============================================================================== CADENA DE ZERO-DAYS DA ROOT EN IVANTI PESE AL PARCHE ============================================================================== Fuente: https://www.vantis.cl/noticias/ivanti-connect-secure-cadena-zero-day-root-vpn-parchada Publicado: 2026-10-16 (hora de Chile) Ambito: global · Criticidad: critica Descargado: 2026-10-25 05:00 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de acceso web del portal ICS, reenviados por syslog a un colector externo (los logs locales son borrados selectivamente por el payload) · Logs de WAF o proxy reverso ubicado delante del appliance, si existe, capturando encabezados HTTP personalizados · Logs de autenticación de Active Directory (eventos LDAP/Kerberos, password spraying) · NetFlow/firewall para identificar ráfagas de solicitudes paralelas hacia el appliance consistentes con explotación de condición de carrera ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Posible bypass de autenticación en Ivanti ICS vía X-DSCGI-PATH ============================================================================== Requiere: Que el reverse proxy o WAF delante del appliance registre encabezados HTTP personalizados; los logs nativos del portal ICS no bastan porque el payload los modifica. title: Ivanti Connect Secure - Posible Bypass via X-DSCGI-PATH Header id: 7c3e9a1f-4b2d-4e8a-9f6c-1a2b3c4d5e6f status: experimental description: Detecta solicitudes a welcome.cgi que incluyen el encabezado X-DSCGI-PATH apuntando a un script distinto, patrón reportado por Volexity en la cadena de explotación de octubre de 2026 contra Ivanti Connect Secure. references: - https://www.volexity.com/blog/ - https://labs.cloudsecurityalliance.org/research/csa-research-note-ivanti-connect-secure-zero-day-chain-20261/ author: Vantis - Analisis de Amenazas date: 2026-10-16 logsource: category: webserver detection: selection_path: cs-uri-stem|contains: 'welcome.cgi' selection_header: cs-header-x-dscgi-path|contains: - 'wu.cgi' - '.cgi' condition: selection_path and selection_header falsepositives: - Escaneos de vulnerabilidad autorizados que prueban la misma ruta - Herramientas de administración legítimas que usen el mismo encabezado por error de configuración (poco común) level: critical tags: - attack.initial-access - attack.t1190 - cve.2026-104935 ============================================================================== REGLA 2 de 4 · MICROSOFT SENTINEL - KQL Solicitudes a welcome.cgi con header X-DSCGI-PATH sospechoso ============================================================================== Requiere: Logs del appliance o del WAF/proxy ingeridos en CommonSecurityLog vía CEF/Syslog, con los encabezados HTTP conservados en AdditionalExtensions. CommonSecurityLog | where DeviceVendor == "Ivanti" or Activity has "welcome.cgi" | where RequestURL has "welcome.cgi" | where AdditionalExtensions has "X-DSCGI-PATH" and (AdditionalExtensions has "wu.cgi" or AdditionalExtensions has ".cgi") | project TimeGenerated, SourceIP, RequestURL, AdditionalExtensions, DeviceVendor | sort by TimeGenerated desc ============================================================================== REGLA 3 de 4 · SPLUNK - SPL Detección de bypass ICS por header X-DSCGI-PATH en índice proxy ============================================================================== Requiere: index=proxy con los encabezados HTTP crudos capturados; confirmar con el equipo de logging que el campo req_header no está siendo truncado o sanitizado antes de la ingesta. index=proxy sourcetype=ivanti_ics OR sourcetype=waf | search uri_path="*welcome.cgi*" AND (req_header="*X-DSCGI-PATH*wu.cgi*" OR req_header="*X-DSCGI-PATH*.cgi*") | table _time, src_ip, uri_path, req_header | sort - _time ============================================================================== REGLA 4 de 4 · WAZUH / VERIFICACION EN HOST Regla Wazuh para solicitudes anómalas a welcome.cgi ============================================================================== Requiere: Decodificador de Wazuh capaz de extraer encabezados HTTP personalizados desde los logs web reenviados (requiere configuración adicional, no viene de fábrica). 31100 welcome.cgi X-DSCGI-PATH Posible explotacion de Ivanti Connect Secure: header X-DSCGI-PATH hacia welcome.cgi (CVE-2026-104935) T1190 ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== Escáneres de vulnerabilidades autorizados (internos o de un proveedor de pentesting) que prueben activamente este CVE generarán el mismo patrón. Correlacionar con ventanas de escaneo conocidas antes de escalar como incidente. El volumen de solicitudes paralelas hacia wu.cgi también puede coincidir, en casos raros, con pruebas de carga mal configuradas contra el portal; verificar origen antes de confirmar explotación. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================