Seguir Ivanti ha revelado CVE-2026-104935, una vulnerabilidad de alta gravedad en Ivanti Connect Secure (ICS) que está siendo explotada activamente en ataques del mundo real. La falla tiene un puntaje CVSS de 8.6 y permite a atacantes no autenticados omitir la autenticación y ejecutar comandos arbitrarios en dispositivos VPN vulnerables.
La vulnerabilidad salió a la luz después de que Volexity investigara un dispositivo comprometido de Ivanti Connect Secure que estaba completamente parcheado en ese momento. El actor de amenaza previamente desconocido, rastreado como UTA0576, encadenó la omisión de autenticación y ejecución remota de código cubierta por CVE-2026-104935 con un zero-day de escalada de privilegios separado para lograr la ejecución de comandos en nivel raíz sin autenticación.
La campaña observada demuestra los riesgos de seguridad asociados con vulnerabilidades en infraestructuras VPN expuestas a Internet. Después de obtener privilegios de raíz, los atacantes apuntaron a credenciales, datos de Active Directory, contraseñas de LAPS, claves de recuperación de BitLocker y otra información sensible que podría apoyar el movimiento lateral más profundo en el entorno de la víctima.
Ivanti confirmó el 13 de octubre de 2026 que tenía conocimiento de una explotación limitada en la naturaleza y urgió a las organizaciones que ejecutan lanzamientos afectados a actuar inmediatamente. CISA posteriormente agregó la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas.
Los equipos de seguridad pueden aprovechar la Plataforma de Inteligencia de Detección AI-Nativa de SOC Prime para acelerar la investigación de amenazas emergentes y operacionalizar contenido de detección a través de entornos SIEM, EDR, XDR y Data Lake.
Prime Architect puede asistir aún más a los ingenieros de detección transformando inteligencia de amenazas emergentes en lógica de detección, consultas de búsqueda y reglas específicas del entorno, mientras que Prime Hunt permite la investigación retrospectiva a través de la telemetría organizacional.
Análisis de CVE-2026-104935
CVE-2026-104935 afecta versiones específicas de Ivanti Connect Secure y combina dos debilidades usadas por atacantes para pasar de una solicitud web no autenticada a la ejecución de código arbitrario en el contexto de la cuenta cgi-server.
La vulnerabilidad se categoriza como una omisión de autenticación por suplantación bajo CWE-290. Según Ivanti, el problema puede explotarse remotamente sin credenciales ni interacción del usuario y tiene un puntaje CVSS de 8.6.
Volexity reconstruyó la cadena de explotación mientras investigaba un dispositivo ejecutando Ivanti Connect Secure 22.8R2.4, Build 19097. El dispositivo se consideraba completamente parcheado cuando comenzó la actividad maliciosa el 3 de octubre de 2026. Los investigadores comenzaron a investigar el incidente el 5 de octubre y posteriormente trabajaron con Ivanti para analizar memoria, imágenes de disco y volcados de núcleo del sistema afectado.
La primera etapa abusa del comportamiento de enrutamiento de solicitudes asociado con el endpoint accesible públicamente /dana-na/auth/url_default/welcome.cgi. Los atacantes pueden proporcionar un encabezado HTTP X-DSCGI-PATH que apunta a un recurso CGI que normalmente requeriría autenticación.
La decisión de seguridad se basa en la URL pública mientras que el encabezado controla el script real que recibe la solicitud. Esta discrepancia permite a un atacante enrutar solicitudes no autenticadas a una funcionalidad CGI protegida.
UTA0576 usó este mecanismo para alcanzar wu.cgi, un manejador de carga que contiene la segunda vulnerabilidad. El atacante envió un script Perl malicioso disfrazado con una extensión .zip. El manejador escribió temporalmente el contenido cargado en /home/runtime/tmp/ antes de verificar si el archivo era un archivo ZIP válido.
Aunque un archivo inválido fue posteriormente eliminado, los atacantes explotaron el corto período entre la creación y eliminación del archivo. Solicitudes paralelas que hacen referencia al archivo temporal mediante X-DSCGI-PATH permitieron que la carga útil Perl se ejecutara antes de la eliminación.
La carga útil inicial lanzó Bash y luego una etapa de Python codificada que existía principalmente en memoria. En este punto, el atacante obtuvo ejecución de código como la cuenta cgi-server de menor privilegio.
Para escalar privilegios, UTA0576 encadenó un cero-day separado que involucraba el servicio privilegiado dsinvoked y la tienda de configuración DSCache. Los atacantes modificaron la copia en memoria de una biblioteca de Ivanti, cambiaron la configuración de una tarea de mantenimiento privilegiada e hicieron que dsinvoked ejecutara código Perl controlado por el atacante como root.
Después de lograr acceso de root, el exploit restauró la configuración modificada en memoria y el estado de la biblioteca. También eliminó entradas relevantes de los logs de depuración de Ivanti y los logs de auditoría de Linux, reduciendo significativamente los artefactos forenses disponibles en el disco.
Este comportamiento es especialmente significativo porque la Herramienta de Comprobación de Integridad de Ivanti se centra en identificar cambios inesperados en archivos. Ya que partes de este exploit modifican código solo en memoria y restauran cambios de configuración temporales después, Volexity encontró que el ataque podría evadir la detección por la herramienta.
Los atacantes tampoco instalaron una web shell persistente convencional o una puerta trasera de primera etapa. En su lugar, UTA0576 ejecutó repetidamente la cadena de explotación completa siempre que necesitaba ejecutar otro comando y devolvió la salida del comando directamente a través del tráfico HTTPS del exploit.
La actividad posterior a la explotación se centró fuertemente en credenciales y Active Directory. Volexity observó a los atacantes extrayendo credenciales almacenadas en el dispositivo VPN, consultando Active Directory, buscando contraseñas LAPS y claves de recuperación de BitLocker, realizando rociado de contraseñas, inspeccionando logs de autenticación y recopilando tráfico LDAP.
El actor de amenaza también usó herramientas personalizadas de Python y Kerberos para probar credenciales y acceder a atributos de directorio sensibles. Los archivos asociados con el reconocimiento y la recopilación de credenciales se organizaron temporalmente bajo /tmp/ antes de la exfiltración y limpieza.
La atribución sigue siendo incierta. Volexity rastrea al actor como UTA0576 y evalúa con baja confianza que su motivación podría ser criminal en lugar de espionaje. Los investigadores también evaluaron con confianza media que el actor podría haber utilizado modelos de lenguaje a gran escala para asistir con el desarrollo del exploit o la actividad post-explotación, basándose en características operativas de la intrusión.
No se identificó un PoC CVE-2026-104935 ampliamente disponible y validado en las fuentes primarias revisadas al momento de la publicación. Sin embargo, Volexity ha publicado detalles técnicos sustanciales sobre la cadena de ataque, lo que significa que las organizaciones deben asumir que actores adicionales pueden intentar reproducir la técnica.
Para la detección de CVE-2026-104935, los defensores deben monitorear grandes volúmenes de solicitudes a /dana-na/auth/url_default/welcome.cgi, especialmente cuando el encabezado X-DSCGI-PATH hace referencia a otro recurso CGI o a un archivo temporal.
Mitigación de CVE-2026-104935
Ivanti ha lanzado soluciones para los componentes de omisión de autenticación y RCE cubiertos por el CVE. Las organizaciones que ejecutan lanzamientos afectados de Connect Secure deben actualizar de inmediato en lugar de depender únicamente de verificaciones de integridad.
La orientación de seguridad de octubre de Ivanti identifica lanzamientos corregidos en ramas compatibles, incluyendo 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1, dependiendo de la línea de código desplegada. Ivanti recomienda pasar a la rama 25.x tan pronto como sea práctico ya que la línea de código 22.x está acercándose al fin de su vida útil.
La vulnerabilidad de escalada de privilegios por separado utilizada en la cadena de tres zero-days observada aún no estaba corregida cuando Volexity publicó su análisis el 13 de octubre. Ivanti estaba preparando un parche para un lanzamiento futuro. Esto hace que la instalación de las soluciones CVE-2026-104935 sea especialmente importante porque el bloqueo de la omisión de autenticación inicial y RCE impide que los atacantes alcancen la etapa requerida para explotar la escalada de privilegios local.
Las organizaciones también deben continuar ejecutando la Herramienta de Comprobación de Integridad de Ivanti, como lo recomienda el proveedor, pero no deben tratar un resultado limpio como evidencia definitiva de que no ha ocurrido explotación. Ivanti mismo recomienda combinar actualizaciones y verificaciones de integridad con monitoreo de red, revisión de logs, controles de acceso y validación continua de dispositivos.
Para detectar la explotación de CVE-2026-104935, los defensores deben inspeccionar la telemetría HTTP en busca de desajustes entre la URL solicitada y el valor del encabezado X-DSCGI-PATH. Los valores particularmente sospechosos observados por Volexity incluyen rutas que hacen referencia a wu.cgi o archivos bajo /home/runtime/tmp/.
Los equipos de seguridad también deben inspeccionar /tmp/ en busca de scripts o artefactos de reconocimiento no explicados e investigar actividad inesperada originada desde el dispositivo VPN hacia Active Directory, servicios LDAP, infraestructura DNS o sistemas de autenticación internos.
Los IOC de CVE-2026-104935 conocidos desde el incidente investigado incluyen la dirección IP controlada por el atacante 108.165.147[.]64, actividad sospechosa que involucra /data/.icscap/ y solicitudes repetidas dirigidas al camino CGI expuesto de bienvenida. Estos indicadores deben usarse junto con la detección basada en comportamiento porque los atacantes pueden rotar fácilmente la infraestructura o alterar los nombres de archivos temporales.
Las organizaciones que identifiquen signos de compromiso deben realizar análisis forense de red y memoria en lugar de depender exclusivamente en el examen basado en disco. Las credenciales almacenadas o accesibles a través del dispositivo deben considerarse potencialmente expuestas, incluidas las credenciales del servicio LDAP, y deben rotarse después de la contención.
Los defensores también deben investigar Active Directory en busca de consultas LDAP sospechosas, rociado de contraseñas, acceso a atributos de recuperación LAPS o BitLocker, actividad anómala de Kerberos y movimiento lateral originado desde el dispositivo VPN.
CISA agregó la falla a su catálogo de Vulnerabilidades Explotadas Conocidas el 13 de octubre de 2026, estableciendo un plazo de remediación para el 16 de octubre para las agencias civiles federales de EE.UU. Esto confirma que las organizaciones deben tratar el parcheo como una prioridad urgente en lugar de esperar una explotación más amplia.
La Plataforma de Inteligencia de Detección AI-Nativa de SOC Prime puede ayudar a los equipos de seguridad a operacionalizar esta inteligencia de amenazas, buscar comportamientos relacionados y adaptar las detecciones a la telemetría de red, identidad y endpoints disponible.
FAQ
¿Qué es CVE-2026-104935 y cómo funciona?
CVE-2026-104935 es una vulnerabilidad activamente explotada en Ivanti Connect Secure que cubre una cadena de omisión de autenticación y ejecución remota de código. Los atacantes pueden manipular el comportamiento de enrutamiento de solicitudes para acceder a un manejador CGI protegido sin autenticación y explotar el manejo temporal de archivos para ejecutar código malicioso como la cuenta cgi-server. En los ataques observados, esto se combinó con un zero-day de escalada de privilegios separado para obtener acceso a nivel raíz.
¿Cuándo se descubrió por primera vez CVE-2026-104935?
Ivanti afirmó que su equipo de seguridad de productos había identificado anteriormente parte de la vulnerabilidad e incluyó protección en la versión 25.1.3.0 en julio de 2026. Volexity descubrió de manera independiente la explotación activa mientras investigaba actividad sospechosa el 5 de octubre, determinando que los ataques habían comenzado el 3 de octubre. Ivanti divulgó públicamente la vulnerabilidad y confirmó la explotación limitada el 13 de octubre de 2026.
¿Cuál es el impacto de CVE-2026-104935 en los sistemas?
La explotación exitosa permite a un atacante remoto no autenticado ejecutar código en un dispositivo Ivanti Connect Secure afectado. Cuando se combina con la falla de escalada de privilegios separada observada por Volexity, los atacantes pueden obtener privilegios de raíz. En el incidente investigado, UTA0576 robó credenciales, consultó Active Directory, buscó contraseñas LAPS y claves de recuperación de BitLocker, capturó datos LDAP y se preparó para un posible movimiento lateral.
¿Puede CVE-2026-104935 seguir afectándome en 2026?
Sí. Los dispositivos Ivanti Connect Secure vulnerables que no han sido actualizados permanecen en riesgo inmediato porque se ha confirmado la explotación en la naturaleza. CISA ha agregado la vulnerabilidad a su catálogo KEV, mientras que Ivanti insta a los clientes que ejecutan lanzamientos afectados a actualizar sin demora.
¿Cómo puedo protegerme de CVE-2026-104935?
Actualice Ivanti Connect Secure a la versión corregida aplicable de inmediato, continúe ejecutando la Herramienta de Comprobación de Integridad y monitoree el tráfico de red y los logs en busca de comportamiento sospechoso de enrutamiento de solicitudes. Debido a que el exploit observado puede minimizar los artefactos en disco, las organizaciones con exposición sospechada deben realizar análisis forense de memoria y red y rotar las credenciales potencialmente comprometidas. Los administradores deben continuar revisando las orientaciones del proveedor para obtener detalles actualizados de CVE-2026-104935, incluyendo la solución pendiente para la vulnerabilidad separada de escalada de privilegios.
