Detectouse explotación activa dunha vulnerabilidade en Ivanti Connect Secure que pode permitir a un atacante remoto non autenticado executar comandos arbitrarios en dispositivos afectados. Ivanti publicou actualizacións de seguridade e recomenda actuar de maneira inmediata.
Ivanti publicou un aviso de seguridade para corrixir unha vulnerabilidade de severidade alta en Ivanti Connect Secure, identificada como CVE-2026-104935. A vulnerabilidade permite a un atacante remoto non autenticado executar comandos arbitrarios mediante unha omisión de autenticación por suplantación. A vulnerabilidade ten unha puntuación CVSS 3.1 de 8.6 e afecta a instalacións de Ivanti Connect Secure anteriores a determinadas versións corrixidas.
A compañía indicou que ten constancia dunha explotación limitada en contornas reais. Debido a que Ivanti Connect Secure se emprega como solución de acceso remoto e VPN corporativa, o impacto potencial é elevado, especialmente en dispositivos expostos a Internet ou utilizados como punto de entrada a redes internas.
De acordo coa información publicada, a explotación pode permitir a execución de comandos no dispositivo afectado sen necesidade de credenciais válidas nin interacción por parte da persoa usuaria. Esta circunstancia incrementa o risco para organizacións que manteñan instancias vulnerables accesibles desde Internet.
A vulnerabilidade afecta a Ivanti Connect Secure en versións anteriores a 25.1.3.0. O rexistro CVE identifica como non afectadas as versións 25.1.3.0, 25.1.3.1, 22.8R2.5 e 22.7R2.14. As organizacións deben revisar a versión despregada e contrastala co aviso oficial do fabricante antes de considerar un sistema como corrixido.
Adicionalmente, distintos avisos técnicos sinalan que se observou explotación activa desta vulnerabilidade. Por este motivo, non abonda con aplicar a actualización. Tamén se recomenda revisar posibles evidencias de compromiso, especialmente en dispositivos que estiveron expostos a Internet antes de seren actualizados.
Versións afectadas e corrixidas
Considéranse afectadas as versións de Ivanti Connect Secure anteriores ás versións corrixidas indicadas polo fabricante. Como referencia, o rexistro CVE recolle que as versións 25.1.3.0, 25.1.3.1, 22.8R2.5 e 22.7R2.14 figuran como non afectadas.
As organizacións deben verificar a versión concreta instalada en cada appliance e aplicar as instrucións oficiais de Ivanti, especialmente se empregan ramas 25.1.x ou 22.8R2.x.
Indicadores e elementos para revisar
Nas análises técnicas publicadas sinaláronse evidencias que poden axudar a orientar a revisión inicial. Entre elas inclúense solicitudes numerosas ao recurso:
/dana-na/auth/url_default/welcome.cgi
Tamén se recomenda revisar a presenza da cabeceira HTTP:
X-DSCGI-PATH
Debe prestarse atención a valores desta cabeceira que non coincidan coa ruta solicitada ou que apunten a rutas internas do appliance. Así mesmo, indicouse como elemento de interese a presenza do directorio:
/data/.icscap/
E actividade asociada ao enderezo IP:
108.165.147[.]64
Estes indicadores deben tratarse como apoio á investigación e non como unha listaxe completa de detección. A ausencia destes elementos non descarta por si soa un compromiso.
Recomendacións
Actualizar Ivanti Connect Secure a unha versión corrixida seguindo as instrucións oficiais do fabricante.
Priorizar a revisión de dispositivos expostos a Internet ou empregados como acceso remoto corporativo.
Executar as ferramentas de comprobación recomendadas por Ivanti, tendo en conta que o seu resultado non substitúe unha investigación forense se existen indicios de compromiso.
Revisar rexistros de acceso, tráfico HTTP, cabeceiras anómalas e actividade inusual asociada ao appliance.
Buscar evidencias de actividade posterior ao compromiso en servizos internos, especialmente autenticacións anómalas, accesos a directorios corporativos, uso de contas de servizo e actividade de password spraying.
Rotar credenciais asociadas ao appliance, contas LDAP, contas de servizo e outras credenciais que puidesen estar almacenadas ou accesibles desde o dispositivo.
Restrinxir o acceso administrativo do appliance a enderezos IP autorizados.
Revisar a exposición pública do servizo e aplicar controis adicionais de segmentación, monitorización e rexistro.
Realizar análise forense de rede e memoria se existen indicios de compromiso ou actividade anómala.
Manter o seguimento dos avisos oficiais de Ivanti para aplicar novas actualizacións ou medidas adicionais que poidan publicarse.
A alerta considérase de severidade alta porque existe explotación activa en contornas reais, a vulnerabilidade permite a execución remota de comandos sen autenticación e afecta a un produto utilizado para acceso remoto corporativo. Este tipo de dispositivo adoita estar exposto a Internet e pode proporcionar acceso indirecto a servizos internos, polo que o risco para as organizacións afectadas é significativo.
