Ivanti Connect Secure sufre una vulnerabilidad de día cero para robar credenciales de Active Directory.

Los atacantes encadenaron tres vulnerabilidades de día cero en los dispositivos VPN Ivanti Connect Secure para obtener acceso de administrador sin iniciar sesión, y luego buscaron credenciales y datos confidenciales de Active Directory.

La actividad, que comenzó el 3 de octubre de 2026, tuvo como objetivo un dispositivo completamente actualizado con la versión 22.8R2.4, lo que demuestra que mantener un dispositivo actualizado no lo protegía de estas vulnerabilidades hasta entonces desconocidas.

Volexity descubrió la intrusión mientras investigaba actividad sospechosa en un cliente y colaboró ​​con Ivanti para examinar el dispositivo afectado. La empresa de seguridad identifica al atacante, hasta entonces desconocido, como UTA0576.

Su análisis reveló intentos de robar credenciales de dominio, contraseñas de la Solución de Contraseña de Administrador Local (LAPS), claves de recuperación de BitLocker y otra información del directorio.

Los investigadores de Volexity descubrieron que la cadena combinaba una vulnerabilidad de omisión de autenticación y una vulnerabilidad de escritura de archivos, que Ivanti identifica conjuntamente como CVE-2026-104935, seguidas de una vulnerabilidad de escalada de privilegios independiente.

Los dos primeros problemas permitieron al atacante acceder a un script protegido y ejecutar código como el usuario cgi-server del dispositivo. El tercer fallo permitió a UTA0576 ejecutar comandos como root.

Ivanti publicó una solución para CVE-2026-104935 el 13 de octubre, mientras que la solución al problema de escalada de privilegios se mantuvo en desarrollo para una futura actualización.