Ivanti publicó el 13 de octubre de 2026 actualizaciones para Connect Secure, su sistema de acceso remoto empresarial, tras confirmar ataques contra el producto. Los parches corrigen dos fallos usados en una cadena de tres vulnerabilidades; el tercero seguía pendiente en el informe de Volexity de ese día. La investigación también detectó una limitación del verificador de integridad: este ataque podía escapar a sus controles.
En su comunicado, Ivanti reconoció explotación contra un número limitado de clientes y pidió actualizar las versiones afectadas de inmediato. La empresa también recomendó revisar los registros, vigilar la red y comprobar regularmente la integridad del equipo.
Volexity descubrió la intrusión durante la primera semana de octubre en un dispositivo que tenía todas las actualizaciones disponibles entonces: 22.8R2.4. El atacante, identificado por la firma como UTA0576, combinó fallos para eludir la autenticación, ejecutar código y obtener privilegios de administrador del sistema, conocidos como root.
Qué versiones tienen corrección
Los dos primeros componentes de la cadena se agrupan bajo CVE-2026-104935. En una respuesta a CyberScoop, Ivanti afirmó que había eliminado la principal vía de explotación y que preparaba actualizaciones adicionales para el fallo restante de escalada de privilegios.
La recopilación de watchTowr, publicada el 13 de octubre, relaciona las versiones afectadas con sus respectivas correcciones:
| Rama o equipo | Versiones afectadas | Versiones corregidas |
|---|---|---|
| 22.8.X | 22.8R2.4 y anteriores | 22.8R2.5 |
| ISA6000 e ISA8000 | 25.1.1.1 | 25.1.1.2 |
| 25.1 | 25.1.2.2 y anteriores | 25.1.3.0 o 25.1.3.1 |
watchTowr señala que la rama 22.7.X y las anteriores no contienen esta vulnerabilidad. El alcance de esa excepción se limita a CVE-2026-104935.
Por qué el verificador puede pasar por alto la intrusión
La herramienta Integrity Checker Tool busca modificaciones inesperadas en los archivos del dispositivo. Volexity explicó que los atacantes trabajaron en memoria y restauraron cambios de configuración, por lo que el verificador no detectaba esas alteraciones. También manipularon registros para ocultar su actividad.
La firma documentó extracción de credenciales almacenadas en la VPN y robo de metadatos de Active Directory, el servicio que gestiona identidades y accesos en muchas redes empresariales. El intruso también buscó contraseñas de administradores locales y claves de recuperación de BitLocker, el sistema de cifrado de discos de Microsoft.
CISA, la agencia estadounidense de ciberseguridad, advirtió que el verificador podía no detectar esta explotación, según recogió CyberScoop. Para determinar si hubo compromiso, la agencia recomendó análisis forense de la red y de la memoria. La actualización bloquea la vía de ataque corregida; esa investigación permite buscar evidencias de una intrusión anterior.
El dispositivo VPN dio acceso a credenciales de la red empresarial. Volexity estima, con alta confianza, que la actividad observada preparaba intrusiones en otros sistemas de la víctima.
