Ivanti Connect Secure: CISA suma dos fallas explotadas
La agencia de EU da hasta el lunes para corregir la CVE-2026-111357, cuyo parche Ivanti publicó el 29 de octubre. Completa una cadena de ataque descrita el 13.
Dos fallas más de Ivanti Connect Secure, el equipo que muchas empresas usan para que su personal entre por VPN a la red interna, están siendo explotadas. La agencia de ciberseguridad de Estados Unidos las añadió este viernes a su catálogo de vulnerabilidades explotadas al ver "evidencia de explotación activa".
La más urgente es la CVE-2026-111357, una falla de autenticación que deja a un atacante con acceso al equipo subir sus privilegios hasta el nivel de administrador. Ivanti publicó su parche el 29 de octubre. Las agencias civiles federales tienen hasta el lunes 2 de noviembre para corregirla y deben hacer análisis forense, según la directiva BOD 26-04.
| CVE | Falla | Plazo para agencias de EU |
|---|---|---|
| CVE-2026-111357 | Falta de autenticación en función crítica | 2 de noviembre |
| CVE-2026-118527 | Identificadores predecibles | 13 de noviembre |
Fuente: CISA, catálogo de vulnerabilidades explotadas
La cadena
La segunda, la CVE-2026-118527, permite a un atacante remoto con sesión autenticada subir archivos a una ubicación conocida del disco. El catálogo señala que ambas se encadenan con la CVE-2026-104935, otra falla que permite saltarse el inicio de sesión y que Ivanti parchó el 13 de octubre.
La firma Volexity describió esa cadena el 13 de octubre y la atribuye a un actor al que sigue como UTA0576. Tras entrar, dice, se llevó credenciales, incluidas claves de cifrado de disco BitLocker y contraseñas de administrador local LAPS, y vació información del directorio Active Directory. Añade que el verificador de integridad de Ivanti no detectó cambios en el caso que analizó, así que un resultado limpio no descarta un compromiso. Recomienda revisar el tráfico hacia la ruta de autenticación y hacer análisis forense de red y memoria.
El aviso del Centro Canadiense de Ciberseguridad ubica las versiones afectadas por debajo de la 25.1.1.3, la 25.1.3.1 y la 22.8R2.6, pero no detalla cuáles corrigen cada falla. Tampoco está confirmado si ya hay parche para la CVE-2026-118527, y ninguna fuente menciona víctimas en México.
La directiva de CISA solo obliga a agencias federales de EU, aunque CISA aconseja a cualquier organización priorizar sus parches según el riesgo. Para quien administre un Connect Secure en México, la fecha que importa es la del parche del 29 de octubre.
