✨︎ Resumen (TL;DR):
- Ivanti publicó el 13 de octubre de 2026 actualizaciones para Connect Secure después de confirmar explotación contra un número limitado de clientes.
- Los parches corrigen dos fallos de una cadena de tres; las versiones afectadas incluyen 22.8R2.4 y anteriores, además de 25.1.2.2 y anteriores, según la rama.
- Volexity documentó robo de credenciales y metadatos de Active Directory después de que el ataque evadiera el Integrity Checker Tool.
Ivanti publicó el 13 de octubre de 2026 actualizaciones para Connect Secure, su sistema de acceso remoto empresarial, tras confirmar ataques contra el producto. Los parches corrigen dos fallos de una cadena de tres vulnerabilidades, mientras Volexity documentó una intrusión capaz de trabajar en memoria, manipular registros y evadir el Integrity Checker Tool, con la extracción de credenciales almacenadas en la VPN y el robo de metadatos de Active Directory.
La empresa reconoció explotación contra un número limitado de clientes y pidió actualizar de inmediato las versiones afectadas. También recomendó revisar los registros, vigilar la red y comprobar con regularidad la integridad del equipo.
Volexity detectó la intrusión durante la primera semana de octubre en un dispositivo que tenía todas las actualizaciones disponibles en ese momento: 22.8R2.4. La firma identificó al atacante como UTA0576. Según su investigación, combinó fallos para eludir la autenticación, ejecutar código y obtener privilegios de administrador del sistema, conocidos como root.
Qué versiones de Connect Secure ya tienen corrección
Los dos primeros componentes de la cadena están agrupados bajo CVE-2026-104935. En una respuesta a CyberScoop, Ivanti afirmó que había eliminado la principal vía de explotación y que preparaba actualizaciones adicionales para el fallo restante de escalada de privilegios. Ese tercer componente seguía pendiente en el informe de Volexity del 13 de octubre.
La recopilación de watchTowr publicada el 13 de octubre de 2026 detalló estas ramas y correcciones:
- 22.8.X: versiones afectadas, 22.8R2.4 y anteriores; versión corregida, 22.8R2.5.
- ISA6000 e ISA8000: versión afectada, 25.1.1.1; versión corregida, 25.1.1.2.
- 25.1: versiones afectadas, 25.1.2.2 y anteriores; versiones corregidas, 25.1.3.0 o 25.1.3.1.
watchTowr señaló que la rama 22.7.X y las anteriores no contienen esta vulnerabilidad. Esa excepción se limita a CVE-2026-104935.
Por qué el verificador no detectó el ataque
Integrity Checker Tool es una herramienta que busca modificaciones inesperadas en los archivos del dispositivo. Volexity explicó que los atacantes trabajaron en memoria y restauraron cambios de configuración, así que el verificador no detectó esas alteraciones. También manipularon los registros para ocultar su actividad.
Volexity documentó la extracción de credenciales almacenadas en la VPN y el robo de metadatos de Active Directory. Active Directory es un servicio que gestiona identidades y accesos en muchas redes empresariales.
El intruso también buscó contraseñas de administradores locales y claves de recuperación de BitLocker. BitLocker es un sistema de Microsoft que cifra discos.
CISA, la agencia estadounidense de ciberseguridad, advirtió que el verificador podía no detectar esta explotación. Para determinar si hubo compromiso, recomendó un análisis forense de la red y de la memoria. La actualización bloquea la vía de ataque corregida, pero esa investigación permite buscar evidencias de una intrusión anterior.
El parche no reemplaza el análisis forense
El dispositivo VPN daba acceso a credenciales de la red empresarial. Volexity estima, con alta confianza, que la actividad observada preparaba intrusiones en otros sistemas de la víctima.
El dispositivo comprometido ya tenía la versión 22.8R2.4 y todas las actualizaciones disponibles cuando Volexity detectó la intrusión. Instalar la versión corregida bloquea la ruta identificada; revisar los registros, monitorear la red y analizar la memoria permite buscar señales de un compromiso previo.
