La advertencia de CISA del 13 de octubre sobre Ivanti Connect Secure no era una precaución ante una vulnerabilidad hipotética. Los atacantes ya habían encadenado evasión de autenticación y ejecución contra un dispositivo entonces completamente actualizado para su rama. La agencia añadió CVE-2026-104935 al catálogo de vulnerabilidades explotadas y fijó el 16 de octubre como plazo para las agencias civiles federales.
La corrección inmediata y el incidente sin esclarecer son problemas distintos. Volexity describe explotación repetida, cambios temporales en memoria, recopilación de credenciales y borrado selectivo de registros, sin una web shell persistente convencional. Actualizar cierra la entrada documentada, pero no revoca secretos robados ni demuestra que antes no hubiera acceso.
El plazo y las versiones afectadas
La vulnerabilidad tiene una puntuación CVSS de 8,6. Permite comandos remotos con baja complejidad, sin cuenta previa ni interacción del usuario. Connect Secure se sitúa entre internet, aplicaciones internas y servicios de identidad. Un fallo de autenticación ofrece así una posición de confianza especialmente valiosa.
Los reportajes terminados identifican como afectadas 25.1.1.1 y anteriores de esa rama, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores. Las versiones corregidas incluyen 25.1.1.2, 25.1.3.0, 25.1.3.1 y 22.8R2.5. No son ramas intercambiables libremente: la instalación y la ruta admitida deben contrastarse con el aviso de Ivanti.
La excepción de versiones antiguas aparece con distinta precisión: el texto principal dice 22.7.x y anteriores; el relato fusionado basado en CVE menciona 22.7R2.14 y anteriores. Ninguna expresión garantiza seguridad general ni justifica retroceder de versión. Los sistemas antiguos pueden tener otras vulnerabilidades o carecer de soporte.
La actualización KEV del 13 de octubre añadió también Windows Shell CVE-2026-96951. Es un problema independiente que requiere interacción humana, a diferencia de la ruta Ivanti directamente accesible sin autenticación. Ambos recibieron plazo del 16 de octubre para las agencias Federal Civilian Executive Branch bajo los requisitos BOD 26-04 citados. Las entidades privadas no heredan automáticamente esa obligación, aunque comparten exposición técnica. Windows es contexto, no una segunda vulnerabilidad Ivanti.
KEV establece explotación observada, no que todos los dispositivos expuestos hayan sido comprometidos ni que exista una campaña masiva. El campo de uso por ransomware era desconocido, no una relación confirmada. La afirmación de Ivanti sobre explotación conocida limitada describe su visibilidad, no un máximo fiable de víctimas.
Una pasarela entonces al día fue atacada antes de divulgarse
Volexity comenzó a investigar el 5 de octubre y rastreó explotación hasta el 3 de octubre en Connect Secure 22.8R2.4, Build 19097, entonces actualizado para su rama. Otro proveedor de inteligencia habría observado señales relacionadas desde el 1 de octubre. Son observaciones diferentes; la fecha anterior no debe atribuirse como confirmada por Volexity.
La firma sigue la actividad desconocida como UTA0576. Es una etiqueta analítica, no una identidad real o un patrocinador gubernamental demostrado. Con baja confianza, estimó una motivación criminal en vez de espionaje. La operación se interrumpió antes de establecer el objetivo final.
Ivanti dijo que una parte se encontró mediante su programa de seguridad y se corrigió en la versión 25.1.3.0 de julio de 2026. La explotación sucedió mientras trasladaba la corrección a otras ramas admitidas. Hubo una brecha real entre ramas, pero la información pública no establece cuándo comprendió la cadena completa o supo de ataques. El trabajo de compatibilidad y adaptación no justifica acusar sin pruebas un retraso deliberado.
El contexto incluye CVE-2025-0282, desbordamiento de búfer en pila explotado en enero de 2025, y CVE-2025-22457, posteriormente asociado con espionaje vinculado a China. Esos casos no identifican a UTA0576 ni prueban que todos los dispositivos sean inseguros. Volexity comparó además la recuperación de credenciales de capturas con ataques contra acceso remoto SonicWall, mostrando el atractivo general de la infraestructura de borde confiable.
Tres debilidades llevaron del acceso público a root
La cadena reconstruida comenzaba con una divergencia entre autorización y encaminamiento. Una petición al componente público welcome.cgi podía indicar otro destino mediante X-DSCGI-PATH. El aparato comprobaba la URL pública, pero dirigía la petición al gestor protegido de cargas wu.cgi.
El gestor escribía un archivo antes de verificar si era un ZIP válido. Un script Perl camuflado con esa extensión existía brevemente antes de ser rechazado y eliminado. Peticiones paralelas competían con la limpieza y permitían ejecutarlo como la cuenta restringida cgi-server. Es un fallo temporal del tratamiento de archivos, no evidencia de que los ZIP normales sean ejecutables por naturaleza.
Ivanti agrupó evasión de autenticación y ejecución remota en CVE-2026-104935. Una escalada independiente implicaba que un servicio privilegiado confiara en configuración manipulada, junto con una biblioteca alterada en memoria. Una tarea legítima de mantenimiento se desviaba hacia un script malicioso ejecutado como root. El operador comprobaba acceso a datos protegidos de contraseñas y restauraba configuración e instrucción de memoria.
Cuando se terminaron los reportajes, Ivanti planeaba otra corrección para esa escalada. Eso no significa que el parche del 13 de octubre mantenga abierta la ruta no autenticada documentada: bloquear entrada y ejecución rompe esa cadena específica. Las versiones posteriores siguen siendo relevantes.
El operador repetía el canal de explotación para intercambiar órdenes y resultados por HTTPS, en vez de dejar una puerta trasera inicial. Algunas etapas funcionaban solo en memoria, incluida una carga Python comprimida y codificada. Se borraban entradas escogidas de depuración y auditoría Linux, se eliminaban archivos y resultados temporales y se restauraba el estado modificado.
Volexity encontró que así se eludía el Integrity Checker Tool de Ivanti. La herramienta busca modificaciones inesperadas de archivos; los cambios temporales en memoria y la configuración restaurada van más allá de lo que puede descartar un resultado limpio del disco. Limita su significado, sin volver inútil la comprobación.
Los datos de identidad ampliaron el alcance
El acceso de directorio de la pasarela permitía consultar un controlador interno de Active Directory. Los investigadores recuperaron una herramienta LDAP propia y scripts Python dirigidos a credenciales de administradores locales LAPS, recuperación BitLocker, atributos con contraseñas, metadatos de usuarios y rutas de scripts de inicio de sesión. Los registros también aportaron nombres válidos.
LAPS puede abrir acceso administrativo local; los datos BitLocker desbloquear discos cifrados. Volexity estimó con alta confianza que se exfiltró información disponible en las consultas dirigidas. No establece que existieran todos los secretos buscados ni que todas las intrusiones posteriores tuvieran éxito.
El operador examinaba también capturas para hallar credenciales LDAP en claro, material HTTP Basic y hashes NTLM de desafío-respuesta. Una utilidad renombrada en un directorio oculto vigilaba LDAP, HTTP, FTP y Telnet mediante ocho archivos rotativos. El abuso de hashes y los ataques sin conexión dependen de configuración y fortaleza de contraseñas; aun así, recopilar esos datos genera consecuencias que actualizar la VPN no revierte.
Hubo además reconocimiento DNS y de nombres internos, búsquedas en configuración VPN y registros, y password spraying contra cuentas de directorio. En conjunto respaldaban la preparación para movimiento lateral y acceso más amplio. No se establecieron objetivo final ni éxito de todas las técnicas.
La afirmación de IA del material fusionado requiere cautela. Volexity valoró con confianza media el uso de grandes modelos de lenguaje durante el desarrollo o después de la intrusión, citando scripts adaptados, credenciales fijas, reiteración del canal y complejidad. Es una inferencia, no una prueba directa. Iteraciones humanas o herramientas privadas pueden crear patrones parecidos; no confirma una intrusión autónoma de IA.
Qué debe demostrar un cierre defendible
Shadowserver contó después de divulgarse más de 5.500 instancias aparentemente expuestas de Connect Secure. Es una observación de exposición, no una cifra de clientes vulnerables o comprometidos. Puede incluir señuelos, duplicados y sistemas actualizados. El inventario debe abarcar pasarelas activas y de reserva, nodos de recuperación y pruebas olvidadas, comprobando las compilaciones reales.
Ivanti aconsejó actualizar inmediatamente y realizar controles regulares; Rapid7 destacó además buscar compromiso después del parche. Fechas de exposición, conexiones originadas en la pasarela, registros de identidad y directorio, firewall, DNS y memoria preservada responden a preguntas distintas de la versión. Volúmenes inusuales en welcome.cgi y discrepancias URL/cabecera son indicios, pero pueden variar. La ausencia de indicadores publicados no es una autorización universal para cerrar.
La contención puede chocar con la preservación. Reiniciar o reconstruir destruye rastros volátiles; retrasar el aislamiento puede prolongar el acceso atacante. Riesgo activo, redundancia y capacidad forense determinan el orden. Los responsables deben coordinar la recogida sin alargar innecesariamente el acceso y documentar acciones y horarios.
La rotación debe seguir integraciones, secretos accesibles y actividad observada. Credenciales de servicio, contraseñas administrativas locales, claves de recuperación, tokens y secretos reutilizables merecen revisión individual. Restablecer a ciegas puede romper dependencias y omitir credenciales menos visibles. Las conexiones posteriores desde la pasarela confiable también necesitan investigación propia.
A largo plazo conviene limitar exposición externa y administrativa innecesaria, centralizar registros, reducir privilegios de cuentas de directorio, segmentar y retirar autenticación en claro cuando sea posible. No elimina los zero-days, pero limita lo que un aparato comprometido alcanza y los datos que puede borrar.
Los próximos indicios serán nuevos ataques o víctimas, cobertura verificada entre ramas admitidas, el parche de escalada independiente y el uso posterior de credenciales robadas. Volexity no publicó código listo para atacar, pero el análisis puede ayudar a imitadores. Que no aparezcan más casos públicos no demuestra que no haya más compromisos.
Cerrar exige respuestas independientes sobre versión vulnerable, exposición durante el periodo de explotación, pruebas de acceso y sistemas o secretos alcanzables después. Un parche terminado contesta la primera pregunta. Es un hito necesario, no un sustituto de las otras tres.