Se ha detectado explotación activa de una vulnerabilidad en Ivanti Connect Secure que puede permitir a un atacante remoto no autenticado ejecutar comandos arbitrarios en dispositivos afectados. Ivanti ha publicado actualizaciones de seguridad y recomienda actuar de forma inmediata.
Se detectó explotación activa de una vulnerabilidad en Ivanti Connect Secure que puede permitir a un atacante remoto no autenticado ejecutar comandos arbitrarios en dispositivos afectados. Ivanti publicó actualizaciones de seguridad y recomienda actuar de manera inmediata.
Ivanti ha publicado un aviso de seguridad para corregir una vulnerabilidad de severidad alta en Ivanti Connect Secure, identificada como CVE-2026-104935. La vulnerabilidad permite a un atacante remoto no autenticado ejecutar comandos arbitrarios mediante una omisión de autenticación por suplantación. La vulnerabilidad tiene una puntuación CVSS 3.1 de 8.6 y afecta a instalaciones de Ivanti Connect Secure anteriores a determinadas versiones corregidas.
La compañía ha indicado que tiene constancia de explotación limitada en entornos reales. Debido a que Ivanti Connect Secure se utiliza como solución de acceso remoto y VPN corporativa, el impacto potencial es elevado, especialmente en dispositivos expuestos a Internet o empleados como punto de entrada a redes internas.
De acuerdo con la información publicada, la explotación puede permitir la ejecución de comandos en el dispositivo afectado sin necesidad de credenciales válidas ni interacción por parte de la persona usuaria. Esta circunstancia incrementa el riesgo para organizaciones que mantengan instancias vulnerables accesibles desde Internet.
La vulnerabilidad afecta a Ivanti Connect Secure en versiones anteriores a 25.1.3.0. El registro CVE identifica como no afectadas las versiones 25.1.3.0, 25.1.3.1, 22.8R2.5 y 22.7R2.14. Las organizaciones deben revisar la versión desplegada y contrastarla con el aviso oficial del fabricante antes de considerar un sistema como corregido.
Adicionalmente, distintos avisos técnicos señalan que se ha observado explotación activa de esta vulnerabilidad. Por este motivo, no basta con aplicar la actualización. También se recomienda revisar posibles evidencias de compromiso, especialmente en dispositivos que hayan estado expuestos a Internet antes de ser actualizados.
Versiones afectadas y corregidas
Se consideran afectadas las versiones de Ivanti Connect Secure anteriores a las versiones corregidas indicadas por el fabricante. Como referencia, el registro CVE recoge que las versiones 25.1.3.0, 25.1.3.1, 22.8R2.5 y 22.7R2.14 figuran como no afectadas.
Las organizaciones deben verificar la versión concreta instalada en cada appliance y aplicar las instrucciones oficiales de Ivanti, especialmente si utilizan ramas 25.1.x o 22.8R2.x.
Indicadores y elementos a revisar
En los análisis técnicos publicados se han señalado evidencias que pueden ayudar a orientar la revisión inicial. Entre ellas se incluyen solicitudes numerosas al recurso:
/dana-na/auth/url_default/welcome.cgi
También se recomienda revisar la presencia de la cabecera HTTP:
X-DSCGI-PATH
Debe prestarse atención a valores de esa cabecera que no coincidan con la ruta solicitada o que apunten a rutas internas del appliance. Asimismo, se ha indicado como elemento de interés la presencia del directorio:
/data/.icscap/
Y actividad asociada a la dirección IP:
108.165.147[.]64
Estos indicadores deben tratarse como apoyo a la investigación y no como una lista completa de detección. La ausencia de estos elementos no descarta por sí sola un compromiso.
Recomendaciones
Actualizar Ivanti Connect Secure a una versión corregida siguiendo las instrucciones oficiales del fabricante.
Priorizar la revisión de dispositivos expuestos a Internet o utilizados como acceso remoto corporativo.
Ejecutar las herramientas de comprobación recomendadas por Ivanti, teniendo en cuenta que su resultado no sustituye una investigación forense si existen indicios de compromiso.
Revisar registros de acceso, tráfico HTTP, cabeceras anómalas y actividad inusual asociada al appliance.
Buscar evidencias de actividad posterior al compromiso en servicios internos, especialmente autenticaciones anómalas, accesos a directorios corporativos, uso de cuentas de servicio y actividad de password spraying.
Rotar credenciales asociadas al appliance, cuentas LDAP, cuentas de servicio y otras credenciales que hayan podido estar almacenadas o accesibles desde el dispositivo.
Restringir el acceso administrativo del appliance a direcciones IP autorizadas.
Revisar la exposición pública del servicio y aplicar controles adicionales de segmentación, monitorización y registro.
Realizar análisis forense de red y memoria si existen indicios de compromiso o actividad anómala.
Mantener seguimiento de los avisos oficiales de Ivanti para aplicar nuevas actualizaciones o medidas adicionales que puedan publicarse.
La alerta se considera de severidad alta porque existe explotación activa en entornos reales, la vulnerabilidad permite ejecución remota de comandos sin autenticación y afecta a un producto utilizado para acceso remoto corporativo. Este tipo de dispositivo suele estar expuesto a Internet y puede proporcionar acceso indirecto a servicios internos, por lo que el riesgo para organizaciones afectadas es significativo.
