CISA de EE. UU. añade vulnerabilidades de Ivanti Connect Secure a su catálogo de Vulnerabilidades Conocidas Explotadas

⟫ 31/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**Vulnerabilidades Críticas en Ivanti Connect Secure: Un Llamado a la Acción de CISA**

La ciberseguridad es una preocupación creciente en la actualidad, y la reciente inclusión de vulnerabilidades en Ivanti Connect Secure en el catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de la Agencia de Seguridad Cibernética e Infraestructura de EE. UU. (CISA) ha puesto en alerta a empresas y organismos gubernamentales. Estas vulnerabilidades no solo afectan a los dispositivos VPN de Ivanti, sino que también representan una amenaza significativa para la seguridad de las redes corporativas y gubernamentales en todo el país. Dada la naturaleza de las brechas de seguridad, el riesgo se extiende a la privacidad de los datos y a la integridad de la información sensible.

Las vulnerabilidades identificadas forman parte de una cadena de explotación que fue documentada por la firma de ciberseguridad Volexity a mediados de octubre de 2026. Según Volexity, se ha identificado la explotación activa en el entorno real de una cadena de vulnerabilidades que permite la ejecución remota de código no autenticado en los dispositivos VPN de Ivanti Connect Secure. La empresa ha instado a los clientes de Ivanti a realizar investigaciones forenses en sus sistemas si detectan signos de compromiso, especialmente intentos de movimiento lateral que provengan de los dispositivos VPN ICS.

Los ataques han combinado estas vulnerabilidades con una falla de omisión de autenticación, que ha sido registrada como CVE-2026-104935, con un puntaje CVSS de 8.6. En octubre de 2026, Volexity descubrió que un actor de amenazas, conocido como UTA0576, estaba explotando una cadena de vulnerabilidades de día cero para comprometer dispositivos VPN Ivanti Connect Secure completamente actualizados. Esta cadena de ataques incluía fallos de omisión de autenticación, ejecución remota de código y escalada de privilegios, lo que permitía a los atacantes obtener acceso de root sin necesidad de iniciar sesión.

Una vez que los atacantes lograban acceder al sistema, sus objetivos se centraban en las credenciales de Active Directory y otra información sensible, como contraseñas LAPS y claves de recuperación de BitLocker. Volexity colaboró con Ivanti en cuanto sospechó que las vulnerabilidades estaban siendo explotadas, lo que subraya la importancia de la cooperación entre las empresas de ciberseguridad y los proveedores de software.

El 13 de octubre de 2026, CISA añadió la vulnerabilidad CVE-2026-104935 al catálogo de Vulnerabilidades Conocidas Explotadas (KEV), lo que forzó a Ivanti a actuar rápidamente. La empresa lanzó actualizaciones de seguridad para abordar tanto CVE-2026-111357 como CVE-2026-118527. Ivanti explicó que decidió divulgar primero CVE-2026-104935 porque ya contaba con una solución disponible y lista para pruebas. Cuando se descubrieron las fallas adicionales de escalada de privilegios, la compañía optó por no retrasar la publicación del primer parche, que abordaba el método de ataque principal.

Es importante destacar que Ivanti ya había solucionado parte del problema en su versión 25.1.3.0 lanzada el 25 de julio y se encontraba preparando actualizaciones para otras versiones soportadas. Actualmente, los parches están disponibles para todas las vulnerabilidades utilizadas en estos ataques.

Ivanti ha declarado: “En el momento del descubrimiento de la explotación, teníamos un arreglo desarrollado para CVE-2026-104935 que ya estaba en calidad de aseguramiento para las versiones soportadas, y tomamos la decisión de no retrasar la entrega de una solución a los clientes que resolviera la ruta de explotación primaria cuando se descubrió la LPE. Por esto, nuestro enfoque se centró inicialmente en la divulgación de CVE-2026-104935 y en proporcionar protección a nuestros clientes lo más rápido posible”. Además, la empresa colaboró con Volexity en su publicación de blog, que proporcionó información útil para ayudar a los defensores a entender el comportamiento de los actores de amenazas conocidos, incluyendo cómo encadenaron las vulnerabilidades de escalada de privilegios locales.

De acuerdo con la Directiva Operativa Vinculante (BOD) 22-01: Reducción del Riesgo Significativo de Vulnerabilidades Conocidas Explotadas, las agencias del FCEB deben abordar las vulnerabilidades identificadas para proteger sus redes de ataques que exploten las fallas en el catálogo. Los expertos también aconsejan a las organizaciones privadas que revisen este catálogo y aborden las vulnerabilidades en su infraestructura.

CISA ha ordenado a las agencias federales que corrijan CVE-2026-111357 antes del 2 de noviembre de 2026, y CVE-2026-118527 antes del 13 de noviembre de 2026. Esto no solo resalta la urgencia de la situación, sino que también pone de manifiesto la necesidad de una respuesta proactiva en un panorama de amenazas cibernéticas cada vez más sofisticado y agresivo.

La colaboración entre empresas de ciberseguridad y proveedores de software, así como la rápida respuesta a vulnerabilidades críticas, son esenciales para proteger la información sensible y mantener la integridad de las redes en un mundo digital que enfrenta constantes desafíos.

◢ VULNERABILIDADES ◣

U.S. CISA adds Ivanti Connect Secure flaws to its Known Exploited Vulnerabilities catalog

⟫ 31/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

The U.S. Cybersecurity and Infrastructure Security Agency (CISA)addedthe following Ivanti Connect Secure vulnerabilities to itsKnown Exploited Vulnerabilities (KEV) catalog: The vulnerabilities are part of an exploit chain that cybersecurity firm Volexity first documented in mid-October. “Volexity has identified active in-the-wild exploitation of a vulnerability chain allowing unauthenticated remote code execution in Ivanti Connect Secure VPN devices. Ivanti haspublished an advisoryproviding upgrade instructions to customers.”states Volexity. “Systems exhibiting signs of compromise, such as attempts to move laterally originating from the ICS VPN device, should be forensically investigated to ensure no breach has occurred.“ The attacks combined these vulnerabilities with an authentication bypass vulnerability, tracked asCVE-2026-104935(CVSS score of 8.6). In early October 2026, Volexitydiscoveredthat a threat actor tracked as UTA0576 was exploiting a zero-day vulnerability chain to compromise fully patched Ivanti Connect Secure VPN appliances. The attack combined authentication bypass, remote code execution, and privilege escalation flaws, allowing attackers to gain root access without logging in. The authentication bypass and RCE flaws are tracked as CVE-2026-104935. After gaining access, the attackers targeted Active Directory credentials and sensitive information, including LAPS passwords and BitLocker recovery keys. Volexity worked with Ivanti as soon as it suspected the vulnerabilities were being exploited. CISA added CVE-2026-104935 to the Known Exploited Vulnerabilities (KEV) catalog on October 13, 2026. Ivanti released security updates to address both CVE-2026-111357 and CVE-2026-118527: Ivanti said it disclosed CVE-2026-104935 first because a fix was already available and ready for testing. When researchers discovered the additional privilege escalation flaws, the company decided not to delay the release of the first patch, which addressed the main attack method. Ivanti also worked with Volexity to share information about the attackers’ techniques, including how they chained the vulnerabilities. Ivanti had already fixed part of the issue in its July 25.1.3.0 release and was preparing updates for other supported versions. Patches are now available for all the vulnerabilities used in the attacks. “At the time of discovery of exploitation, Ivanti had a fix developed for CVE-2026-104935 which was already in QA for supported versions, and we made the decision to not delay getting a fix to customers that resolved the primary exploitation path when the LPE was discovered. Because of this, our focus was initially centered on the disclosure of CVE-2026-104935 and providing protection for our customers as quickly as possible.”states Ivanti. “Additionally, Ivanti collaborated with Volexity on theirblog postwhich provided information to arm defenders on known threat actor behavior, including chaining the local privilege escalation vulnerability. These additional CVE disclosures have now been added to this Security Advisory and a fix is available now.” According toBinding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities, FCEB agencies have to address the identified vulnerabilities by the due date to protect their networks against attacks exploiting the flaws in the catalog. Experts also recommend that private organizations review theCatalogand address the vulnerabilities in their infrastructure. CISA orders federal agencies to fix CVE-2026-111357 by November 2, 2026, and CVE-2026-118527 by November 13, 2026. Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking,CISA)

← VOLVER A CIBERSEGURIDAD