Los atacantes encadenan tres vulnerabilidades de Ivanti Connect Secure para obtener acceso root no autenticado.

⟫ 31/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

La Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos (CISA) ha dado un paso importante al añadir dos vulnerabilidades de seguridad que afectan a Ivanti Connect Secure (ICS) a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV, por sus siglas en inglés), tras constatar su explotación activa en el entorno real. Este desarrollo es crucial, ya que afecta no solo a las organizaciones que utilizan esta plataforma, sino también a la seguridad de la infraestructura crítica en la que se basa gran parte de la actividad digital actual.

Las vulnerabilidades en cuestión son las siguientes:

- **CVE-2026-111357 (puntuación CVSS: 8.8)**: Se trata de una vulnerabilidad de falta de autenticación en una función crítica, que podría permitir a un atacante local autenticado escalar sus privilegios dentro del sistema.

- **CVE-2026-118527 (puntuación CVSS: 4.3)**: Esta vulnerabilidad implica la generación de números o identificadores predecibles, lo que podría permitir a un atacante remoto autenticado subir archivos con contenido controlado por el atacante a una ubicación conocida en el disco.

Es importante destacar que estos errores de seguridad forman parte de una cadena de explotación que fue documentada inicialmente por Volexity a principios de este mes. Esta cadena se ha utilizado en conjunción con una falla de bypass de autenticación, identificada como **CVE-2026-104935 (puntuación CVSS: 8.6)**, por un actor de amenazas previamente no documentado apodado UTA0576. La CVE-2026-104935 se incluyó en el catálogo KEV el 13 de octubre de 2026.

Volexity señaló que "esta cadena de explotación combinó un bypass de autenticación, una ejecución remota de código (RCE) y una vulnerabilidad de escalada de privilegios para lograr una ejecución de código a nivel de root sin autenticación". En contraste con otros ataques que suelen aprovechar tales fallas para desplegar shells web o malware, UTA0576 ha sido observado utilizando las vulnerabilidades para extraer credenciales y metadatos limitados de Active Directory, realizar reconocimiento en hosts y buscar contraseñas de administrador y claves de recuperación de BitLocker.

Ivanti, la empresa responsable de ICS, informó que, en el momento en que se publicaron los detalles sobre estas vulnerabilidades, aún estaba trabajando en el desarrollo de soluciones para la vulnerabilidad de escalada de privilegios locales (LPE) explotada en la cadena de ataque. Los parches para ambas vulnerabilidades, CVE-2026-111357 y CVE-2026-118527, ya están disponibles en las siguientes versiones de ICS:

- 25.1.1.2 y anteriores (solucionado en 25.1.1.3)

- 22.8R2.5 y anteriores (solucionado en 22.8R2.6)

Ivanti explicó que "en el momento del descubrimiento de la explotación, la compañía ya había desarrollado un arreglo para la CVE-2026-104935, el cual estaba en proceso de aseguramiento de calidad para las versiones soportadas. Decidimos no retrasar la entrega de una solución a los clientes que resolviera la ruta de explotación primaria al descubrir la LPE".

La empresa también señaló que había descubierto una parte de esta vulnerabilidad como parte de su programa de seguridad de productos y la había parcheado en la versión de julio 25.1.3.0, añadiendo que estaba trabajando para retroportar la solución a otras versiones soportadas cuando ocurrió la actividad de explotación.

La última versión disponible aborda todas las vulnerabilidades que fueron encadenadas y explotadas en el entorno real. Las agencias del Poder Ejecutivo Civil Federal (FCEB, por sus siglas en inglés) están obligadas a aplicar las soluciones para la CVE-2026-111357 antes del 2 de noviembre de 2026, y para la CVE-2026-118527 antes del 13 de noviembre de 2026.

Este escenario subraya la creciente importancia de la ciberseguridad en un mundo donde las amenazas son cada vez más sofisticadas y donde la interconexión de sistemas críticos puede llevar a graves consecuencias. Las organizaciones que dependen de Ivanti Connect Secure deben actuar con rapidez para aplicar los parches y mitigar los riesgos asociados, asegurando así la integridad de sus sistemas y la protección de sus datos. La situación también pone de relieve la necesidad de una vigilancia constante y de un enfoque proactivo en la gestión de vulnerabilidades por parte de todas las empresas, especialmente aquellas que manejan información sensible o infraestructura crítica.

◢ VULNERABILIDADES ◣

Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access

⟫ 31/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) on Fridayaddedtwo security flaws impacting Ivanti Connect Secure (ICS) to its Known Exploited Vulnerabilities (KEV) catalog, following active exploitation in the wild. The vulnerabilities are listed below - CVE-2026-111357(CVSS score: 8.8) - A missing authentication for a critical function vulnerability that could allow a local authenticated attacker to escalate their privileges. CVE-2026-118527(CVSS score: 4.3) - A generation of predictable numbers or identifiers vulnerability that could allow a remote authenticated attacker to upload files with attacker-controlled content to a known location on disk. It's worth noting that the security bugs are part of anexploit chainthat was first documented by Volexity earlier this month as weaponized in conjunction with an authentication bypass flaw (CVE-2026-104935, CVSS score: 8.6) by a previously undocumented threat actor dubbed UTA0576. CVE-2026-104935 wasaddedto the KEV catalog on October 13, 2026. "This exploit chain combined an authentication bypass, a remote code execution (RCE), and a privilege escalation vulnerability to achieve unauthenticated root-level code execution," Volexity noted. Unlike other attacks that typically exploit such flaws to deploy web shells or malware, UTA0576 has been observed leveraging the flaws to extract credentials and limited Active Directory metadata; conduct host reconnaissance; and search for administrator passwords and BitLocker recovery keys. Ivanti said that, around the time the details were published, it was still working on developing fixes for the local privilege escalation (LPE) vulnerability exploited in the attack chain. Patches for both CVE-2026-111357 and CVE-2026-118527 are now available in the following versions of ICS - 25.1.1.2 and prior (Fixed in 25.1.1.3) 22.8R2.5 and prior (Fixed in 22.8R2.6) "At the time of discovery of exploitation, Ivanti had a fix developed for CVE-2026-104935 which was already in QA for supported versions, and we made the decision to not delay getting a fix to customers that resolved the primary exploitation path when the LPE was discovered," Ivantiexplained. "Because of this, our focus was initially centered on the disclosure of CVE-2026-104935 and providing protection for our customers as quickly as possible." The company also noted that it discovered a portion of this vulnerability as part of its product security program and patched it in the July release 25.1.3.0, adding it had been working to backport the fix to other supported versions when exploitation activity occurred. The latest release addresses all vulnerabilities which were chained and exploited in the wild. Federal Civilian Executive Branch (FCEB) agencies are required to apply the fixes for CVE-2026-111357 by November 2, 2026, and CVE-2026-118527 by November 13, 2026.

← VOLVER A CIBERSEGURIDAD