CISA confirma explotación activa de zero-day en Ivanti Connect Secure

El bypass de autenticación CVE-2026-104935 permite ejecución remota sin credenciales y ya está en el catálogo KEV de CISA. Honeypots registran intentos de explotación mientras una fuente sin corroborar habla de un tercer zero-day encadenado todavía sin parche.

Qué pasó

CISA publicó el 13 de octubre de 2026 una alerta sobre CVE-2026-104935, un bypass de autenticación en Ivanti Connect Secure que permite a un atacante remoto y no autenticado ejecutar comandos arbitrarios en el appliance. La agencia indica que actores de amenaza ya lo están explotando para robo de credenciales y exfiltración de datos, y lo agregó el mismo día al catálogo KEV.

Las versiones afectadas son 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores. Ivanti publicó un aviso de seguridad con la versión corregida y recomienda ejecutar el Integrity Checker Tool (ICT) antes y después de parchar.

Una nota de The Hacker News del 14 de octubre, citando telemetría de honeypots, reporta 105 intentos de explotación observados — es una fuente derivada que reporta sobre el mismo hecho que CISA, no una confirmación independiente adicional. Una segunda nota del mismo medio, del 13 de octubre, plantea algo más serio: que el atacante estaría encadenando tres zero-days de Connect Secure para llegar a acceso root, de los cuales solo dos tendrían parche disponible. Confianza baja: es una sola fuente derivada, sin que CISA o Ivanti lo confirmen en sus avisos oficiales a la fecha de este análisis. Lo nombramos porque, si se confirma, cambia la urgencia del parche — pero no lo tratamos como hecho.

Por qué importa acá

Connect Secure (ex Pulse Secure) es una de las plataformas VPN de acceso remoto más desplegadas en banca, gobierno y empresa grande en Chile. No tenemos una cifra de instalaciones locales — confianza media en que la exposición chilena es real y significativa, basada en que es un producto de categoría enterprise con presencia histórica en el mercado regional, no en un conteo verificado. Lo que sí es un hecho: es un appliance de borde, expuesto a Internet por diseño, y un bypass de autenticación no autenticado en ese tipo de activo es exactamente el patrón que en 2024 llevó a decenas de intrusiones con Connect Secure/Pulse Secure a nivel global.

La herramienta de corroboración de esta pieza también marcó como fuente primaria coincidente una alerta previa de ANCI, AVC26-00636 ("Ivanti EPMM - Vulnerabilidad Crítica", mayo 2026). Al revisarla, corresponde a Ivanti EPMM (Endpoint Manager Mobile), un producto distinto de Connect Secure, y el cruce se dio solo por el nombre del fabricante, no por el CVE. No la contamos como corroboración de este caso. La mencionamos únicamente como antecedente: Ivanti ha sido blanco de vulnerabilidades críticas explotadas activamente más de una vez en lo que va de 2026, en productos distintos.

Si una organización chilena calificada como Operador de Importancia Vital bajo la Ley 21.663 tiene un appliance Connect Secure comprometido con exfiltración de datos, eso configura un incidente reportable a ANCI. No citamos un plazo específico de reporte porque no lo verificamos para este caso puntual, pero la obligación de reporte temprano aplica igual.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El bypass de autenticación permite alcanzar funciones internas del appliance sin credenciales — el patrón clásico de T1190 contra un activo expuesto a Internet por diseño.
• T1212 — CISA indica que el acceso no autenticado se usa para robo de credenciales; probable que incluya tokens de sesión o credenciales cacheadas en el propio appliance (SAML/LDAP), aunque la fuente no detalla el mecanismo exacto.
• T1041 — CISA reporta exfiltración de datos posterior al compromiso, sin precisar el canal usado. No hay IOCs públicos de infraestructura C2 para este CVE a la fecha.
• T1505.003 — Hipótesis, confianza media: explotaciones previas de Connect Secure (CVE-2023-46805/CVE-2024-21887) derivaron en despliegue de webshells para persistencia. Que Ivanti recomiende correr el Integrity Checker Tool —diseñado para detectar modificación de archivos en el appliance— sugiere que esperan un patrón similar, pero no hay confirmación pública de webshells específicos para CVE-2026-104935.

title: Acceso sospechoso a endpoints administrativos de Ivanti Connect Secure
id: 7c1e4a2b-6f3d-4e21-9a8c-5b2f1d6e9c47
status: experimental
description: Detecta solicitudes HTTP POST con respuesta 200 hacia rutas administrativas o de API de Ivanti Connect Secure, patrón consistente con intentos de explotación de CVE-2026-104935 (bypass de autenticación). Es una regla conductual, no una firma del exploit: ni Ivanti ni CISA han publicado el payload a la fecha.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
logsource:
  category: proxy
  definition: 'Requiere logs de reverse proxy, WAF o balanceador situado frente al portal de Ivanti Connect Secure, con campos de IP origen, método HTTP, URI y código de respuesta.'
detection:
  selection_path:
    cs-uri-path|contains:
      - '/dana-admin/'
      - '/api/v1/configuration'
      - '/dana-ws/'
  selection_method:
    cs-method: 'POST'
  selection_response:
    sc-status: 200
  condition: all of selection_*
fields:
  - c-ip
  - cs-uri-path
  - cs-method
  - sc-status
  - cs-user-agent
falsepositives:
  - Escaneos de vulnerabilidades autorizados contra el propio portal
  - Accesos legítimos de administración no documentados en el allowlist de gestión
  - Integraciones de monitoreo del propio fabricante
level: high
tags:
  - attack.initial_access
  - attack.t1190
  - cve.2026.104935

CommonSecurityLog
| where DeviceVendor in ("Ivanti", "Pulse Secure") or DeviceProduct has "Connect Secure"
| where RequestURL has_any ("/dana-admin/", "/api/v1/configuration", "/dana-ws/")
| where RequestMethod == "POST"
| where DeviceCustomNumber1 == 200 or AdditionalExtensions has "200"
| project TimeGenerated, SourceIP, RequestURL, RequestMethod, DestinationHostName
| sort by TimeGenerated desc

index=proxy OR index=waf sourcetype=*access*
| regex uri_path="(dana-admin|api/v1/configuration|dana-ws)"
| search method=POST status=200
| stats count values(uri_path) as paths by src_ip, dest
| where count > 0
| sort - count

Fuentes

• CISACISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure · 2026-10-13
• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-13
• The Hacker NewsCISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts · 2026-10-14
• The Hacker NewsAttacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far · 2026-10-13
• IvantiSecurity Advisory Ivanti Connect Secure (CVE-2026-104935) · 2026-10-13
• ANCIIvanti EPMM - Vulnerabilidad Crítica · 2026-05-07

Relacionado