Destaca la vulnerabilidad zero-day en Ivanti Connect Secure, que permite la ejecución de comandos remotos y ha sido explotada por el grupo UTA0576. Finalmente, el FMI advierte que el posible estallido de la burbuja de la IA podría afectar la economía global.






Se insta a los clientes de Ivanti a actualizar Connect Secure y verificar si han sido comprometidos después de que los atacantes explotaran una vulnerabilidad de día cero recientemente revelada.

El martes, Ivanti publicó actualizaciones para Connect Secure (ICS) para solucionar la CVE-2026-104935, un fallo de omisión de autenticación descubierto por Volexity. Calificado con 8,6 en la escala CVSS, permite que atacantes remotos no autenticados ejecuten comandos arbitrarios.

"Somos conscientes de la explotación activa que afecta a un número limitado de clientes en el momento de la divulgación", afirmó el proveedor en su aviso de seguridad.


Se indicó que actualmente existen indicadores de compromiso limitados, aconsejando a los clientes consultar el informe de Volexity sobre los hallazgos para obtener más información, y ejecutar regularmente la herramienta Ivanti Integrity Checker.


Ivanti enumera las versiones afectadas en las siguientes ramas:

* 25.1.1.1 y anteriores
* 25.1.2.2 y anteriores
* 22.8R2.4 y anteriores

El proveedor señaló que previamente había identificado "una parte de esta vulnerabilidad" y la había parcheado en la actualización 25.1.3.0 de julio, y había estado trabajando en aplicar la misma corrección a versiones anteriores desde entonces; sin embargo, los atacantes comenzaron a explotarla antes de que ese trabajo estuviera completo.

Volexity afirmó que los atacantes detrás de las recientes intrusiones eran previamente desconocidos para sus investigadores, pero ahora son rastreados como UTA0576.

Volexity sospecha que el motivo es criminal en lugar de espionaje. Basándose en la actividad observada tras la explotación, los atacantes parecían estar más interesados en utilizar su nuevo acceso para el robo de credenciales, la exfiltración de datos, la manipulación de registros y el reconocimiento de la red.

Notablemente, los atacantes no desplegaron ningún malware ni ejecutaron web shells, utilizando únicamente los comandos disponibles para ellos en el dispositivo ICS.

"Debido a que la operación fue detectada e interrumpida, no se pudieron determinar los objetivos finales del actor de la amenaza", dijo Volexity.

"Sin embargo, Volexity evalúa con alta confianza que las acciones de UTA0576 señalaban la preparación para un movimiento lateral y un compromiso más amplio de la red de la víctima".


Los investigadores también sospechan que los atacantes estaban utilizando modelos de lenguaje extensos (LLM) para apoyar sus esfuerzos.

Volexity señaló el uso repetido por parte de los atacantes del canal de explotación para ejecutar comandos, en lugar de desplegar web shells, y su uso de "scripts altamente específicos con credenciales hardcoded".

Ivanti reveló una CVE, pero Volexity describió una cadena de ataque que involucra tres vulnerabilidades. Las actualizaciones del martes abordan las etapas de omisión de autenticación y ejecución remota de código.

La tercera vulnerabilidad, que permite la escalada de privilegios, es independiente de los fallos englobados por la CVE-2026-104935.

Volexity afirmó que Ivanti es consciente del error adicional y planea publicar una corrección "en las próximas semanas".

La revelación del día cero esta semana convierte este en el tercer año consecutivo que Ivanti ha tenido que lidiar con atacantes que explotan fallos no revelados en Connect Secure.

Los días cero anteriores de ICS fueron revelados en enero de 2025, un año después de que las vulnerabilidades de enero de 2024 provocaran exploits que afectaron a miles de dispositivos ICS.

Mientras tanto, también hemos visto a presuntos grupos de espionaje chino explotando errores en Endpoint Manager Mobile (EPMM) y fallos críticos en Sentry.

La racha de Ivanti de días cero de enero continuó a principios de este año, aunque esos fallos afectaron a EPMM en lugar de Connect Secure.

Fuente:
TheRegister