Ivanti ya corrigió las dos fallas que faltaban de la cadena que, desde el 3 de octubre, les daba a los atacantes acceso root a equipos Ivanti Connect Secure sin autenticación. El 30 de octubre, CISA sumó las dos a su catálogo de vulnerabilidades explotadas: hay que actualizar a la 25.1.1.3 o a la 22.8R2.6.
Ivanti Connect Secure es la VPN SSL de Ivanti: el equipo que muchas empresas exponen a internet para que su gente entre a la red interna desde afuera. Por estar expuesto y por estar conectado al directorio de usuarios de la empresa, es uno de los blancos favoritos de los atacantes.
Qué agregó CISA el 30 de octubre
La agencia de ciberseguridad de Estados Unidos (CISA) mantiene el KEV (Known Exploited Vulnerabilities), la lista de vulnerabilidades que, según evidencia confirmada, ya se usan en ataques. Su alerta del 30 de octubre sumó estas dos:
CVE-2026-111357(CVSS 8.8): falta de autenticación en una función crítica. Un atacante que ya tiene un pie adentro del equipo puede elevar sus privilegios hasta root, el usuario con control total del sistema. Plazo para las agencias federales: 2 de noviembre de 2026.CVE-2026-118527(CVSS 4.3): el equipo genera identificadores predecibles, y eso le permite a un atacante autenticado subir archivos con el contenido que quiera a una ubicación conocida del disco. Plazo: 13 de noviembre de 2026.
Los plazos son obligatorios solo para el gobierno federal de Estados Unidos. Para el resto de las organizaciones, que una falla entre al KEV es la señal pública más clara de que hay que parchearla primero.
Tres fallas encadenadas, de afuera a root
Estas dos fallas son el final de una historia que empezó a principios de mes. La empresa de seguridad Volexity documentó que un grupo al que llama UTA0576 encadenaba tres vulnerabilidades: un salteo de autenticación, una ejecución remota de código y una escalada de privilegios. Juntas, le daban ejecución de código como root sin usuario ni contraseña, en equipos que estaban al día con los parches.
Encadenar significa usar cada falla para llegar a la siguiente: la primera deja entrar sin credenciales, la segunda deja correr comandos y la tercera convierte esos comandos en control total del equipo. Por separado, algunas parecen menores (una de las nuevas tiene CVSS 4.3); juntas, son el peor caso.
La primera parte, CVE-2026-104935, entró al KEV el 13 de octubre y ya tenía parche; la contamos en los parcheos de la tercera semana de octubre. En ese momento la escalada de privilegios todavía no tenía corrección. Según The Hacker News, Ivanti dice que había encontrado parte del problema con su propio programa de seguridad y lo había corregido en la versión 25.1.3.0 de julio, pero todavía estaba llevando ese arreglo a las otras versiones con soporte cuando empezaron los ataques.
Qué buscaba el atacante
Según lo reportado, UTA0576 usó el acceso para sacar credenciales y datos limitados del Active Directory, reconocer el equipo y buscar contraseñas de administradores y claves de recuperación de BitLocker, las que permiten abrir un disco cifrado de Windows.
No instaló web shells (pequeños programas que quedan en el servidor para volver a entrar) ni malware, algo poco habitual en los ataques a estos equipos. Eso tiene una consecuencia práctica: una revisión que solo busque archivos raros en el equipo puede no encontrar nada, y lo que se llevó (credenciales y claves) sigue sirviendo aunque se actualice.
Versiones afectadas y corregidas
- Rama 25.1.1: afectadas la 25.1.1.2 y anteriores; corregida en la 25.1.1.3.
- Rama 22.8: afectadas la 22.8R2.5 y anteriores; corregida en la 22.8R2.6.
Ivanti no publicó una alternativa temporal para estas dos fallas: la única salida es actualizar. Las versiones de otras ramas hay que confirmarlas en el aviso de seguridad de Ivanti.
Qué hacer
- Actualizar ya a la 25.1.1.3 o a la 22.8R2.6, según la rama. Aunque hayan parcheado la falla del 13 de octubre, el equipo sigue expuesto a la escalada de privilegios hasta esta versión.
- Revisar los registros desde el 3 de octubre: accesos administrativos y sesiones que no correspondan a nadie del equipo.
- Rotar credenciales si hay dudas: las cuentas de servicio que el equipo usa para conectarse al Active Directory, las contraseñas de administradores y las claves de recuperación de BitLocker, que es justo lo que buscaba este atacante.
¿Su VPN está en la última versión?
Muchos equipos parchearon a mediados de octubre y dieron el tema por cerrado. ¿Ya revisaron si su Connect Secure tiene también esta segunda corrección? Te leemos en los comentarios.
Fuentes
- CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog (30/10/2026)
- CISA: CISA Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure (13/10/2026)
- Ivanti: Security Advisory Ivanti Connect Secure CVE-2026-104935
- The Hacker News: Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access
