Tres zero-day en un solo VPN: Ivanti Connect Secure comprometido; acceso root sin contraseña
El atacante no dejaba puerta trasera: cada vez recreaba la cadena de intrusión y borraba simultáneamente las huellas en los registros.
La pasarela VPN, que debía proteger el acceso a la red corporativa, se convirtió en un punto de intrusión. Ivanti advirtió sobre la explotación activa de la vulnerabilidad CVE-2026-104935 en Connect Secure. La falla obtuvo 8,6 puntos en la escala CVSS 3.1 y permite ejecutar comandos de forma remota sin cuenta ni interacción del usuario.
El problema resultó ser parte de un ataque más complejo. Volexity detectó una cadena de tres zero-day en el Connect Secure 22.8R2.4 que en ese momento estaba totalmente actualizado. Un actor desconocido, identificado como UTA0576, empezó a aprovechar la cadena el 3 de octubre, y la investigación del incidente se inició dos días después.
Ivanti agrupó los dos primeros errores bajo CVE-2026-104935. Primero, una solicitud especialmente formada al público welcome.cgi se redirige a un manejador CGI privado, eludiendo la autenticación. Luego el atacante carga código Perl disfrazado de archivo ZIP y logra ejecutarlo en el breve intervalo entre la escritura del archivo temporal y la verificación del archivo.
El tercer zero-day eleva privilegios desde el usuario cgi-server hasta root. El exploit modifica la biblioteca de Ivanti solo en memoria, altera los parámetros de la tarea en el almacén DSCache y obliga al servicio privilegiado dsinvoked a ejecutar código Perl malicioso. Tras la ejecución, la cadena restaura los datos modificados, por lo que apenas quedan rastros en el disco. Ivanti está preparando una corrección para este error.
Tras obtener acceso root, UTA0576 buscó secretos dentro de la red corporativa. Volexity registró el robo de credenciales LDAP, la extracción de metadatos de Active Directory, la búsqueda de contraseñas LAPS y de claves de recuperación de BitLocker, la interceptación de tráfico LDAP y ataques de pulverización de contraseñas. La actividad apuntaba a preparar un movimiento lateral adicional en la red; sin embargo, no se logró determinar el objetivo final del ataque.
El atacante no instaló una puerta trasera persistente ni un web shell. Para cada comando nuevo la cadena se ejecutaba de nuevo, y el resultado se devolvía mediante la misma solicitud HTTPS. El código malicioso también borraba entradas de los registros y restauraba las estructuras de memoria modificadas. Debido a esa técnica, la herramienta Integrity Checker Tool, que Ivanti recomienda ejecutar regularmente, puede no detectar la compromisión.
Ivanti lanzó correcciones 25.1.1.2, 25.1.3.0, 25.1.3.1 y 22.8R2.5 para las ramas correspondientes de Connect Secure. La empresa declaró solo un número limitado de ataques; sin embargo, CISA ya incluyó CVE-2026-104935 en su catálogo de vulnerabilidades explotadas. Shadowserver contabiliza más de 5500 instancias de Connect Secure accesibles desde Internet, aunque se desconoce cuántos dispositivos son realmente vulnerables.
Volexity recomienda no limitarse a instalar la actualización y verificar la actividad de red, los directorios temporales y la memoria de los dispositivos. Si se sospecha una intrusión, se requiere una investigación forense completa. Para Ivanti este escenario ya es conocido: en verano los atacantes empezaron a atacar Sentry casi de inmediato después de la publicación de la corrección para otra vulnerabilidad crítica.