Vulnerabilidades en Ivanti Connect Secure encadenadas para obtener acceso root sin autenticación

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió el viernes 31 de octubre de 2026 dos graves fallos de seguridad en Ivanti Connect Secure (ICS) a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Esta acción sigue a la confirmación de explotación activa en entornos reales por parte de un actor de amenazas previamente no documentado, lo que marca una escalada significativa en los ataques contra esta pasarela de acceso seguro ampliamente utilizada.

Qué ocurrió

Las dos vulnerabilidades recién incluidas son CVE-2026-111357 y CVE-2026-118527. La CVE-2026-111357 tiene una puntuación CVSS de 8.8 e implica la falta de autenticación para una función crítica, permitiendo que un atacante local autenticado eleve sus privilegios. La CVE-2026-118527 tiene una puntuación CVSS de 4.3 y se debe a la generación de números o identificadores predecibles, lo que permite a un atacante remoto autenticado subir archivos con contenido controlado a una ubicación conocida en el disco.

Estos errores no son problemas aislados, sino parte de una sofisticada cadena de exploits documentada por primera vez por Volexity a principios de octubre de 2026. La cadena arma estos dos fallos junto con una vulnerabilidad de omisión de autenticación, CVE-2026-104935 (CVSS 8.6), que la CISA ya había añadido al catálogo KEV el 13 de octubre de 2026. El actor de amenazas detrás de estos ataques, denominado UTA0576, utiliza esta combinación para lograr ejecución de código a nivel de root sin autenticación en los sistemas objetivo.

A diferencia de las campañas típicas de ransomware o despliegue de malware, los objetivos de UTA0576 parecen centrarse en el espionaje y la recolección de credenciales. Las observaciones indican que el actor extrae credenciales y metadatos limitados de Active Directory, realiza reconocimiento de hosts y busca específicamente contraseñas de administrador y claves de recuperación de BitLocker. Esto sugiere un enfoque dirigido a objetivos de alto valor en lugar de una interrupción indiscriminada.

Cómo funciona

El ataque depende de encadenar tres vulnerabilidades distintas para saltarse múltiples capas de defensa. Comienza con CVE-2026-104935, una omisión de autenticación que permite al atacante entrar en el sistema sin credenciales válidas. Una vez dentro, el atacante aprovecha CVE-2026-118527 para subir archivos maliciosos a una ubicación predecible en el disco, logrando efectivamente la ejecución remota de código (RCE) en el contexto de la aplicación.

El paso final involucra CVE-2026-111357, un fallo de elevación de privilegios local. Dado que los pasos anteriores otorgan al atacante un punto de apoyo con permisos limitados, esta vulnerabilidad le permite elevar su acceso al nivel de root. Al combinar la omisión de autenticación, la RCE y la elevación de privilegios, el actor obtiene el control total del dispositivo sin necesidad de autenticarse legítimamente. Volexity señaló que esta cadena logra "ejecución de código a nivel de root sin autenticación", representando una compromisión total del aparato.

Detalles clave

• CVE-2026-111357: CVSS 8.8, falta de autenticación para función crítica, permite elevación de privilegios local.
• CVE-2026-118527: CVSS 4.3, identificadores predecibles permiten subidas remotas de archivos a ubicaciones conocidas.
• CVE-2026-104935: CVSS 8.6, omisión de autenticación, añadida al KEV el 13 de octubre de 2026.
• Actor de Amenazas: UTA0576, previamente no documentado, se centra en la extracción de credenciales y metadatos.
• Versiones Corregidas: ICS 25.1.1.3 (corrige 25.1.1.2 y anteriores) y 22.8R2.6 (corrige 22.8R2.5 y anteriores).
• Plazos: Las agencias FCEB deben parchear CVE-2026-111357 antes del 2 de noviembre de 2026, y CVE-2026-118527 antes del 13 de noviembre de 2026.

Por qué importa

Para los equipos de liderazgo en ingeniería y TI, este incidente destaca el peligro de encadenar vulnerabilidades. Un solo fallo con una puntuación CVSS moderada como CVE-2026-118527 podría ser priorizado hacia abajo en las evaluaciones de riesgo estándar, pero cuando se combina con otras debilidades, se convierte en un eslabón crítico en una cadena que conduce a la compromisión total del sistema. Esto refuerza la necesidad de ver los parches de seguridad de manera holística y no aislada, especialmente para dispositivos de perímetro como las pasarelas de acceso seguro.

El comportamiento de UTA0576 también desplaza el foco defensivo de la mera detección de malware a la higiene de credenciales y la monitorización de movimientos laterales. Dado que el atacante está buscando claves de BitLocker y metadatos de Active Directory, la protección tradicional de endpoints podría no marcar la actividad como maliciosa si no se deja caer ninguna carga binaria. Los equipos deben asegurarse de que las soluciones de registro y monitorización estén ajustadas para detectar actividades inusuales de enumeración y patrones de acceso a credenciales, incluso desde servicios internos confiables.

Qué puede hacer

• Actualice inmediatamente Ivanti Connect Secure a la versión 25.1.1.3 o 22.8R2.6, dependiendo de su rama actual.
• Verifique que no se hayan subido archivos no autorizados a directorios conocidos como escribibles en sus aparatos ICS.
• Rote todas las contraseñas administrativas y claves de recuperación de BitLocker almacenadas en o accesibles desde los sistemas afectados.
• Revise los registros en busca de señales de reconocimiento de host o consultas inusuales de metadatos de Active Directory desde principios de octubre de 2026.
• Aplique una segmentación de red estricta para limitar el impacto si un aparato es comprometido, previniendo el movimiento lateral.
• Monitorice indicadores de compromiso asociados con UTA0576, centrándose en la extracción de credenciales más que solo en firmas de malware.