Atacan la VPN Ivanti Connect Secure con tres fallas encadenadas: CISA pide actualizar ya

La CISA, la agencia de ciberseguridad del gobierno de Estados Unidos, sumó el 30 de octubre de 2026 dos fallas de Ivanti Connect Secure, la VPN corporativa de Ivanti, a su catálogo de vulnerabilidades explotadas (KEV), «sobre la base de evidencia de explotación activa». Son CVE-2026-111357 y CVE-2026-118527, y completan una cadena con una tercera, CVE-2026-104935, que la CISA había sumado el 13 de octubre. Según la CISA, quienes las explotan logran, encadenándolas, ejecutar comandos a distancia sin autenticarse en el equipo, y lo usan para robar credenciales y sacar datos. Por separado, dos de las tres piden una sesión iniciada; juntas, no.

A quién le importa: a cualquier empresa u organización que tenga Ivanti Connect Secure para que su gente entre a la red desde afuera. Según la CISA, están afectadas las versiones 25.1.1.2 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.5 y anteriores. Las fallas están en el equipo de Ivanti que administra la empresa (físico o virtual), no en la computadora de cada empleado: el parche lo instala el área de sistemas.

Qué hacer hoy: actualizar a la versión más reciente, como pide la CISA siguiendo el aviso de seguridad de Ivanti. Y no darse por tranquilo con la herramienta de verificación de Ivanti: la CISA advierte que su Integrity Checker puede no detectar la explotación de CVE-2026-104935, porque los comandos del atacante corren en memoria. Para saber si te atacaron, la CISA dice que hace falta un análisis forense de la red y de la memoria.

Qué hacer con Ivanti Connect Secure, según tu caso

Fuentes: CISA (alerta del 13 de octubre de 2026, revisada el 30) y The Hacker News (31 de octubre). No pudimos leer directamente el aviso de Ivanti; por eso las versiones corregidas van atribuidas.

Una VPN es la puerta de entrada de la empresa, y en este caso la cerradura se abría sin llave. Por eso la CISA no se queda en el parche: si una organización sospecha que la atacaron, recomienda hacer una copia de la configuración del equipo, restablecerlo de fábrica y actualizarlo a la última versión (en la nube o en máquinas virtuales, reconstruir la instancia), restaurar la configuración y cambiar las contraseñas de todas las cuentas, incluidas las del dominio, las de administrador y las locales. También pide revocar y volver a emitir los certificados guardados, y cambiar las claves de API y las credenciales del servidor de licencias.

Cómo fue el ataque, según Volexity

La cadena la descubrió la empresa de seguridad Volexity en la primera semana de octubre, en la VPN de un cliente. Según su informe del 13 de octubre, un grupo que no tenía identificado y al que llama UTA0576 comprometió un Ivanti Connect Secure con todos los parches al día en ese momento (versión 22.8R2.4). O sea, eran fallas sin parche disponible para esa versión: lo que se llama un día cero. Según The Hacker News, Ivanti dice que una parte del problema ya la había corregido en julio en la 25.1.3.0 y que estaba llevando ese arreglo a las otras versiones cuando empezaron los ataques. La cadena combinaba un salto de la autenticación, la ejecución remota de código y una escalada de privilegios, y así el atacante llegaba a ejecutar código como root, el usuario con control total del equipo, sin haber iniciado sesión. Volexity ubica el salto de la autenticación y la ejecución remota bajo la CVE-2026-104935, y la escalada es la CVE-2026-111357. Que la CVE-2026-118527 forma parte de la cadena lo dice la CISA.

Lo que hizo después es lo que más debería preocupar a una empresa. Según Volexity, el atacante fue a buscar credenciales del Active Directory, incluidas las contraseñas de administrador local de LAPS y las claves de recuperación de BitLocker. Además borró rastros de los registros de depuración y de auditoría del equipo, y no instaló ninguna puerta trasera: mandaba sus comandos por las mismas conexiones HTTPS del ataque. Nuestra lectura: una empresa que encuentre señales de que la atacaron tiene motivos para tratar también esas claves como expuestas.

Cuando Volexity publicó su informe, Ivanti todavía estaba preparando el arreglo de la escalada de privilegios. Volexity actualizó su informe para contar que Ivanti publicó ese parche el 29 de octubre, y que esa falla es la CVE-2026-111357. Según la ficha de la CVE-2026-104935 que publicó la propia Ivanti, esa falla tiene un puntaje CVSS de 8,6 y no afecta a la 22.7R2.14 ni a las anteriores.

Lo que todavía no se sabe

Ninguna de las fuentes dice cuántas organizaciones fueron atacadas ni en qué países, así que no hay datos de víctimas en América Latina. La CISA tampoco dice quién está detrás; Volexity cree, con baja confianza, que el grupo tiene motivos criminales y no de espionaje. Para las agencias civiles del Poder Ejecutivo federal de Estados Unidos, la CISA fijó como fecha límite el 2 de noviembre de 2026 para la CVE-2026-111357 y el 13 de noviembre para la CVE-2026-118527. Esa obligación no alcanza a nadie más, pero da la medida: la primera vence el lunes y la otra en dos semanas, no el próximo trimestre.

Fuentes

• CISA, «CISA Adds Two Known Exploited Vulnerabilities to Catalog», 30 de octubre de 2026 (en inglés), y las fichas de las tres CVE en el catálogo KEV. El alta por explotación activa y las fechas límite federales.
• CISA, «CISA Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure», 13 de octubre de 2026, revisada el 30 (en inglés). Las versiones afectadas, el uso que les dan los atacantes, el aviso sobre el Integrity Checker y los pasos de recuperación.
• Volexity, «A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days», 13 de octubre de 2026, con una actualización sobre el parche del 29 (en inglés). Cómo se descubrió la cadena y qué hizo el atacante.
• Ivanti, ficha de la CVE-2026-104935 en el registro de CVE (en inglés). El puntaje CVSS y las versiones que no afecta.
• Ravie Lakshmanan, «Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access», The Hacker News, 31 de octubre de 2026 (en inglés). Las versiones corregidas.