Acceso raíz sin autenticación conseguido mediante exploits de Ivanti Connect Secure
Los atacantes están encadenando múltiples vulnerabilidades de Ivanti Connect Secure para obtener control total del sistema sin necesidad de autenticación. CISA añade dos de estas vulnerabilidades activamente explotadas a su catálogo KEV.
Resumen
- Tres fallos en Ivanti Connect Secure están siendo encadenados para obtener acceso root sin autenticación.
- CISA añade CVE-2026-111357 y otro fallo a su lista de Vulnerabilidades Conocidas Explotadas.
- La explotación está ocurriendo en entornos reales, lo que exige acción urgente por parte de las organizaciones.
- Las vulnerabilidades permiten a los atacantes evitar la autenticación y escalar privilegios.
- Las organizaciones que usan Ivanti ICS deben aplicar parches y vigilar actividades sospechosas.
Los actores de amenazas están explotando activamente una cadena de tres vulnerabilidades en Ivanti Connect Secure (ICS), permitiéndoles obtener acceso no autenticado con privilegios de root en sistemas afectados. Este grave vector de ataque ha llevado a la Agencia de Seguridad Cibernética e Infraestructura de EE.UU. (CISA) a incluir dos de las vulnerabilidades implicadas en su catálogo de Vulnerabilidades Conocidas Explotadas (KEV).
Las organizaciones que dependen de las soluciones seguras de acceso remoto de Ivanti deben actuar rápidamente para evaluar su exposición e implementar las mitigaciones necesarias. La explotación no requiere autenticación previa, lo que hace especialmente peligrosa esta amenaza para los sistemas expuestos.
Detalles de las vulnerabilidades
- CVE-2026-111357 es un fallo por falta de autenticación con una puntuación CVSS de 8.8.
- El segundo fallo incluido en la lista KEV permite escalar privilegios tras el acceso inicial.
- Una tercera vulnerabilidad no divulgada completa la cadena de explotación para conseguir acceso root.
- Las tres vulnerabilidades pueden ser aprovechadas sin requerir credenciales válidas de inicio de sesión.
Impacto y recomendaciones
- Las organizaciones afectadas enfrentan riesgos de compromiso completo del sistema y puertas traseras persistentes.
- CISA insta a aplicar parches de inmediato y monitorear la red en busca de signos de explotación.
- Los administradores deberían revisar registros en busca de patrones de acceso no autorizados.
- Estrategias de defensa en profundidad, como la segmentación de red, pueden limitar el impacto.
- Las organizaciones deben validar que los parches se han aplicado correctamente y probar posibles regresiones.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.