Ivanti corrige dos fallas de una cadena que dio acceso raíz a VPN
Ivanti advirtió de ataques contra Connect Secure y lanzó parches para dos fallas encadenadas que permitían ejecutar código en sus dispositivos VPN.
Volexity atribuye la cadena a UTA0576, que obtuvo ejecución como root sin autenticarse en un equipo totalmente actualizado.
La tercera falla, de escalada de privilegios, sigue sin parche; Ivanti prevé corregirla en las próximas semanas.
¿Qué hicieron los atacantes?
Volexity detectó actividad desde el 3 de octubre en el dispositivo de un cliente. Ivanti informó que conoce casos de explotación limitados.
Los atacantes robaron credenciales de dominio y extrajeron metadatos limitados de Active Directory; también buscaron contraseñas LAPS y claves de recuperación de BitLocker.
La firma observó reconocimiento de red, intentos de probar credenciales y manipulación de registros. No encontró una puerta trasera ni una web shell.
¿Qué deben hacer los clientes?
La falla CVE-2026-104935 combina una evasión de autenticación y ejecución remota de código; afecta versiones anteriores a las corregidas por Ivanti.
Ivanti recomienda actualizar cuanto antes a las versiones 22.8R2.5, 25.1.1.2, 25.1.3.0 o 25.1.3.1, según corresponda, y ejecutar regularmente su herramienta de verificación de integridad.
Volexity advirtió que esa herramienta puede no detectar esta cadena; confirmar una intrusión requiere análisis forense de red y memoria.