Ivanti Connect Secure: corregir CVE-2026-104935 e investigar compromisos anteriores

Qué es

Estado al 25 de octubre de 2026. CVE-2026-104935 es una elusión de autenticación que permite ejecutar comandos sin autenticarse en Ivanti Connect Secure. Este artículo utiliza la alerta de CISA y las actualizaciones de seguridad de Ivanti del 13 de octubre de 2026. Antes de corregirla, volver a consultar el boletín del proveedor, las rutas de actualización compatibles con el hardware y la corrección independiente de escalada de privilegios. La actualización de octubre de Ivanti aún describía esa corrección adicional como pendiente de publicación; este artículo no afirma que se haya corregido toda la cadena de ataque descrita. Actualización de Ivanti.

Por qué importa

CISA informa de robo de credenciales y exfiltración de datos, y confirma que la vulnerabilidad se incorporó a su catálogo de vulnerabilidades explotadas conocidas el 13 de octubre de 2026. Los comandos pueden ejecutarse en memoria, por lo que un resultado de Integrity Checker Tool (ICT) no permite descartar la explotación. Para investigar esa posibilidad hace falta un análisis forense de red y memoria. Alerta de CISA.

Una explicación anterior de Ivanti sobre ICT distingue las comparaciones de integridad de archivos de la detección de malware: el paquete externo compara archivos y hashes específicos de cada versión, y las comprobaciones internas y externas complementan la supervisión continua. Esas recomendaciones históricas explican las herramientas; sus antiguas instrucciones de parcheo específicas de aquel incidente no son las instrucciones de recuperación para esta vulnerabilidad. Preguntas frecuentes sobre ICT.

Cómo aplicarlo

• Registrar la rama de software instalada en cada dispositivo y su exposición. CISA enumera 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores dentro de las ramas afectadas. No convertir estas indicaciones específicas de cada rama en un único intervalo numérico que abarque todas las versiones.
• Seleccionar una corrección compatible. Ivanti enumera 25.1.1.2, 25.1.3.0, 25.1.3.1 y 22.8R2.5, según la rama de software. Confirmar la ruta de migración admitida por el dispositivo antes de elegir una imagen. Son correcciones para esta CVE, no una declaración de que se hayan resuelto todas las vulnerabilidades. Resumen de versiones del proveedor.
• Conservar las pruebas junto con el equipo de respuesta a incidentes antes de una recuperación que altere el sistema. Si Neurons for Secure Access administra la pasarela, utilizar Administration > Tenant Logs para revisar los registros de administradores y eventos y exportarlos. Registrar las actualizaciones, los cambios de configuración y los reinicios sin explicación para investigarlos. El control documentado para exportar registros es Export Logs. Guía de administración.
• Ejecutar la ICT interna que corresponda y la ICT externa actual. En el mismo servicio de administración, seleccionar Administration > Integrity Checker Tool, seleccionar la pasarela y después Scan now. Guardar el informe y la instantánea disponible. Confirmar que realmente se haya completado un análisis; un historial de análisis vacío no equivale a un resultado limpio. Pedir al soporte que interprete las anomalías.
• Si se sospecha un compromiso, seguir la secuencia de recuperación de CISA: hacer una copia de seguridad de la configuración, restablecer el hardware a los valores de fábrica o reconstruir la instancia virtual o en la nube, actualizar y restaurar la configuración. Restablecer las contraseñas de dominio, de administrador y de cuentas locales; revocar y volver a emitir los certificados almacenados; sustituir las claves de API y las credenciales del servidor de licencias almacenadas. Recomendaciones de recuperación.
• Tras la recuperación, verificar la versión instalada, repetir las comprobaciones de integridad que correspondan y continuar supervisando la red y revisando los registros. Ivanti considera explícitamente que el parcheo es una parte de la validación continua de la integridad del dispositivo. Actualización de seguridad.

Trampas

Una anomalía de integridad requiere investigación, mientras que un análisis limpio no demuestra que nunca haya habido un compromiso. Mantener la conclusión forense separada del registro de actualización. No reutilizar instrucciones de parcheo o restablecimiento de un incidente anterior de Ivanti sin comprobar el aviso actual y el tipo de despliegue.