Ivanti parcha CVE-2026-104935, ya explotada; otra sigue abierta
Ivanti publicó actualizaciones para su VPN Connect Secure, pero una tercera falla de la misma cadena de ataque todavía no tiene corrección.
Ivanti ya tiene actualizaciones para CVE-2026-104935, una falla de Connect Secure, su equipo de acceso remoto por VPN, que atacantes explotan desde antes de que se divulgara. Según el aviso de seguridad de Ivanti, la empresa conoce "explotación limitada en el mundo real" y trabaja con organizaciones afectadas.
La falla permite saltarse la autenticación y ejecutar código a distancia, sin que el usuario haga nada y con baja complejidad, según BleepingComputer. Las versiones afectadas son tres ramas de Connect Secure: la 22.8R2.4 y las anteriores, la 25.1.2.2 y las anteriores, y la 25.1.1.1 y las anteriores. El número de la versión corregida y la puntuación de gravedad CVSS no pudieron confirmarse: el aviso de Ivanti no cargó al consultarlo y ninguna otra fuente los da.
Una cadena de tres fallos
La firma de seguridad Volexity, en su análisis, atribuye los ataques a UTA0576, un grupo hasta ahora desconocido para la firma, que encadenó tres vulnerabilidades y logró control total (acceso root) de equipos que ya estaban al día con los parches previos. Ivanti corrigió dos. La tercera, una escalada de privilegios sin identificador CVE en el informe, sigue sin parche y la empresa no ha dado fecha.
Volexity sitúa el inicio de la explotación el 3 de octubre como muy pronto. La firma Defused ve señales desde el 1 de octubre, según BleepingComputer. Ninguna de las dos fechas está contrastada con una fuente independiente de quien investiga el caso.
Shadowserver, organización que rastrea equipos expuestos, cuenta más de 5 500 instancias de Connect Secure accesibles desde internet, según BleepingComputer. El catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, ya lista 36 fallos de Ivanti.
Quién está en riesgo
Un usuario común no está expuesto de forma directa: el riesgo es para empresas y dependencias que usan Connect Secure para dar acceso remoto a su personal, también en México. Un equipo de este tipo está en el borde de la red, así que una falla ahí da entrada a la red interna.
Ivanti recomienda actualizar cuanto antes, ejecutar con regularidad su herramienta de verificación de integridad (Integrity Checker Tool) y revisar registros. Volexity advierte que esa herramienta puede no detectar este compromiso, porque el atacante modificó la memoria y restauró la configuración, y que un equipo con señales de intrusión necesita análisis forense de red y memoria, no solo el parche.
Sobre quién está detrás, Volexity atribuye con confianza baja una motivación criminal y, con confianza media, sospecha que los atacantes emplean modelos de lenguaje para crear sus exploits. Son evaluaciones de la firma. No hay reportes de víctimas en México, y el CVE no aparecía aún en la base NVD ni en el catálogo de CISA al cierre de esta nota.
