CVE-2026-104935: bypass de autenticación en Ivanti Connect Secure

CVE-2026-104935: explotación activa contra Ivanti Connect Secure

CISA incorporó CVE-2026-104935 a su catálogo Known Exploited Vulnerabilities (KEV) el 13 de octubre de 2026, lo que confirma que la vulnerabilidad está siendo explotada activamente. El problema afecta a Ivanti Connect Secure y fue clasificado con un puntaje CVSS 8.6 (alto). Según la descripción publicada por CISA, un atacante remoto y no autenticado puede evadir el control de autenticación mediante suplantación y llegar a ejecutar comandos arbitrarios.

La combinación de acceso remoto, ausencia de autenticación previa y ejecución de comandos hace que esta vulnerabilidad requiera atención inmediata. Los dispositivos de acceso seguro suelen encontrarse expuestos a Internet y ocupan una posición privilegiada en la red corporativa, por lo que una intrusión puede convertirse en un punto de entrada para movimientos posteriores, robo de credenciales o persistencia.

Análisis Técnico

Vector de Ataque

CVE-2026-104935 está asociada a CWE-290: Authentication Bypass by Spoofing. Esta categoría describe fallas en las que un sistema confía en una identidad, origen o atributo que el atacante puede falsificar. En este caso, la información oficial disponible indica que la suplantación permite eludir la autenticación de Ivanti Connect Secure y alcanzar una ruta capaz de ejecutar comandos.

El ataque es remoto y no requiere una sesión autenticada. No deben asumirse parámetros, cabeceras o rutas concretas mientras el fabricante no los documente públicamente: divulgar instrucciones especulativas puede causar falsos positivos y no ayuda a la defensa. Para los equipos de seguridad, la conclusión operativa es clara: un appliance vulnerable y accesible desde redes no confiables debe tratarse como un activo con riesgo de compromiso.

La presencia en KEV no significa solamente que exista una prueba de concepto. Significa que CISA dispone de evidencia de explotación real. El uso en campañas de ransomware figura como desconocido en el feed recibido; por tanto, no corresponde atribuir esta actividad a una familia o actor específico.

Impacto Operacional y de Seguridad

La ejecución arbitraria de comandos puede comprometer la confidencialidad, integridad y disponibilidad del dispositivo. Dependiendo de los privilegios del proceso afectado y de la configuración instalada, un atacante podría alterar componentes, recolectar información sensible, interferir con el servicio o utilizar el equipo como pivote hacia otros segmentos.

Acceso inicial sin credenciales: reduce considerablemente la barrera de explotación.
Ejecución de comandos: puede facilitar control del appliance y acciones posteriores.
Exposición de sesiones y secretos: los gateways de acceso remoto procesan credenciales, tokens y tráfico sensible.
Impacto operacional: las tareas de contención pueden exigir aislar o retirar temporalmente el servicio.
Riesgo de persistencia: una actualización corrige la vulnerabilidad, pero no elimina por sí sola artefactos dejados durante un compromiso previo.

Productos Afectados

La fuente CISA identifica a Ivanti Connect Secure como producto afectado. El payload oficial recibido no enumera versiones concretas, por lo que los administradores deben consultar la matriz vigente del fabricante y no interpretar la ausencia de una versión en este artículo como evidencia de seguridad. Inventarie cada appliance, su versión, nivel de parche, exposición a Internet y función dentro de la organización.

La fecha límite indicada por CISA para organismos civiles federales de Estados Unidos es el 16 de octubre de 2026. Aunque esa obligación regulatoria no se aplica automáticamente a todas las organizaciones, constituye una referencia útil sobre la urgencia de la mitigación.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones e instrucciones de Ivanti para las versiones desplegadas y verificar que el procedimiento finalice correctamente.
Reducir la exposición del servicio a redes no confiables cuando sea operacionalmente posible, limitando el acceso mediante controles externos y listas permitidas.
Identificar todos los appliances Connect Secure, incluidos equipos de contingencia, nodos secundarios y activos administrados por terceros.
Realizar triaje forense conforme a los requisitos citados por CISA. Revise eventos de autenticación, actividad administrativa, cambios de configuración, procesos inesperados y conexiones salientes anómalas.
No considerar el parche como prueba de ausencia de compromiso. Si el dispositivo estuvo expuesto antes de mitigar, preserve evidencias y evalúe credenciales, tokens y secretos que hayan transitado por él.
Rotar credenciales y revocar sesiones cuando el análisis indique exposición o no sea posible establecer con confianza la integridad del appliance.
Monitorear la infraestructura adyacente para detectar accesos laterales, nuevas cuentas, tareas persistentes o actividad proveniente del gateway.
Si no existe una mitigación aplicable, CISA recomienda dejar de utilizar el producto en el contexto correspondiente hasta disponer de una medida efectiva.

Los responsables deben documentar la exposición de cada activo y priorizar por riesgo real. La acción mínima aceptable es confirmar versión y estado de mitigación; para equipos expuestos, debe añadirse una revisión forense orientada a determinar si hubo actividad anterior al parche.