Qué hacer
esta semana 16 de octubre de 2026
critica · global

Cadena de zero-days da root en Ivanti pese al parche

Un actor identificado por Volexity como UTA0576 encadenó tres vulnerabilidades en Ivanti Connect Secure (ICS) para obtener ejecución de código como root sin autenticación, incluso contra un appliance que corría la versión 22.8R2.4 completamente parchada al momento del ataque.

Esta semana — prioridad 1

Actualizar todos los appliances ICS a 22.8R2.5, 25.1.1.2, 25.1.3.0 o 25.1.3.1 de forma urgente, fuera del ciclo normal de parches esfuerzo medio · attack M1051 · cis 7.1 · iso27001 A.8.8
Capturar memoria y tráfico de red de cualquier appliance expuesto desde el 1 de octubre, antes de reiniciar o actualizar esfuerzo medio · cis 8.9 · iso27001 A.5.28
Rotar credenciales alcanzables desde el appliance: cuentas de servicio de la VPN, contraseñas LAPS, llaves de recuperación BitLocker esfuerzo medio · attack M1026 · cis 5.3 · iso27001 A.5.17

Este mes — prioridad 2

Reenviar logs del appliance a un colector externo en tiempo real, dado que el payload borra entradas locales tras la explotación esfuerzo bajo · cis 8.2 · iso27001 A.8.15
Restringir el acceso de gestión del portal a rangos de IP conocidos y segmentar la red del appliance respecto a los controladores de dominio esfuerzo medio · attack M1030 · cis 12.2 · iso27001 A.8.22

Indicadores a bloquear

Tipo	Indicador
header_http	X-DSCGI-PATH
ruta_archivo	/home/runtime/tmp/<hash_MD5_del_nombre_de_archivo_subido>
directorio	.icscap (directorio oculto usado para captura de paquetes vía dsstatmond)

Qué necesitas tener logueado

Logs de acceso web del portal ICS, reenviados por syslog a un colector externo (los logs locales son borrados selectivamente por el payload)
Logs de WAF o proxy reverso ubicado delante del appliance, si existe, capturando encabezados HTTP personalizados
Logs de autenticación de Active Directory (eventos LDAP/Kerberos, password spraying)
NetFlow/firewall para identificar ráfagas de solicitudes paralelas hacia el appliance consistentes con explotación de condición de carrera

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/ivanti-connect-secure-cadena-zero-day-root-vpn-parchada/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.