazo hasta el 16 de octubre a las agencias federales para mitigar la vulnerabilidad, ya sea actualizando a una versión corregida o deshabilitando los dispositivos afectados.

**Impacto y consecuencias**

Aunque CVE-2026-104935 ha sido clasificada con un puntaje CVSS de 8.6, lo cual indica una alta gravedad, McKee argumenta que la situación es mucho más crítica. La vulnerabilidad ya está siendo explotada activamente y se encuentra en un dispositivo VPN expuesto a Internet, lo que la convierte en un blanco atractivo para los atacantes. La combinación de esta vulnerabilidad con otros errores incrementa el riesgo general y la urgencia con la que las organizaciones deben actuar.

La detección de la explotación de CVE-2026-104935 puede ser complicada. Aunque Ivanti ha recomendado a sus clientes utilizar su herramienta de verificación de integridad (ICT), los investigadores de Volexity han señalado que esta herramienta podría no detectar modificaciones en un dispositivo, ya que la cadena de explotación solo parchea el código de las bibliotecas en la memoria y restaura los datos de configuración. Por lo tanto, se requieren investigaciones forenses de red y memoria para identificar la actividad de explotación.

**Contexto histórico**

Este incidente no es un caso aislado. En los últimos años, ha habido un aumento en la cantidad de vulnerabilidades de día cero que se explotan antes de que los proveedores tengan la oportunidad de emitir parches. A medida que las tecnologías avanzan y se vuelven más complejas, también lo hacen las técnicas utilizadas por los atacantes. Esto plantea un desafío constante para las empresas de tecnología que deben equilibrar la innovación con la seguridad.

**Recomendaciones**

En este contexto, es vital que las organizaciones adopten un enfoque proactivo hacia la gestión de vulnerabilidades. Esto incluye la implementación de soluciones de monitoreo continuo y la realización de auditorías de seguridad regulares. Las empresas deben estar preparadas para aplicar parches de seguridad de manera oportuna y garantizar que todos los sistemas estén actualizados. Además, es aconsejable establecer protocolos de respuesta a incidentes robustos que permitan a las organizaciones reaccionar rápidamente ante cualquier indicio de explotación de vulnerabilidades. El diálogo continuo entre proveedores y clientes es esencial para crear un entorno de seguridad más resiliente y efectivo.

◢ VULNERABILIDADES ◣

Ivanti ICS Zero-Day Attacks Highlight Vendor Patching Hurdles

⟫ 14/10/2026 ⟫ Rob Wright

Source: Dark Reading

Even when technology vendors discover vulnerabilities before threat actors do, they can still fall victim to zero-day attacks. That's the unfortunate situation Ivanti found itself in this week, as attackers exploited two zero-day vulnerabilities inIvanti Connect Secure(ICS) products: a high-severity authentication bypass vulnerability and the follow-on ability for unauthenticated remote code execution (RCE) in the SSL-VPN and remote-access gateway. The cybersecurity vendor yesterday disclosed both flaws collectively as CVE-2026-104935. "We are aware of exploitation in the wild affecting a limited number of customers at the time of disclosure," Ivanti said inits advisory. But the situation is more complicated than your typical zero-day scenario. According to the advisory, Ivanti actually "discovered a portion of this vulnerability" in July through the vendor's product security program, and patched it with the ICS version 25.1.3.0 release. "We had been working to backport the fix to the remaining supported versions when exploitation occurred," Ivanti said. Volexity researchers discovered that a threat actor, tracked as UTA0576, was using a zero-day exploit chain earlier this month that included CVE-2026-104935. The chain compromised ICS appliances that were fully patched at the time. It's unclear what portion of CVE-2026-104935 Ivanti discovered over the summer, but an Ivanti spokesperson confirmed the discovery was made viaIvanti's LLM project, which uses several frontier and open source AI models to find and automatically remediate vulnerabilities in the company's products. But while AI models helped Ivanti get a head start on CVE-2026-104935, it appears threat actors were able to act even quicker. Volexity researchers first detected the malicious activity on Oct. 5 while investigating an incident at "a network security monitoring customer," according to ablog postpublished Tuesday. A forensic investigation revealed that an ICS appliance was the root cause of the attack that began on Oct. 3, and that UTA0576 used a zero-day exploit chain to compromise the device. "This exploit chain combined an authentication bypass, a remote code execution (RCE), and a privilege escalation vulnerability to achieve unauthenticated root-level code execution" Volexity researchers wrote. "The RCE and authentication bypass vulnerabilities are tracked under CVE-2026-104935." Theprivilege escalationflaw has not been disclosed. Volexity said Ivanti is currently working on a fix for the vulnerability and it will be patched in a future update. UTA0576 actors extracted credentials from the ICS appliance and then engaged in a variety of post-compromise activities, from accessing the organization'sActive Directoryto deleting exploitation evidence from Ivanti debug logs. Volexity researchers said because the attack was detected and disrupted, it's unclear what UTA0576's ultimate objective was. What is clear, according to Douglas McKee, director of vulnerability intelligence at Rapid7, are the challenges facing vendors today for not just finding vulnerabilities before attackers do, but also fully addressing them before they can be exploited. "Finding the bug is only part of the job," he tells Dark Reading. "Ivanti found a portion of this, fixed it in the newest release back in July, and then had to carry that same fix back across every older supported version still running in the field. That backport window is exactly where this went sideways, because the fix existed but hadn't reached everywhere it needed to be by the time attackers showed up." McKee emphasized that a quiet fix to one version could be a loud signal to attackers. "Attackers pay close attention to what a vendor changes, and an unpatched gap across supported versions is an open invitation to find the same issue somewhere the patch hasn't landed," he says. Vendors are improving at finding their own vulnerabilities, McKee says, which is a positive development. But he stressed that the exploitation clock starts the minute any fix is released. "Closing the distance between 'we have a fix' and 'every customer has the fix' is where a lot of this risk actually lives, and to be fair, is a very hard challenge we have always faced," he says. The Cybersecurity and Infrastructure Security Agency (CISA) added CVE-2026-104935 to itsKnown Exploited Vulnerabilities(KEV) catalog on Tuesday, and gave federal civilian agencies until Oct. 16 to mitigate the flaw, either by updating to a fixed version or disabling appliances. While CVE-2026-104935 received only a high-severity CVSS score of 8.6, McKee says the flaw is extremely serious and should be prioritized by security teams. "What the number can't tell you is that this is already being exploited in the wild as a zero-day, it lives on an Internet-facing VPN appliance, and attackers are chaining it with a second bug," he says. "Those are the things that should be driving how fast organizations move, and together they push the practical risk well above what 8.6 reads like on paper." Volexity researchers noted that a spoofed HTTP request with ICS's X-DSCGI-PATH internal routing header can exploit the flaw, but warned that threat actors will likely "identify additional paths that can either be used as the URL or header target for this exploit." The researchers recommended monitoring for mismatches between the URL path and X-DSCGI-PATH. However, detecting exploitation of CVE-2026-104935 may be a challenge. While Ivanti encouraged customers to run itsIntegrity Checker Tool(ICT), Volexity researchers said the ICT tool may not detect modifications to a device "because this exploit chain patches library code in memory only and restores configuration store data." The threat intelligence company said network and memory forensic investigations are required to identify exploitation activity.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD