Introducción
Las soluciones VPN de acceso remoto ocupan una posición arquitectónica singular dentro de los sistemas de información: autentican a los usuarios y, por tanto, tienen acceso al directorio corporativo. Precisamente esa posición privilegiada fue la que aprovechó un grupo de atacantes, rastreado bajo el nombre UTA0576, encadenando tres vulnerabilidades zero-day en Ivanti Connect Secure.
El 30 de octubre de 2026, la CISA incorporó dos nuevas entradas a su catálogo KEV: CVE-2026-111357 y CVE-2026-118527. Ambas completan una cadena cuyo primer eslabón, CVE-2026-104935, había recibido parche el 13 de octubre. Ivanti publicó finalmente las correcciones para toda la cadena el 29 de octubre, lo que dejó una ventana de exposición adicional de más de dos semanas durante las cuales los ataques continuaron activos.
Tres CVE para un acceso root no autenticado
La secuencia opera en tres pasos sobre un appliance completamente actualizado en el momento del ataque inicial. CVE-2026-104935 (CVSS 8.6) es un bypass de autenticación que permite la ejecución remota de comandos sin credenciales. CVE-2026-118527 (CVSS 4.3), engañoso por su puntuación individual, introduce previsibilidad en la generación de identificadores, lo que permite al atacante depositar archivos en una ubicación conocida. CVE-2026-111357 (CVSS 8.8) cierra la secuencia con una escalada de privilegios hasta root.
Esta cadena ilustra una lección crítica para los equipos de seguridad: las vulnerabilidades de puntuación moderada pueden volverse críticas cuando se combinan. Un proceso de gestión de parches que priorice exclusivamente los CVSS más altos habría podido dejar CVE-2026-118527 al final de la cola, lo que habría bastado para mantener la cadena completamente explotable.
La cuenta de servicio VPN, puerta trasera hacia el directorio
Una vez con acceso root al appliance, UTA0576 no necesitó exploits adicionales para avanzar. Los atacantes utilizaron lo que la propia solución ya tenía: una cuenta de servicio de Active Directory, indispensable para autenticar a los usuarios VPN mediante LDAP.
Desde esa cuenta legítima, extrajeron información altamente sensible sin atacar el Active Directory de forma directa: contraseñas LAPS (Local Administrator Password Solution), claves de recuperación de BitLocker, registros de autenticación con nombres de usuario válidos y hashes aprovechables para ataques de password spraying. El appliance de red operaba como un actor interno malintencionado, con los permisos que la propia organización le había concedido.
Implicaciones para la gestión de equipos de red
Este incidente pone de manifiesto un punto ciego frecuente en la gobernanza de accesos: los appliances de red raramente están sujetos a los mismos controles que los servidores o los endpoints. Sus cuentas de servicio, sus permisos LDAP y sus accesos a los controladores de dominio no suelen aparecer en los mapas de riesgos ni en las revisiones periódicas de accesos.
Las versiones corregidas de Ivanti Connect Secure son la 25.1.1.3 y la 22.8R2.6. La CISA fijó el 2 de noviembre como fecha límite de remediación para CVE-2026-111357, y el 13 de noviembre para CVE-2026-118527, aplicable a las agencias federales estadounidenses. Más allá del parche, tanto el fabricante como los investigadores recomiendan verificar si los dispositivos fueron comprometidos antes de aplicar la actualización: UTA0576 llevaba varias semanas operando antes de que se publicaran las correcciones completas.
Para las organizaciones que utilizan Ivanti Connect Secure, actualizar a las versiones corregidas es la prioridad inmediata. El trabajo estructural de fondo consiste en auditar los permisos asignados a las cuentas de servicio de todos los equipos de red. Cuando un appliance puede leer un directorio Active Directory completo, merece el mismo nivel de vigilancia que un servidor de producción.