Zero-day de Ivanti Connect Secure: la lección para WireGuard

Noticia breve, 18 de octubre de 2026. Artículo original: Cybernews, 16 de octubre de 2026 (en inglés).

Unos atacantes encadenaron tres vulnerabilidades zero-day en Ivanti Connect Secure (ICS), el dispositivo VPN SSL que muchas empresas ponen delante de su red, para conseguir ejecución de código como root sin autenticación en equipos totalmente actualizados. Cybernews informó el 16 de octubre de que CISA pide parchear ya, y de que uno de los tres fallos sigue sin solución.

Qué ha pasado

• Desde el 3 de octubre de 2026, un actor hasta ahora desconocido, identificado como UTA0576, explotó la cadena en entornos reales, según Volexity, que la encontró en un equipo con la 22.8R2.4, la última versión en ese momento.
• La cadena combina una omisión de autenticación, una ejecución remota de código y una escalada de privilegios. Las dos primeras se registran como CVE-2026-104935.
• 13 de octubre: Ivanti avisa a sus clientes y CISA añade CVE-2026-104935 a su catálogo KEV, con plazo de corrección el 16 de octubre para las agencias federales de EE. UU.
• Ivanti dice que encontró parte del fallo en sus propias pruebas y lo corrigió en la versión de julio 25.1.3.0, pero aún estaba llevando el parche al resto de versiones soportadas cuando empezó la explotación.
• Volexity vio al atacante ir a por credenciales de Active Directory, contraseñas LAPS y claves de recuperación de BitLocker. No dejó ninguna web shell: volvía a explotar el equipo para cada comando y manipulaba los registros.

Si usas Ivanti Connect Secure

1. Aplica ya la actualización de Ivanti. Versiones señaladas como afectadas: 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, 22.8R2.4 y anteriores.
2. No confíes solo en la Integrity Checker Tool. Volexity explica que el exploit cambia código solo en memoria, así que la comprobación del disco sale limpia. CISA pide análisis forense de red y de memoria.
3. Busca en tus registros peticiones a /dana-na/auth/url_default/welcome.cgi con una cabecera X-DSCGI-PATH. Es el truco del bypass: la URL es una página de inicio de sesión pública y la cabecera apunta a un script que nunca debería ser accesible sin sesión. Yordan Ganchev, de watchTowr, dijo a Cybernews que espera un salto "increíblemente rápido" a la explotación masiva.
4. Da por expuestas las credenciales que pasaron por el equipo si encuentras un rastro: cuentas de AD, LAPS, claves de BitLocker. Cámbialas.

Por qué los dispositivos VPN SSL vuelven una y otra vez a esta lista

Ganchev recuerda que no es la primera vez: Ivanti Connect Secure y su predecesor Pulse Connect Secure ya sumaban otras 14 entradas en el catálogo de CISA. El hilo común es estructural. Un dispositivo VPN SSL ejecuta un servidor web que responde a cualquiera en Internet antes de iniciar sesión: página de login, scripts CGI, análisis de cabeceras, lógica de sesión. Cada una de esas líneas de código está al alcance de un atacante sin cuenta. El bypass de CVE-2026-104935 es un ejemplo de manual: una parte del código confiaba en la URL y otra en una cabecera.

Qué hace distinto un puerto WireGuard

Un servidor WireGuard no tiene página de inicio de sesión. Su puerto UDP solo reacciona a una iniciación de handshake calculada con la clave pública del servidor. Todo lo demás, un escáner, un paquete mal formado o una petición HTTP, se descarta sin respuesta. Un escáner ve un puerto que nunca contesta, igual que uno filtrado por un cortafuegos, y por eso comprobar que tu puerto WireGuard es accesible se hace con un handshake real de cliente y no con un escáner de puertos. La superficie accesible sin clave es un mensaje criptográfico de tamaño fijo, no una aplicación web.

Es una diferencia real, pero no es magia. Conviene ser honesto sobre lo que sigue en tus manos:

• El host sigue necesitando parches. Un servidor WireGuard en un VPS es tan seguro como su SSH, su kernel y todo lo demás que expongas. Mantén cerrado el resto de la máquina.
• Las claves son la identidad. Una clave privada robada permite suplantar a un peer. El caso de la clave WireGuard expuesta en MikroTik muestra que el riesgo se traslada a donde se guardan las claves.
• Sin usuarios, sin MFA, sin SSO. WireGuard por sí solo conoce claves públicas, no personas. Para un equipo que necesita acceso por usuario e inicio de sesión único, un plano de control como Headscale o NetBird añade esa capa sobre WireGuard.
• No es un reemplazo directo de un despliegue de 500 puestos con comprobaciones de cumplimiento. Para un equipo pequeño, un homelab o unos pocos administradores que necesitan entrar en una red, a menudo basta.

Una alternativa pequeña y auditable

Si eres un equipo pequeño y dudas si mantener un dispositivo VPN expuesto a la web, la vía autoalojada cabe en un VPS con IPv4 pública, un puerto UDP y una configuración que puedes leer entera. Nuestro generador de configuración WireGuard, gratuito, escribe en tu navegador archivos de servidor y cliente que encajan, y la guía paso a paso de Contabo + WireGuard cubre la parte del servidor.

Fuentes

• Cybernews, Stefanie Schappert, Ivanti's three-headed zero-day exploited in the wild: CISA says patch now, but one flaw has no fix, 16 de octubre de 2026.
• Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 de octubre de 2026.
• CISA, catálogo Known Exploited Vulnerabilities, entrada CVE-2026-104935 añadida el 13 de octubre de 2026.