Una vulnerabilidad de omisión de autenticación recientemente divulgada en Ivanti Connect Secure ya se está utilizando en ataques, y CISA insta a las organizaciones a actuar con rapidez. Registrada como CVE-2026-104935, la falla está calificada como de alta severidad, y un analista citado en la cobertura de Cyber Daily la describe como "increíblemente simple" de explotar. Si su organización utiliza esta puerta de enlace VPN, el parche para el zero-day de Ivanti Connect Secure debería pasar al primer lugar de su lista.
Los detalles públicos aún son limitados, por lo que esta publicación se limita a lo que se ha reportado y se centra en pasos prácticos que puede tomar.
Qué es CVE-2026-104935 y por qué se está explotando
CVE-2026-104935 es una omisión de autenticación en Ivanti Connect Secure. En términos simples, una omisión de autenticación permite a un atacante superar el paso de inicio de sesión que se supone mantiene a los externos alejados de un sistema. En lugar de robar una contraseña o engañar a un usuario, el atacante omite la verificación por completo.
Dos detalles explican por qué esto está atrayendo atención. Primero, la falla se describe como un zero-day que los atacantes ya han aprovechado. Segundo, un analista la calificó como "increíblemente simple" de explotar. Los errores simples que no requieren credenciales y poca habilidad tienden a propagarse rápidamente, porque más atacantes pueden usarlos y el escaneo automatizado se vuelve práctico.
CISA ha instado a actuar con rapidez. El artículo fuente no nos brinda más detalles técnicos específicos, como números de versiones afectadas o la identidad de los atacantes, así que consulte el aviso oficial de Ivanti para esos detalles en lugar de confiar en resúmenes de segunda mano.
¿Está afectada su puerta de enlace VPN? Cómo buscar señales de compromiso
Comience por lo básico: confirme si utiliza Ivanti Connect Secure, incluidos los dispositivos antiguos u olvidados en sucursales, entornos de prueba o implementaciones en la nube. Las puertas de enlace no gestionadas suelen ser las que quedan sin parchear.
Luego compare su versión instalada con las versiones enumeradas en el aviso de Ivanti. Si se encuentra en un rango afectado, asuma que el dispositivo está en riesgo hasta que se actualice.
Debido a que según los informes los ataques están en curso, parchear por sí solo puede no ser suficiente. Una omisión que fue explotada antes de que existiera una solución podría haber dejado rastros. Los pasos razonables incluyen:
- Revisar los registros de autenticación y de administración en busca de inicios de sesión inesperados, especialmente desde direcciones IP desconocidas o en horarios inusuales.
- Buscar cuentas nuevas o modificadas, cambios de configuración o archivos desconocidos en el dispositivo.
- Ejecutar cualquier herramienta de verificación de integridad que proporcione el proveedor y seguir sus indicaciones sobre qué significan los resultados.
- Comprobar si la interfaz de administración es accesible desde internet público cuando no necesita serlo.
Si encuentra algo sospechoso, trátelo como un incidente: aísle el dispositivo, preserve los registros y siga las indicaciones del proveedor y de CISA antes de volver a ponerlo en línea.
Pasos de parcheo y mitigación siguiendo las indicaciones de CISA
La instrucción más clara es aplicar la solución del proveedor tan pronto como esté disponible para su versión. El llamado de CISA a actuar con rapidez indica que esperar a una ventana de mantenimiento rutinaria es una opción riesgosa en este caso.
Una secuencia práctica sería así:
- Aplique la actualización. Instale el parche proporcionado por Ivanti o siga cualquier mitigación provisional que publique el proveedor si aún no hay una solución disponible para su versión.
- Restrinja la exposición. Limite el acceso de administración a redes de confianza y, cuando sea posible, coloque controles adicionales delante de la puerta de enlace.
- Rote las credenciales si se sospecha compromiso. Esto incluye las cuentas locales y cualquier secreto almacenado en el dispositivo o accesible a través de él.
- Monitoree después. Mantenga un registro elevado durante un período después del parcheo, ya que una intrusión anterior puede no manifestarse de inmediato.
- Documente y reporte. Registre lo que encontró e hizo, y siga cualquier obligación de notificación que aplique a su organización.
Para conocer las versiones exactas del parche y los pasos de mitigación, recurra directamente a Ivanti y a CISA, ya que esas instrucciones pueden actualizarse a medida que evoluciona la situación.
Por qué los dispositivos VPN son objetivos de alto valor
Las puertas de enlace VPN se sitúan en el borde de una red, enfrentándose a internet por diseño. Eso las hace accesibles para cualquiera, y un compromiso exitoso puede ofrecer una ruta directa a los sistemas internos. A los atacantes también les gustan porque estos dispositivos suelen ejecutarse con privilegios amplios y pueden manejar credenciales de muchos usuarios.
Los dispositivos de borde también pueden ser más difíciles de monitorear que las computadoras portátiles o los servidores, ya que pueden no admitir los mismos agentes de seguridad. Esa brecha les da a los atacantes más tiempo para operar sin ser detectados. El patrón es parte de un cambio más amplio en el que los atacantes van tras la infraestructura que protege el acceso, un tema que también aparece en nuestro análisis de cómo la IA está pasando de ser un ayudante del atacante a un operador autónomo en campañas de espionaje recientes, donde la velocidad y la escala favorecen al atacante.
Qué significa esto para usted
Si administra Ivanti Connect Secure, esta es una tarea urgente: identifique sus dispositivos, aplique el parche y busque señales de compromiso. No asuma que un registro silencioso significa un dispositivo limpio.
Si es empleado o usuario remoto de la VPN de una empresa, no puede parchear la puerta de enlace usted mismo, pero puede preguntar a su equipo de TI si está afectada y si se ha aplicado la solución. Use contraseñas fuertes y únicas y autenticación multifactor en sus cuentas, y reporte cualquier solicitud de inicio de sesión inesperada o alerta de cuenta. Tenga en cuenta que una omisión de autenticación puede eludir los inicios de sesión, por lo que estos hábitos reducen el riesgo pero no reemplazan el parcheo.
Si utiliza un servicio VPN de consumo, este problema específico concierne al producto empresarial de Ivanti, no a las aplicaciones de consumo. Aun así, es un recordatorio útil de que cualquier sistema de acceso remoto expuesto a internet necesita actualizaciones periódicas.
Puntos clave
- Trate el parche para el zero-day de Ivanti Connect Secure CVE-2026-104935 como urgente, ya que según los informes los ataques ya están ocurriendo.
- Confirme cuáles de sus puertas de enlace ejecutan Ivanti Connect Secure y compare sus versiones con el aviso de Ivanti.
- Revise los registros y la integridad del dispositivo en busca de señales de compromiso, incluso después del parcheo.
- Siga las indicaciones de CISA y las instrucciones oficiales de Ivanti a medida que se actualicen.
- Aproveche este momento para revisar cómo su organización protege la infraestructura de acceso remoto, incluida la exposición de las interfaces de administración y el monitoreo de los dispositivos de borde.
Parchee primero, investigue después y siga vigilando: ese orden le da la mejor oportunidad de mantenerse un paso adelante en este caso.
