CISA advierte a los administradores que reparen inmediatamente el fallo de Ivanti explotado como día cero.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) instó a los equipos de seguridad a corregir de inmediato una vulnerabilidad en Ivanti Connect Secure (ICS) que ha sido explotada en ataques de día cero desde al menos el 1 de octubre.

Identificada como CVE-2026-104935, esta vulnerabilidad de alta gravedad, que permite eludir la autenticación, posibilita que atacantes remotos sin privilegios ejecuten comandos arbitrarios en sistemas ICS específicos mediante ataques de baja complejidad que no requieren interacción del usuario.

Ivanti lanzó el martes las versiones 22.8R2.5, 25.1.3.0, 25.1.3.1 y 25.1.1.2 de ICS para solucionar esta vulnerabilidad y advirtió a sus clientes que actúen de inmediato debido a la escasa explotación en la práctica.

Si bien Ivanti no compartió información adicional sobre los ataques en curso dirigidos a la vulnerabilidad CVE-2026-104935, la empresa de ciberseguridad Volexity informó que un actor de amenazas desconocido, identificado como UTA0576, ha estado combinando esta vulnerabilidad con otras dos desde al menos el 3 de octubre.

"Esta cadena de exploits combinó una vulnerabilidad de omisión de autenticación, una de ejecución remota de código (RCE) y una de escalada de privilegios para lograr la ejecución de código sin autenticación con privilegios de administrador. Las vulnerabilidades de RCE y de omisión de autenticación se rastrean bajo la identificación CVE-2026-104935", indicó Volexity.

"Volexity identificó una serie de acciones posteriores a la explotación llevadas a cabo por el actor de amenazas que tenían como objetivo las credenciales y los secretos de Active Directory, incluidas las contraseñas de la Solución de Contraseñas de Administrador Local (LAPS) y las claves de recuperación de BitLocker".

La empresa de inteligencia sobre amenazas Defused también confirmó el informe de Volexity, indicando que el 1 de octubre detectó por primera vez evidencia de que los atacantes estaban explotando la vulnerabilidad CVE-2026-104935.

El sistema de vigilancia de amenazas en internet Shadowserver ahora rastrea más de 5600 hosts expuestos a internet con huellas digitales de sistemas de control industrial (ICS). Sin embargo, no hay información sobre cuántos están protegidos contra ataques en curso ni cuántos son honeypots diseñados para detectar actividad maliciosa.