Ivanti tapa dos agujeros más de su VPN ya explotados

Ivanti ha publicado parches para otros dos fallos de día cero en Connect Secure, su VPN corporativa, que ya se han usado en ataques reales. Los atacantes los encadenaron con CVE-2026-104935, una omisión de autenticación que la compañía hizo pública el 13 de octubre. Según SecurityWeek, Ivanti añadió el jueves los dos nuevos fallos a ese mismo aviso.

Qué hay que instalar

Los dos fallos afectan a Connect Secure 25.1.1.2 y anteriores, y a 22.8R2.5 y anteriores. Las versiones corregidas son:

• 25.1.1.3
• 22.8R2.6

Hay un detalle importante: 25.1.1.2 y 22.8R2.5 eran justo las versiones que corregían el fallo de octubre. Quien las instaló entonces sigue expuesto y tiene que actualizar de nuevo. «La última versión corrige todas las vulnerabilidades que se encadenaron y explotaron en ataques reales», asegura Ivanti.

Los fallos

• CVE-2026-111357 (CVSS 8.8): falta de autenticación en una función crítica. Permite a un atacante autenticado con acceso local escalar privilegios. Es el fallo que seguía sin parche cuando los ataques salieron a la luz a mediados de octubre.
• CVE-2026-118527 (CVSS 4.3): generación de identificadores predecibles. Un atacante autenticado puede subir en remoto archivos con el contenido que quiera a una ruta del disco conocida de antemano.

La CISA estadounidense los incluyó el viernes en su catálogo de vulnerabilidades explotadas. Las agencias federales tienen hasta hoy, 2 de noviembre, para corregir el primero y hasta el 13 para el segundo.

Root en un equipo con todos los parches

La empresa de seguridad Volexity detectó los ataques al investigar un incidente en un cliente. Según su análisis, encadenar los tres fallos permitió ejecutar código como root y sin autenticación en un equipo que tenía todos los parches disponibles. Los atacantes se dedicaron a robar credenciales, extraer datos, explorar la red y manipular los registros. Volexity atribuye la actividad a un grupo hasta ahora desconocido, al que llama UTA0576. Cree, con poca confianza, que su motivación es criminal y no de espionaje.

Volexity vio los primeros indicios el 3 de octubre. La firma Defused afirma que sus señuelos recibieron ataques desde el 1 de octubre, antes de que el fallo fuera público.

Ivanti habla de «un número limitado de clientes» afectados, pero no da cifras. Tampoco ha explicado por qué el fallo de octubre, que según la compañía había encontrado su propio programa de seguridad y corregido en julio en la versión 25.1.3.0, seguía abierto en el resto de ramas cuando empezaron los ataques.

Fuente: SecurityWeek