La CISA ordena parchear Ivanti con urgencia: los atacantes eluden la autenticación mediante cabeceras

La Agencia de Seguridad Cibernética y de Infraestructura de Estados Unidos (CISA) ha emitido una directiva urgente instando a las organizaciones a actualizar inmediatamente sus dispositivos Ivanti Connect Secure. Esta medida se toma tras la divulgación de una crítica vulnerabilidad zero-day que está siendo explotada activamente en la naturaleza por actores de amenazas. La agencia confirmó que los atacantes remotos están aprovechando este fallo para eludir la autenticación y ejecutar comandos arbitrarios en los sistemas afectados.

Qué ocurrió

El fallo de seguridad, identificado como CVE-2026-104935, tiene una puntuación CVSS de 8.6 y afecta a múltiples versiones de la plataforma Ivanti Connect Secure. En concreto, impacta a las versiones 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores. La CISA declaró que los actores de amenazas cibernéticas están utilizando esta elusión de autenticación para llevar a cabo robos de credenciales y exfiltración de datos. Como consecuencia, la agencia ha añadido la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas, lo que obliga a las agencias del Ramo Ejecutivo Civil Federal a aplicar las correcciones antes del 16 de octubre de 2026.

Las pruebas de explotación activa han ido acumulándose entre varias firmas de seguridad. Previdian informó haber observado 105 intentos de explotación dirigidos a sus sensores honeypot hasta el 14 de octubre de 2026. Estos ataques provenían de 50 direcciones IP únicas ubicadas en Singapur y Estados Unidos. Por separado, Volexity detectó la primera explotación el 3 de octubre de 2026, atribuida a un actor de amenazas previamente no documentado conocido como UTA0576. Defused Cyber también confirmó haber detectado explotaciones previas a la divulgación pública desde el 1 de octubre de 2026, lo que indica que los atacantes estaban activos antes del anuncio público.

La CISA aconseja que determinar si ha habido compromiso requiere forense de red y de memoria. Si se detecta una brecha, la respuesta recomendada implica realizar copias de seguridad de las configuraciones, ejecutar un restablecimiento de fábrica, actualizar a la última versión y restaurar la configuración. Para sistemas en la nube o virtuales, se prefiere reconstruir la instancia. Las organizaciones también deben restablecer todas las contraseñas, revocar certificados y reiniciar claves API. La CISA advirtió además que la versión 22.8 alcanza su fin de vida útil el 31 de enero de 2027, instando a los clientes a revisar las guías de migración.

Cómo funciona

La vulnerabilidad es una elusión de autenticación que permite a un atacante remoto, sin autenticarse, ejecutar comandos arbitrarios. Según Yordan Ganchev, especialista principal en inteligencia de amenazas en watchTowr, la causa raíz es notablemente simple. Una sola solicitud que contenga una cabecera "X-DSCGI-PATH" especialmente manipulada es suficiente para eludir los controles de autenticación. Esta cabecera otorga acceso a funcionalidad interna sensible que debería estar restringida, abriendo efectivamente la puerta al sistema sin credenciales válidas.

Ryan Dewhurst, fundador de Previdian, explicó que los actores de amenazas utilizan esta cabecera para alcanzar un manejador CGI interno. Una vez obtenido el acceso, los atacantes suben scripts Perl disfrazados como archivos ZIP. Estos scripts devuelven marcadores únicos para confirmar si la ejecución remota de código fue exitosa. Aunque las cargas útiles actuales observadas por Previdian son principalmente pruebas de ejecución de código en lugar del despliegue de malware completo, los expertos advierten que es probable que siga rápidamente una explotación armamentizada. La simplicidad del mecanismo de exploit significa que puede automatizarse y escalarse fácilmente.

Los investigadores de Volexity señalaron que el actor de amenazas UTA0576 combinó esta vulnerabilidad con un fallo de escalada de privilegios para lograr la ejecución de código a nivel de root sin autenticación. A diferencia de los ataques típicos que dejan malware persistente o web shells, este actor reexplotaba el dispositivo para cada comando ejecutado. Manipulaban activamente los registros y eliminaban artefactos temporales para evadir herramientas de detección, incluida la Herramienta de Verificación de Integridad de Ivanti. Este enfoque sin archivos hace que el análisis forense tradicional sea más difícil, ya que quedan menos indicadores estáticos de compromiso en el disco.

Detalles clave

• ID de la vulnerabilidad: CVE-2026-104935 con una puntuación CVSS de 8.6.
• Versiones afectadas: Ivanti Connect Secure 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores.
• Mecanismo de exploit: Elusión de autenticación mediante una cabecera "X-DSCGI-PATH" manipulada que conduce a la ejecución remota de código.
• Amenazas activas: Observadas por Previdian, Volexity y Defused Cyber desde principios de octubre de 2026.
• Actor de amenazas: UTA0576, evaluado como motivado criminalmente, utiliza técnicas sin archivos y manipulación de registros.
• Plazo federal: Las agencias FCEB deben parchear antes del 16 de octubre de 2026.

Por qué importa

Para ingenieros de software y líderes de TI, este incidente destaca el riesgo persistente que plantean los complejos dispositivos de red. Ivanti Connect Secure tiene un historial de vulnerabilidades, uniéndose este problema a otras 14 en la lista KEV de la CISA. La velocidad a la que la explotación pasó de ataques dirigidos a escaneos más amplios sugiere que la explotación masiva es inminente. Las organizaciones que dependen de estos dispositivos para el acceso remoto enfrentan riesgos inmediatos de robo de credenciales y movimiento lateral dentro de sus redes. El hecho de que el exploit sea simple y sin archivos significa que la protección estándar de endpoints podría no detectar la violación inicial.

El impacto operativo es significativo porque la remediación no es simplemente aplicar un parche. La recomendación de la CISA de un restablecimiento de fábrica y restauración de configuración indica que la integridad de la instalación existente no puede confiarse una vez comprometida. Este proceso introduce tiempos de inactividad y fricción operativa, requiriendo una planificación cuidadosa. Además, la necesidad de restablecer todas las credenciales y reemitir certificados implica una revisión de seguridad integral para cualquier organización afectada. Los ingenieros deben priorizar la investigación forense para asegurar que no queden puertas traseras, ya que los atacantes ocultaron deliberadamente sus actividades.

Qué puedes hacer

• Actualiza inmediatamente los dispositivos Ivanti Connect Secure a la última versión parcheada.
• Escanea los registros de red en busca de solicitudes entrantes que contengan la cabecera "X-DSCGI-PATH".
• Realiza forense de memoria y de red para identificar signos de explotación si el parcheo se retrasó.
• Si se sospecha un compromiso, realiza un restablecimiento de fábrica, actualiza y restaura la configuración desde la copia de seguridad.
• Restablece todas las contraseñas de usuario, administrador y dominio, y reemite los certificados almacenados y las claves API.
• Revisa la Guía de Compatibilidad de Actualización y Migración de Ivanti, especialmente para usuarios de la versión 22.8.