Una cadena de exploits en Ivanti Connect Secure da acceso root sin autenticación

Dos vulnerabilidades más de Ivanti Connect Secure (ICS) quedan confirmadas oficialmente como explotadas activamente. El 30 de octubre de 2026, la agencia estadounidense CISA (Cybersecurity and Infrastructure Security Agency) incorporó CVE-2026-111357 y CVE-2026-118527 a su catálogo Known Exploited Vulnerabilities (KEV). Ambas forman parte de una cadena de tres pasos que permite a un atacante sin credenciales acabar ejecutando código como root en la pasarela VPN.

Qué ha pasado

Los dos fallos completan una cadena cuyo primer eslabón, la omisión de autenticación CVE-2026-104935 (CVSS 8,6), se hizo pública y entró en KEV el 13 de octubre de 2026. La actividad se sigue bajo la denominación UTA0576, un grupo sin historial documentado previamente.

• CVE-2026-104935 (CVSS 8,6): omisión de autenticación, la puerta de entrada.
• CVE-2026-118527 (CVSS 4,3): identificadores predecibles permiten a un atacante autenticado escribir archivos con contenido elegido en una ubicación conocida del disco. En la cadena, se convierte en el paso de ejecución de código.
• CVE-2026-111357 (CVSS 8,8): una función crítica no comprueba la autenticación, de modo que un usuario local autenticado puede escalar privilegios. Así se llega a root.

Por sí sola, la escritura de archivos de severidad media parece menor. Encadenada tras una omisión de autenticación, se convierte en el puente hacia el control total del equipo.

Por qué importa

Este operador no despliega web shells ni malware. Una vez con root, recopila discretamente lo que le resulta útil: credenciales almacenadas, metadatos limitados de Active Directory, información de reconocimiento del host, contraseñas de administrador y claves de recuperación de BitLocker. Eso hace la intrusión más difícil de detectar y más dañina. Una pasarela VPN comprometida se convierte en un inventario de las llaves del resto de la red.

Ivanti priorizó publicar la corrección de la omisión de autenticación, que corta la principal vía de explotación, mientras los parches para la escalada de privilegios seguían en desarrollo. Esos parches ya están disponibles. Las últimas versiones corrigen todos los fallos de la cadena. Las agencias civiles federales de EE. UU. deben parchear CVE-2026-111357 antes del 2 de noviembre de 2026 y CVE-2026-118527 antes del 13 de noviembre de 2026.

Qué hacer

1. Actualice ya. ICS 25.1.1.2 y anteriores → 25.1.1.3. ICS 22.8R2.5 y anteriores → 22.8R2.6. Si aún no ha corregido CVE-2026-104935, trátelo como una emergencia.
2. Asuma que la pasarela pudo ser utilizada. La ausencia de web shells no demuestra nada aquí. Revise los registros de ICS en busca de sesiones autenticadas inusuales, escrituras de archivos inesperadas y actividad administrativa desde principios de octubre.
3. Rote todo lo que el equipo pudiera alcanzar. Cambie las credenciales de cuentas de servicio y de administrador usadas o almacenadas en la pasarela y regenere las claves de BitLocker de los equipos cuyas claves de recuperación pudieran ser accesibles.
4. Vigile Active Directory. Busque enumeración del directorio e inicios de sesión nuevos procedentes de la dirección del equipo VPN.
5. No exponga las interfaces de administración a internet. Restrínjalas a una red de administración dedicada.

Los equipos perimetrales como ICS están entre los activos más atacados de una organización y suelen ser los últimos en actualizarse. Nuestro servicio de escaneo de vulnerabilidades identifica pasarelas VPN y de acceso remoto expuestas a internet con versiones desactualizadas y señala las afectadas por CVE explotados activamente, para que un equipo expuesto se detecte y corrija antes de que llegue un atacante.