Ivanti Connect Secure: tres fallos encadenados dan root sin autenticar

La seguridad de los accesos remotos vuelve a estar en el punto de mira. La agencia estadounidense CISA ha incorporado dos vulnerabilidades que afectan a Ivanti Connect Secure a su catálogo de fallos explotados activamente (KEV), después de que se haya confirmado su uso real en ataques. El aviso llega con una particularidad que eleva la gravedad: los atacantes no necesitan una sola brecha, sino que encadenan tres fallos para alcanzar privilegios de root sin autenticarse previamente en el sistema.

Qué ha pasado exactamente

Según la información publicada, la lista de vulnerabilidades incluye al menos una con una puntuación CVSS de 8.8, descrita como una falta de autenticación en una función crítica. Es decir, una parte del producto que debería exigir credenciales no las está validando correctamente, lo que abre la puerta a que un actor malicioso interactúe con el sistema sin identificarse. A partir de ahí, el encadenamiento con otros dos defectos permite escalar hasta el control total del dispositivo.

Conviene detenerse en el matiz: no estamos ante un fallo aislado de una versión concreta, sino ante una secuencia de explotación. Esto complica la detección, porque un intento de ataque puede parecer tráfico legítimo en varias fases y solo delatarse cuando el tercer eslabón se activa. Para un equipo de IT con recursos limitados, esa es la peor combinación posible: impacto alto y visibilidad baja.

Por qué importa a una pyme

Ivanti Connect Secure es una puerta de entrada VPN corporativa. Y ahí está el problema: no es un servidor cualquiera en un rincón de la red, sino el punto por el que pasan los empleados que trabajan en remoto, los proveedores y, en muchos casos, las conexiones entre sedes. Si un atacante obtiene root en ese dispositivo, no solo compromete el appliance: se sitúa en una posición privilegiada para observar y moverse lateralmente hacia el resto de la infraestructura.

Para una pyme, esto se traduce en un riesgo muy concreto. Muchas organizaciones pequeñas externalizan la gestión de su VPN o la configuran una vez y la olvidan. Si el equipo que la mantiene no está revisando avisos de seguridad con regularidad, un fallo de este tipo puede pasar semanas desapercibido. Y no hace falta ser un objetivo prioritario: los atacantes automatizan el escaneo de este tipo de dispositivos porque saben que están expuestos a internet.

Un appliance VPN comprometido no es un incidente perimetral: es una llave maestra dentro de tu red.

Qué recomendamos hacer

1. Identifica si tienes Ivanti Connect Secure en producción. A veces el inventario no está actualizado y el dispositivo lo gestiona un tercero. Pregunta explícitamente a tu proveedor.
2. Aplica las actualizaciones disponibles cuanto antes. Cuando CISA incluye un fallo en KEV, la explotación ya está ocurriendo. No esperes a la ventana de mantenimiento trimestral.
3. Revisa los registros de acceso de los últimos días. Busca autenticaciones anómalas, sesiones desde ubicaciones inesperadas o cambios de configuración no planificados.
4. Rota credenciales y certificados del dispositivo si sospechas que ha podido estar expuesto. Un root no autenticado implica que las claves almacenadas pueden estar en manos ajenas.
5. Comprueba la integridad del sistema con las herramientas que el fabricante recomiende para detectar modificaciones persistentes.

El contexto: la seguridad como proceso, no como parche

Este caso encaja con una tendencia que venimos observando en el blog: la superficie de ataque se desplaza hacia los componentes que damos por seguros. Igual que comentamos al hablar de las falsas apps de ChatGPT y Claude que instalan mineros, el eslabón débil rara vez es el más visible. Aquí ocurre lo mismo: el dispositivo VPN se instala, se configura y se olvida, pero sigue siendo una puerta expuesta a internet las 24 horas.

La lección para un equipo de IT pequeño es doble. Por un lado, mantener un inventario vivo de todos los servicios publicados hacia fuera, con responsable asignado y fecha de última revisión. Por otro, asumir que los avisos de CISA son una señal de acción inmediata, no un boletín informativo. La diferencia entre reaccionar en 24 horas o en tres semanas puede ser la diferencia entre un susto y un incidente con datos comprometidos.

Si tu organización no tiene capacidad para monitorizar este tipo de avisos de forma continua, quizá sea el momento de plantear un servicio gestionado de detección y respuesta. No se trata de comprar más herramientas, sino de garantizar que alguien con criterio está mirando lo que importa cuando importa.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.