CISA confirma explotación activa de bypass en Ivanti Connect Secure

El fallo es, según investigación independiente, el tercero de una cadena que permite acceso root al equipo VPN; el fabricante solo ha parcheado dos. Honeypots ya registraron más de cien intentos de explotación.

Qué pasó

CISA sumó al catálogo KEV (Known Exploited Vulnerabilities) dos vulnerabilidades el 13 de octubre de 2026:

• CVE-2026-104935 — Ivanti Connect Secure, *Authentication Bypass by Spoofing*. Permite a un atacante remoto eludir el proceso de autenticación del equipo VPN mediante la suplantación de un parámetro o token de sesión.
• CVE-2026-96951 — Microsoft Windows, inyección de comandos.

La inclusión en KEV obliga a las agencias federales estadounidenses (FCEB) a remediar según los plazos de la Binding Operational Directive 26-04, que no aplica a organizaciones chilenas pero funciona como la señal de priorización más confiable disponible públicamente: KEV solo incluye vulnerabilidades con explotación activa confirmada, no especulativa.

Paralelamente, CISA publicó una alerta específica instando a parchar Connect Secure de forma inmediata. The Hacker News reportó que investigadores de seguridad identificaron que el bypass forma parte de una cadena de tres días cero que, combinados, permiten a un atacante llegar a ejecución de código con privilegios de root en el appliance; según esa misma nota, Ivanti solo ha liberado parche para dos de los tres fallos de la cadena. El mismo medio reportó que honeypots registraron más de 105 intentos de explotación contra instancias de Connect Secure expuestas a internet en las horas siguientes a la divulgación.

Por qué importa acá

Ivanti Connect Secure es una puerta de enlace VPN SSL de borde, el tipo de producto que la jerarquía de criticidad de Vantis pone en el tope: expuesto directamente a internet, usado para acceso remoto corporativo, y con historial de campañas previas de explotación masiva por parte de actores sofisticados (incluyendo grupos vinculados a China en incidentes anteriores contra el mismo producto).

No tenemos evidencia de una organización chilena comprometida por esta campaña específica — por eso esta pieza va con ámbito global y no forzamos una bajada local que no está verificada. Sí corresponde una evaluación, confianza media: Ivanti Connect Secure tiene despliegue conocido en banca, organismos públicos y grandes empresas en Chile y la región; lo que falta para subir la confianza es telemetría propia o un reporte de ANCI que confirme exposición local. Lo que sí confirmaría esta evaluación es la aparición de una alerta ANCI sobre el producto o un incidente reportado; lo que la refutaría es que el parque instalado en Chile sea marginal, algo que no podemos descartar ni confirmar desde esta fuente.

El dato más urgente no es el bypass en sí, sino que la cadena de explotación no está completamente cerrada: con un tercio de los fallos sin parche, aplicar la actualización disponible reduce la superficie pero no la elimina. Cualquier equipo de Ivanti Connect Secure expuesto a internet debe tratarse como potencialmente comprometido mientras no se verifique lo contrario, dado el volumen de intentos ya registrado en honeypots.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El bypass de autenticación en Connect Secure (CVE-2026-104935) es explotado directamente contra la interfaz expuesta a internet del equipo VPN.
• T1068 — Según la investigación de terceros, el bypass se encadena con otros dos fallos para escalar hasta acceso root en el appliance. Evaluación de confianza media: se basa en un reporte derivado, no en el aviso oficial de CISA.
• T1505.003 — No confirmado para esta campaña puntual, pero es el patrón de post-explotación documentado en incidentes previos contra el mismo producto. Evaluación de confianza baja: se incluye como hipótesis de persistencia a buscar, no como hecho de este caso.
• T1059 — Corresponde a CVE-2026-96951, la inyección de comandos en Windows sumada al mismo catálogo KEV.

title: Possible Ivanti Connect Secure Auth Bypass Probing
status: experimental
logsource:
    category: proxy
    product: ivanti_connect_secure
detection:
    selection:
        cs-uri-path|contains:
            - '/dana-na/'
            - '/dana-ws/'
            - '/dana-admin/'
        sc-status: 200
    filter_known_admin:
        c-ip|cidr: '0.0.0.0/0'
    condition: selection and not filter_known_admin
fields:
    - c-ip
    - cs-uri-path
    - sc-status
    - time-taken
falsepositives:
    - Accesos administrativos legítimos desde IPs no incluidas en la lista blanca
    - Escaneos de vulnerabilidad autorizados
level: high

CommonSecurityLog
| where DeviceVendor == "Ivanti" or Activity has_any ("dana-na", "dana-admin", "dana-ws")
| where DestinationPort in (443, 8443)
| summarize Intentos = count(), IPs = make_set(SourceIP) by bin(TimeGenerated, 1h), RequestURL
| where Intentos > 20
| order by Intentos desc

index=proxy sourcetype=ivanti_cs OR sourcetype=cisco:asa
(uri_path="*dana-na*" OR uri_path="*dana-admin*" OR uri_path="*dana-ws*")
| stats count by src_ip, uri_path, status
| where count > 20

Fuentes

• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-13
• CISACISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure · 2026-10-13
• The Hacker NewsCISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts · 2026-10-14
• The Hacker NewsAttacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far · 2026-10-13
• CISABinding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk · 2026-10-13
• CVE.orgCVE-2026-104935 — Ivanti Connect Secure Authentication Bypass by Spoofing · 2026-10-13
• CVE.orgCVE-2026-96951 — Microsoft Windows Command Injection Vulnerability · 2026-10-13

Relacionado