Análisis editorial · Fuentes primarias
La cadena de día cero de Ivanti Connect Secure convierte la intrusión en la pasarela en una crisis de identidad
La explotación confirmada de un día cero de Ivanti Connect Secure permitió robar credenciales, extraer datos y acceder a secretos de recuperación empresarial; aplicar el parche es urgente, pero no demuestra que el dispositivo esté limpio.
Cronología confirmada
Volexity observó explotación desde el 3 de octubre de 2026 contra un dispositivo que entonces estaba completamente actualizado e inició la investigación el 5 de octubre. El 13 de octubre, Ivanti coordinó una corrección y CISA divulgó la explotación activa de CVE-2026-104935, una omisión de autenticación que permite ejecutar comandos sin autenticación [1][2]. El registro CVE identifica como corregidas las versiones 25.1.3.0, 25.1.3.1 y 22.8R2.5; 22.7R2.14 y anteriores figuran como no afectadas [3].
Intrusión observada
Se trata de una cadena de intrusión confirmada, no solo de un aviso de vulnerabilidad. Volexity halló que la omisión de autenticación y la ejecución remota de código se encadenaron con otra vulnerabilidad local de elevación de privilegios. El actor obtuvo credenciales de dominio, metadatos de Active Directory, contraseñas LAPS, claves de recuperación de BitLocker y datos de autenticación del dispositivo, y después realizó pulverización de contraseñas y reconocimiento de red [2]. El registro público no establece cuántas organizaciones fueron comprometidas.
Misión y exposición
Una pasarela de acceso expuesta a Internet es un ancla de confianza. Su compromiso puede extenderse del acceso remoto a la identidad empresarial, la administración de endpoints y los procesos de recuperación, amenazando la continuidad incluso después de aplicar el parche. Los responsables deben identificar versiones expuestas, revisar actividad al menos desde el 3 de octubre y evaluar el uso posterior de cuentas de enlace con el directorio, sesiones privilegiadas, LAPS y claves de recuperación.
Prioridades de respuesta
Actualice de inmediato a una versión corregida, pero no considere el parche como contención. Preserve pruebas; aísle o reconstruya dispositivos sospechosos; revoque sesiones y tokens; rote credenciales del dispositivo, administrativas, de enlace LDAP y otras expuestas; y reevalúe los secretos LAPS y BitLocker según la evidencia. Utilice telemetría independiente de red, identidad, endpoint y memoria, porque Volexity observó eliminación de registros y advirtió que el comprobador de integridad del dispositivo puede no detectar de forma fiable el compromiso [2].
Gobierno e incógnitas
Asigne responsabilidad ejecutiva compartida entre seguridad, identidad, infraestructura, continuidad y legal. Exija registro independiente para dispositivos perimetrales, procedimientos probados de recopilación de pruebas y plazos de ciclo de vida para versiones sin soporte. La atribución, el número total de víctimas, los objetivos finales y la prevalencia de la cadena completa siguen sin verificarse. La confianza es alta respecto a la explotación y al comportamiento observado tras el compromiso, pero limitada respecto al alcance general.
Fuentes
- CISA, CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13 October 2026 (accessed 14 October 2026)
- Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 October 2026 (accessed 14 October 2026)
- CVE Program, CVE-2026-104935 record, published and updated 13 October 2026 (accessed 14 October 2026)
- HKCERT, Ivanti Connect Secure Remote Code Execution Vulnerability, 14 October 2026 (accessed 14 October 2026)