Ivanti corrigió otras dos vulnerabilidades de día cero en Connect Secure (ICS), su producto de acceso remoto por VPN, que fueron utilizadas junto con una falla de autenticación. La empresa las incorporó el jueves a su aviso del 13 de octubre, según SecurityWeek, que informó de las correcciones este 2 de noviembre; Ivanti señala que los ataques habían afectado a un número limitado de clientes.

🔒 CVE-2026-111357, con puntuación CVSS de 8.8, permite elevar privilegios a un atacante autenticado con acceso local por la falta de autenticación en una función crítica; era la falla que seguía sin parche cuando se conocieron los ataques a mediados de octubre. CVE-2026-118527, calificada con 4.3, genera identificadores predecibles y permite que un atacante autenticado cargue remotamente archivos con contenido de su elección en una ubicación conocida del disco.

🛠️ Las dos fallas afectan a ICS 25.1.1.2 y anteriores, así como a 22.8R2.5 y anteriores; las correcciones están en 25.1.1.3 y 22.8R2.6 y, según Ivanti, resuelven todas las vulnerabilidades utilizadas en esta cadena. Las versiones 25.1.1.2 y 22.8R2.5 ya habían corregido CVE-2026-104935, el bypass de autenticación, así que haber instalado ese primer parche no evita tener que actualizar otra vez. Ivanti explica que esa corrección estaba en pruebas de calidad cuando descubrió los ataques y decidió distribuirla sin esperar a resolver la escalada de privilegios, porque cerraba la ruta principal de explotación; también había informado que parte de la vulnerabilidad se detectó mediante su programa de seguridad y se corrigió en 25.1.3.0, publicada en julio, mientras trasladaba el arreglo a otras versiones compatibles.

💻 Volexity descubrió la explotación al investigar un incidente de un cliente y la atribuyó a UTA0576, un actor hasta entonces desconocido: observó indicios desde el 3 de octubre, mientras Defused reportó actividad contra sus señuelos desde el 1 de octubre que considera dirigida a CVE-2026-104935. Al encadenar las tres fallas, los atacantes lograron ejecutar código sin autenticarse y con privilegios root en un equipo que estaba completamente actualizado en ese momento, principalmente para robar credenciales, extraer datos, explorar la red y alterar registros. Según BleepingComputer, que recoge los hallazgos de Volexity, no instalaron malware ni una web shell: repetían la explotación para cada comando y manipulaban los registros, evadiendo Integrity Checker Tool de Ivanti; Volexity considera, con baja confianza, que su motivación era criminal y no de espionaje.

📊 CISA incorporó las dos nuevas fallas a su catálogo de vulnerabilidades explotadas, KEV, el viernes: fijó el 2 de noviembre como límite para que las agencias federales estadounidenses atiendan CVE-2026-111357 y el 13 de noviembre para CVE-2026-118527; CVE-2026-104935 figura allí desde el 13 de octubre. Shadowserver contabiliza más de 5,000 instancias de ICS expuestas a internet, aunque no se conoce cuántas ya están protegidas contra estos ataques. BleepingComputer añade que, desde noviembre de 2021, CISA ha registrado 38 vulnerabilidades de Ivanti explotadas activamente, incluidas 12 utilizadas también en ataques de ransomware.

¿Por qué importa si ya habías actualizado?

Para quienes administran estas VPN, el detalle clave es la versión instalada, no solamente haber aplicado un parche en octubre: las dos primeras versiones corregidas todavía necesitaban estos nuevos arreglos. Además, los atacantes aprovecharon equipos que estaban al día cuando ocurrió la intrusión, y la ausencia de malware instalado no significó ausencia de actividad maliciosa.

No es el primer episodio de este tipo para Ivanti, cuyas fallas suelen ser una vía de entrada a redes empresariales para sustraer información corporativa y de clientes. Estos son los antecedentes que recoge BleepingComputer:

  • A principios de enero de 2024 corrigió la inyección de comandos CVE-2024-21887 y el bypass de autenticación CVE-2023-46805; dos semanas después atendió CVE-2024-21893, una falla de falsificación de solicitudes del lado del servidor.
  • En enero de 2025 corrigió CVE-2025-0282, una vulnerabilidad de ejecución remota de código.
  • Posteriormente corrigió otra falla de ejecución remota, CVE-2025-22457, explotada por atacantes estatales vinculados con China desde al menos mediados de marzo de 2025.
  • La empresa tiene más de 3,000 empleados, una red de más de 7,000 socios y más de 40,000 clientes de sus soluciones de gestión de activos de TI en el mundo.

💬 Si administras una VPN empresarial, ¿cómo compruebas que una actualización cubre toda la cadena de ataque y no solamente la primera falla anunciada?

¿Pero deveras? 🌵💚