CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts
The Hacker News · 14 oct, 14:30
Qué hacer: Actualiza Ivanti Connect Secure a la última versión disponible; si se detecta compromiso, realiza factory reset, upgrade, restaura configuración desde backup, y restablece todas las contraseñas y certificados.
CISA urge actualizar inmediatamente Ivanti Connect Secure tras el descubrimiento de una vulnerabilidad de authentication bypass (CVE-2026-104935, CVSS 8.6) que está siendo explotada activamente en la naturaleza. La falla afecta a versiones 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores, permitiendo a atacantes remotos sin autenticación ejecutar comandos arbitrarios. Honeypots registraron 105 intentos de explotación desde 50 direcciones IP únicas, y un actor de amenaza llamado UTA0576 la utilizó para robo de credenciales y exfiltración de datos.
La vulnerabilidad CVE-2026-104935 es un authentication bypass que permite la ejecución remota de comandos sin autenticación en Ivanti Connect Secure. CISA ha añadido la flaw al catálogo de Vulnerabilidades Conocidas Explotadas (KEV), requiriendo que agencias federales civiles apliquen correcciones antes del 16 de octubre de 2026. Volexity reportó que UTA0576, un actor de amenaza criminal, explotó la vulnerabilidad junto con un flaw de escalada de privilegios desde el 3 de octubre para lograr acceso root no autenticado.
Según Previdian, los atacantes utilizan el header X-DSCGI-PATH para alcanzar un manejador CGI interno y cargar scripts Perl disfrazados como archivos ZIP. Los payloads capturados están primariamente testando ejecución de código. Después de la explotación exitosa, UTA0576 realizó acciones post-explotación amplias: extracción de credenciales VPN, exfiltración de metadatos de Active Directory limitados, despliegue de una herramienta Kerberos para ataques Kerberoast, reconocimiento de hosts, captura de paquetes LDAP, y depósito de una herramienta Python LDAP para búsqueda de contraseñas de administrador y claves de recuperación BitLocker. Los atacantes modificaron logs selectivamente y restauraron el estado del sistema para conceal la actividad maliciosa.
Puntos clave
- CVE-2026-104935: authentication bypass en ICS versiones 25.1.1.1, 25.1.2.2 y 22.8R2.4 anteriores
- 105 intentos de explotación registrados desde 50 IPs únicas en honeypots
- Actor UTA0576 explotando para credential theft y exfiltración de datos desde 3 de octubre
- Versión 22.8 alcanza end-of-life el 31 de enero de 2027
- Plazo de remediación para agencias federales: 16 de octubre de 2026