Ivanti publicó el lunes 13 de octubre la corrección de un fallo grave en Connect Secure, la VPN que usan miles de empresas y administraciones para que sus empleados se conecten a la red interna. La vulnerabilidad, la CVE-2026-104935, permite a un atacante ejecutar órdenes en el equipo sin iniciar sesión, y ya se estaba usando en ataques antes de que existiera el parche: es un fallo de día cero. La CISA, la agencia de ciberseguridad de Estados Unidos, la añadió ese mismo día a su lista de vulnerabilidades explotadas y da a las agencias federales hasta el jueves 16 de octubre para corregirla. Además, los atacantes la combinaron con un segundo fallo que todavía no tiene parche.
Connect Secure, antes llamada Pulse Connect Secure, es una pasarela VPN: un equipo que se coloca en el borde de la red, expuesto a internet, y que deja pasar a los usuarios autorizados hacia los sistemas internos. Precisamente por eso es uno de los objetivos favoritos de los atacantes, y no es la primera vez que le pasa. En enero de 2024 dos fallos encadenados (CVE-2023-46805 y CVE-2024-21887) se usaron de forma masiva antes de tener parche, y en enero de 2025 se repitió la historia con la CVE-2025-0282.
Claves del fallo
- Qué permite. Según la ficha oficial del NVD, es una omisión de la autenticación por suplantación (CWE-290) que permite a un atacante remoto y sin credenciales ejecutar órdenes arbitrarias. Tiene una nota CVSS de 8.6 sobre 10: se ataca por la red, sin privilegios ni intervención de nadie, con impacto alto en la confidencialidad.
- Versiones afectadas. Según el resumen que Rapid7 hace del aviso de Ivanti, las 25.1.1.1 y anteriores, las 25.1.2.2 y anteriores y las 22.8R2.4 y anteriores. Las corregidas son la 25.1.1.2, la 25.1.3.0 o 25.1.3.1 y la 22.8R2.5. La rama 22.7 no está afectada. La 25.1.3.0, de julio, ya incluía parte de la corrección; los atacantes aprovecharon el tiempo en que Ivanti la llevaba al resto de versiones.
- Desde cuándo se ataca. La empresa de seguridad Volexity lo descubrió al investigar, a partir del 5 de octubre, actividad sospechosa en un cliente: la explotación había empezado el 3 de octubre, y el equipo atacado tenía instaladas todas las actualizaciones disponibles. Ivanti habla de una «explotación limitada» en algunos clientes.
- Un segundo fallo, sin parche. Para tomar el control total, los atacantes encadenaron otro fallo que les daba privilegios de administrador (root) en el equipo. Según Volexity, todavía no tiene número de CVE ni corrección, e Ivanti la espera «en las próximas semanas».
- Qué hicieron dentro. No dejaron ningún programa instalado: daban las órdenes a través del propio fallo. Robaron las credenciales del dominio guardadas en el equipo, contraseñas de administrador local y claves de recuperación de BitLocker, capturaron tráfico para obtener más contraseñas y borraron rastros de los registros. Volexity atribuye el ataque a un grupo hasta ahora desconocido, al que llama UTA0576, probablemente con fines criminales, y cree con confianza media que se ayudó de modelos de lenguaje para preparar el ataque.
- La herramienta de comprobación no lo ve. Ivanti recomienda pasar con regularidad su Integrity Checker Tool, pero Volexity advierte que en este caso no detecta la intrusión, porque el ataque solo modifica la memoria y deja la configuración como estaba.
/dana-na/auth/url_default/welcome.cgi con la cabecera X-DSCGI-PATH, y busca archivos extraños en /tmp/. Si sospechas que te atacaron, no te fíes solo del Integrity Checker: cambia las contraseñas de las cuentas del dominio que pasan por la VPN, revisa los movimientos desde el equipo hacia la red interna y sigue los pasos de recuperación de Ivanti. Volexity ha publicado los indicadores en su repositorio de GitHub. Y vigila la corrección del segundo fallo, que llegará en otra versión.Por qué importa
Una VPN corporativa es la puerta de entrada a toda la red de una empresa, y quien la controla ve pasar las contraseñas de todos los que se conectan. Por eso este ataque fue directo a por las credenciales del dominio y las claves de BitLocker: con ellas se puede avanzar hacia el resto de sistemas aunque luego se parchee la VPN. Que el equipo atacado estuviera al día, que el ataque no deje programas que detectar y que la herramienta oficial de comprobación no lo vea hacen que muchas organizaciones no puedan saber con certeza si han sido víctimas.
El plazo de solo tres días que da la CISA refleja esa urgencia. Y el caso suma otro patrón preocupante: según Volexity, los atacantes se apoyaron en la inteligencia artificial para preparar el ataque, lo que puede acortar todavía más el tiempo entre que se descubre un fallo y se aprovecha. Con un segundo fallo aún abierto, quien tenga uno de estos equipos expuesto a internet tiene que parchear hoy y seguir atento a la próxima versión.
Datos contrastados con la ficha de la CVE-2026-104935 en el NVD, el catálogo de vulnerabilidades explotadas de la CISA, el blog de Ivanti y la investigación de Volexity. Portada: switch de red de cinco puertos, foto de www.heimnetzwerke.net, Wikimedia Commons, CC BY 4.0 (recortada, con texto).
Fuente: Rapid7, «Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935)»