Ivanti ha publicado actualizaciones de seguridad para dos vulnerabilidades de la pasarela de acceso remoto Connect Secure explotadas junto con una falla de omisión de autenticación en ataques observados desde al menos el 1 de octubre.
Los problemas corregidos recientemente son CVE-2026-111357, una vulnerabilidad de escalada de privilegios de alta gravedad, y CVE-2026-118527, que permite a atacantes autenticados cargar archivos en un dispositivo sin parchear. Los atacantes utilizaron ambas fallas junto con CVE-2026-104935, una vulnerabilidad de omisión de autenticación que Ivanti corrigió el mes pasado.
Ivanti afirmó que la actualización anterior abordó la principal vía de explotación después de que la empresa detectara una explotación limitada en la práctica. El fabricante explicó que su prioridad era proporcionar protección rápidamente a los clientes mientras la corrección para CVE-2026-104935 se sometía al control de calidad para las versiones compatibles.
Volexity, que descubrió CVE-2026-104935, informó que un actor de amenazas identificado como UTA0576 había estado combinando la falla con otras dos vulnerabilidades desde al menos el 3 de octubre para obtener ejecución de código con privilegios de root y sin autenticación en dispositivos Connect Secure completamente parcheados. Según Volexity, el actor no desplegó malware ni una web shell, sino que volvió a explotar el dispositivo para cada comando y modificó los registros para ocultar la actividad y evadir la herramienta Integrity Checker Tool de Ivanti.
La empresa de inteligencia sobre amenazas Defused también informó de indicios de explotación activa desde el 1 de octubre. Posteriormente, la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos añadió CVE-2026-104935 a su catálogo de vulnerabilidades conocidas y explotadas, e indicó a las agencias federales que aplicaran la corrección disponible antes del viernes.
Shadowserver, que supervisa la exposición en internet, rastrea actualmente más de 5.000 instancias de Connect Secure accesibles desde internet. No hay información disponible sobre cuántos de esos sistemas han sido protegidos frente a los ataques en curso.
Las vulnerabilidades de Ivanti son objetivos frecuentes en campañas de día cero porque los dispositivos comprometidos pueden proporcionar acceso a redes empresariales. En los últimos años, la empresa también ha corregido otras fallas de Connect Secure explotadas en la práctica, incluidas vulnerabilidades utilizadas en ataques para desplegar malware.
Desde noviembre de 2021, CISA ha incluido 38 vulnerabilidades de Ivanti como explotadas activamente, incluidas 12 que también se han utilizado en ataques de ransomware.
Fuentes: BleepingComputer.