Ivanti Connect Secure: otros dos fallos explotados en el KEV

El 30 de octubre de 2026 la CISA añadió a su catálogo Known Exploited Vulnerabilities (KEV) dos nuevas vulnerabilidades de Ivanti Connect Secure (ICS), la pasarela SSL VPN que ya estaba en el centro de la campaña de octubre basada en la CVE-2026-104935, que describimos en los artículos anteriores. Las nuevas entradas son la CVE-2026-118527, que permite subir archivos al appliance, y la CVE-2026-111357, una escalada de privilegios hasta root. La CISA confirma la explotación activa de ambas.

Este artículo recoge solo lo que dicen la ficha KEV y la base de datos NVD: por ahora son las únicas fuentes sobre estas dos CVE.

CVE-2026-111357: escalada de privilegios hasta root

Según la descripción publicada en NVD, Ivanti Connect Secure 22.8R2.4 gestiona de forma incorrecta la manera en que el broker dsinvoked confía en los datos de configuración DSCache: un fallo que lleva a una escalada de privilegios hasta root, explotada en ataques reales en octubre de 2026.

Detalles técnicos de la ficha NVD (publicada el 15 de octubre, última modificación el 30 de octubre, estado «Analyzed»):

• CVSS v3.1: 7,0 (alta), vector AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H, puntuación facilitada por MITRE: ataque local, complejidad alta, privilegios bajos ya necesarios, impacto alto en confidencialidad, integridad y disponibilidad;
• debilidad CWE-829 (inclusión de funcionalidades desde una esfera de control no fiable);
• versiones afectadas según la configuración de NVD: la rama 22.8 y las versiones de la rama 25.1 desde la 25.1.0.0 hasta la 25.1.1.3, excluida.

Las fuentes no coinciden en el tipo de fallo: el catálogo KEV clasifica la CVE como «Missing Authentication for Critical Function» (falta de autenticación para una función crítica), mientras que NVD indica la CWE-829.

Entre sus referencias, NVD remite al aviso de Ivanti sobre la CVE-2026-104935 y al informe de Volexity del 13 de octubre sobre la explotación encadenada de zero-day en Ivanti Connect Secure, el mismo en el que se basaban nuestros artículos anteriores.

En términos de MITRE ATT&CK, la escalada corresponde a T1068 (Exploitation for Privilege Escalation).

CVE-2026-118527: subida de archivos a una ruta conocida

Según la ficha KEV, Ivanti Connect Secure contiene una vulnerabilidad de generación de números o identificadores predecibles que permite a un atacante remoto autenticado subir archivos con contenido elegido por él a una ubicación conocida del disco. La CISA añade que esta vulnerabilidad puede encadenarse con la CVE-2026-104935 y con la CVE-2026-111357.

En el momento de la recopilación la CVE aún no estaba en NVD: por tanto, no hay puntuación CVSS, lista de versiones afectadas ni referencias técnicas públicas. Las fuentes no dicen qué papel tiene cada una de las tres CVE en la cadena.

Plazos de la CISA

Para las agencias federales estadounidenses la CISA fija plazos muy ajustados:

• CVE-2026-111357: antes del 2 de noviembre de 2026, tres días después de su inclusión en el catálogo;
• CVE-2026-118527: antes del 13 de noviembre de 2026.

La acción requerida es la misma para ambas: aplicar las mitigaciones según las instrucciones de Ivanti, respetando la directiva BOD 26-04 sobre la prioridad de las actualizaciones en función del riesgo y los requisitos de la CISA de triaje forense; si no hay mitigaciones disponibles, dejar de usar el producto. La CISA pide además evaluar la exposición a Internet de cada appliance. El uso en campañas de ransomware figura como «desconocido».

Impacto para las empresas europeas e italianas

ICS es un punto de acceso remoto expuesto a Internet por definición. La inclusión de dos nuevas CVE en el catálogo KEV, dos semanas después de la CVE-2026-104935, significa que haber instalado las correcciones de mediados de octubre no basta para dar el asunto por cerrado: son vulnerabilidades distintas y, para la CVE-2026-111357, la configuración de NVD también indica como afectada la 22.8R2.4.

Para las entidades sujetas a NIS2, el catálogo KEV es un criterio de prioridad documentable en la gestión de vulnerabilidades; un compromiso confirmado debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN). En el sector sanitario, donde la VPN sirve a menudo para el acceso remoto de médicos y proveedores, una pasarela comprometida con privilegios de root es un punto de entrada a la red interna.

Qué hacer ya

1. Haz el inventario de los appliances ICS, incluidos todos los nodos de los clústeres, con rama y versión exacta (22.8, 25.1).
2. Consulta el aviso de Ivanti y aplica mitigaciones y actualizaciones para la CVE-2026-111357 y la CVE-2026-118527: las fuentes de este artículo no indican qué versiones corrigen los dos fallos, así que compruébalo directamente en el aviso.
3. No te quedes en la CVE-2026-104935: si ya actualizaste a mediados de octubre, comprueba que la versión instalada cubra también las dos nuevas CVE.
4. Haz un análisis forense de los appliances expuestos, como pide la CISA. Incluye los archivos del disco, ya que la CVE-2026-118527 permite escribir archivos con contenido elegido por el atacante, y recuerda que para los ataques de principios de octubre la CISA advirtió de que el Integrity Checker Tool de Ivanti podría no detectar la explotación.
5. Si no puedes aplicar las mitigaciones, valora desconectar el appliance, como prevé la CISA para las agencias federales.
6. Si encuentras un compromiso, sigue las instrucciones de recuperación de Ivanti y rota las credenciales que pasan por el appliance, empezando por las de Active Directory.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que sepas enseguida si una pasarela de acceso remoto es accesible desde fuera. ARX Sentry lleva los registros de firewalls y dispositivos de red a un colector central, fuera del appliance, donde siguen disponibles para el análisis aunque se manipulen los registros locales. ARX Horizon enriquece cada evento con país, operador, listas de amenazas y vulnerabilidades, para leer las conexiones hacia la pasarela con el contexto adecuado.

Última actualización: 30 de octubre de 2026