El 30 de octubre de 2026, CISA añadió dos vulnerabilidades de Ivanti Connect Secure al catálogo Known Exploited Vulnerabilities (KEV). Las vulnerabilidades CVE-2026-111357 y CVE-2026-118527 se utilizan en cadena con la ya catalogada CVE-2026-104935 para conseguir ejecución de código con privilegios de root sin autenticación. Según Volexity, los ataques los lleva a cabo un grupo hasta ahora desconocido, rastreado como UTA0576. Las organizaciones que utilicen Ivanti Connect Secure deben instalar inmediatamente los parches disponibles: la cadena ya se está explotando activamente.
Detalles técnicos de las vulnerabilidades
La cadena de explotación combina tres vulnerabilidades, cada una de las cuales desempeña su propio papel:
- CVE-2026-104935 (CVSS 8.6, CNA Ivanti): bypass de autenticación mediante suplantación (CWE-290), que permite a un atacante remoto no autenticado ejecutar comandos arbitrarios. Afecta a versiones anteriores a la 25.1.3.0; según NVD, las versiones 22.7R2.14 y anteriores no son vulnerables. Se añadió al CISA KEV el 13 de octubre de 2026 con fecha límite de mitigación el 16 de octubre.
- CVE-2026-111357: escalada de privilegios a root, relacionada con el hecho de que el servicio dsinvoked confía en los datos de configuración de DSCache (CWE-829). NVD registra explotación in the wild en octubre de 2026. Se añadió al CISA KEV el 30 de octubre con fecha límite de mitigación el 2 de noviembre.
- CVE-2026-118527: vulnerabilidad relacionada con la generación de identificadores predecibles, que permite la carga de archivos con contenido controlado por el atacante. Cabe señalar que para esta vulnerabilidad no se ha podido encontrar una entrada de confirmación en NVD ni en otros registros primarios, y en el paquete de datos determinista figura como ausente en CISA KEV, lo que entra en conflicto con la afirmación del material original.
Importante discrepancia en la evaluación de la gravedad: el material original indica una puntuación CVSS de 8.8 para CVE-2026-111357, mientras que la entrada de NVD muestra una valoración CNA (MITRE) de 7.0. A la hora de planificar la respuesta, se recomienda tomar los datos de NVD como fuente primaria.
Mecanismo de la cadena de explotación
Según Volexity, la cadena de ataque incluye tres fases consecutivas: bypass de autenticación, ejecución remota de código y escalada de privilegios. Técnicamente, las primeras etapas emplean enrutamiento arbitrario de peticiones CGI y escritura de archivos a través del componente wu.cgi, mientras que la escalada de privilegios final está relacionada con el servicio dsinvoked y la configuración de DSCache. La explotación observada se registró en un dispositivo con la versión 22.8R2.4.
Una característica particular de esta cadena es la modificación de código en memoria seguida de la restauración del estado de configuración. Los atacantes envían comandos y reciben resultados directamente a través de peticiones HTTPS, sin desplegar web shells, backdoors ni canales de mando y control separados. Esto dificulta considerablemente la detección con medios estándar.
Contexto de la amenaza: grupo UTA0576
Volexity rastrea la actividad bajo la denominación UTA0576: se trata de una etiqueta analítica, no de una atribución establecida a un grupo conocido. La identidad del operador no se ha establecido de forma independiente. Volexity evalúa con bajo nivel de confianza la motivación como criminal y no de espionaje.
Según Volexity, la actividad de post-explotación se centró en extraer credenciales LDAP y Active Directory, contraseñas LAPS, claves de recuperación de BitLocker, datos de configuración, registros de autenticación e información de red. A diferencia de los ataques típicos a gateways VPN, UTA0576 no estableció persistencia en los dispositivos comprometidos.
Volexity identificó la dirección IP 108.165.147[.]64 (proveedor de VPS Evoxt) como infraestructura asociada a esta actividad. Se trata de un indicador observado, no de una prueba de la identidad del operador.
Ya hemos cubierto anteriormente vulnerabilidades en productos de acceso remoto, incluido Ivanti Connect Secure: este producto sigue siendo un objetivo prioritario para los atacantes.
Evaluación del impacto
Ivanti Connect Secure es un gateway VPN muy utilizado en entornos corporativos y organismos gubernamentales. Obtener acceso root sin autenticación implica la completa compromisión del dispositivo, incluido el acceso a todas las credenciales y al tráfico de red que lo atraviesan. La extracción dirigida de contraseñas LAPS y claves de BitLocker apunta a la preparación para un mayor movimiento lateral en la infraestructura de Active Directory.
Las agencias de la rama ejecutiva civil federal de Estados Unidos (FCEB) están obligadas a mitigar CVE-2026-111357 antes del 2 de noviembre de 2026. Para CVE-2026-104935, el plazo de mitigación según el KEV ya venció el 16 de octubre.
Recomendaciones de respuesta
- Actualización inmediata: instale las versiones Ivanti Connect Secure 25.1.1.3 o 22.8R2.6, que, según la declaración de Ivanti, corrigen todas las vulnerabilidades de la cadena. La versión 25.1.3.0 incluye la corrección de CVE-2026-104935, publicada ya en julio.
- Supervisión del tráfico de red: Volexity recomienda monitorizar las peticiones a welcome.cgi con cabeceras X-DSCGI-PATH que apunten a wu.cgi o a rutas temporales de ejecución.
- Forense, no solo Integrity Checker: Volexity advierte de que la herramienta integrada Ivanti Integrity Checker puede no detectar indicios de esta explotación debido a la modificación de código en memoria. Se recomienda realizar un análisis de red y un peritaje forense de memoria.
- Revisión de Active Directory: ante la sospecha de compromisión, lleve a cabo una auditoría de cuentas, rotación de contraseñas LAPS y verificación de los accesos a atributos que contengan contraseñas y claves de recuperación de BitLocker.
- IOC: añada la dirección IP 108.165.147[.]64 a la monitorización.
La cadena CVE-2026-104935 → CVE-2026-111357 proporciona acceso root completo a Ivanti Connect Secure sin autenticación y ya se está explotando activamente. La prioridad es la instalación inmediata de los parches de las versiones 25.1.1.3 o 22.8R2.6, en paralelo con el análisis forense del tráfico de red y de la memoria de los dispositivos para detectar una posible compromisión previa a la actualización.
