A quién va dirigido: equipos de redes y de seguridad que usan dispositivos VPN, firewalls, pasarelas de correo y otros dispositivos perimetrales (equipos que están entre su red e internet). Esta página se basa en los avisos de seguridad de los fabricantes y en los datos públicos de CISA. No explica cómo funcionan los ataques.
En desarrollo: esta página se actualizará a medida que se publique más información
A fecha del 24 de octubre de 2026Aún no se sabe
- Versiones corregidas de Ivanti Connect Secure por línea de código (este sitio no pudo obtener el texto del aviso de Ivanti)
- Una corrección para la vulnerabilidad de escalada de privilegios de Ivanti Connect Secure de la que se ha informado
- Cuántas organizaciones se vieron afectadas por cada vulnerabilidad
Las cinco vulnerabilidades están en KEV y cada fabricante ha publicado correcciones. En Ivanti Connect Secure, según se informa, aún está pendiente la corrección de una vulnerabilidad de escalada de privilegios usada en los mismos ataques. Esta página se actualizará cuando se revisen los avisos.
Revisión rápida: ¿le afecta?
La tabla muestra la fecha en que cada vulnerabilidad se añadió a KEV (el catálogo de CISA de vulnerabilidades que se sabe que se explotan) y el plazo para las agencias federales de EE. UU., según consta en KEV.
| Producto | CVE | ¿Requiere inicio de sesión? | Añadida a KEV / plazo | Qué hacer |
|---|---|---|---|---|
| Ivanti Connect Secure (VPN) | CVE-2026-104935 | No | 13 oct / 16 oct | Actualizar; investigar si hubo compromiso |
| Palo Alto Networks PAN-OS (firewall) | CVE-2026-0322 | Sí (privilegios altos) | 14 oct / 17 oct | Actualizar; limitar el acceso de administración |
| Fortinet FortiOS y otros | CVE-2025-61624 | Sí (administrador) | 16 oct / 19 oct | Actualizar; migrar desde 7.2 y anteriores |
| Cisco Secure Email Gateway | CVE-2026-76519 | No | 14 oct / 17 oct | Actualizar Content Scanner Tools o AsyncOS |
| Productos Atlassian Data Center | CVE-2026-21589 | No | 15 oct / 18 oct | Actualizar; limitar el acceso externo |
13 oct
Ivanti añadida (plazo: 16)
14 oct
PAN-OS y Cisco añadidas (plazo: 17)
15 oct
Atlassian añadida (plazo: 18)
16 oct
Fortinet añadida (plazo: 19)
Ivanti Connect Secure (CVE-2026-104935)
- Tipo
- Omisión de autenticación por suplantación (CWE-290). Un atacante remoto sin autenticar puede ejecutar comandos arbitrarios
- Gravedad
- CVSS v3.1 8.6
- Afectadas
- 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, 22.8R2.4 y anteriores (alerta de CISA)
- Corregida
- Confirme la versión corregida para su línea de código en el aviso de Ivanti
- Explotación
- Ivanti dijo en el momento de la divulgación que tenía conocimiento de una explotación limitada en la práctica. CISA la añadió a KEV el 13 de octubre y señala que se usa para robar credenciales y exfiltrar datos
Ivanti publicó su aviso el 13 de octubre; en una entrada de blog del mismo día pidió a los clientes con versiones afectadas que actualizaran de inmediato a la versión corregida y que ejecutaran con regularidad su Integrity Checker Tool. Este sitio no pudo obtener el texto del aviso de Ivanti, por lo que aquí no se indican los números de las versiones corregidas. Consulte en el aviso la versión corregida de su línea de código. Según CISA, la línea 22.8 llega al fin de su vida útil el 31 de enero de 2027.
CISA indica que, como los comandos del atacante se ejecutan en memoria, la Integrity Checker Tool de Ivanti puede no detectar la explotación, y que se necesita un análisis forense de red y de memoria para determinar si hubo compromiso. Si se sospecha un compromiso, CISA recomienda lo siguiente.
Hacer una copia de seguridad de la configuración
Haga una copia de seguridad de la configuración del dispositivo.
Restablecer de fábrica y actualizar
Restablezca el dispositivo a la configuración de fábrica y actualice a la última versión. En los sistemas virtuales y en la nube, reconstruya la instancia y actualice.
Restaurar la configuración
Restaure la configuración desde la copia de seguridad.
Cambiar las credenciales
Restablezca las contraseñas de todas las cuentas de dominio, de administrador y locales, revoque y vuelva a emitir los certificados almacenados, y restablezca las claves de API y las credenciales del servidor de licencias almacenadas.
Informado, aún no confirmado
Una empresa de seguridad de EE. UU. que investigó los ataques escribió el 13 de octubre que observó explotación desde el 3 de octubre y que los ataques encadenaron tres vulnerabilidades: una omisión de autenticación, una escritura de archivos y una escalada de privilegios. Indica que Ivanti planea corregir la vulnerabilidad de escalada de privilegios en una versión de las próximas semanas. Este sitio no ha podido confirmarlo en el texto del aviso de Ivanti. Después de actualizar, siga atento al próximo aviso de Ivanti.
Palo Alto Networks PAN-OS (CVE-2026-0322)
- Tipo
- Inyección de código en la interfaz de administración (CWE-94). Un atacante autenticado puede ejecutar código arbitrario como root en el firewall
- Gravedad
- CVSS v4.0 8.6; 8.5 si el acceso de administración se limita a un jump box
- Condiciones
- Acceso de red a la interfaz de administración e inicio de sesión con privilegios altos. No se necesita ninguna configuración especial
- Afectadas
- PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2 en PA-Series, VM-Series y Panorama
- No afectados
- Cloud NGFW y Prisma Access (no se necesita ninguna acción)
- Explotación
- Palo Alto Networks indica que ha observado una explotación muy limitada dirigida a la interfaz de administración
Las versiones corregidas se dividen en detalle por rama y por nivel de hotfix (-h). En la parte superior de cada rama: 12.2.4 o posterior, 12.1.10-h2 o posterior, 11.2.16 o posterior, 11.1.16-h3 o posterior y 10.2.18-h12 o posterior. Consulte la tabla del aviso para ver las versiones con hotfix de versiones intermedias (por ejemplo, 11.2.13-h3). Las versiones sin soporte deben pasar a una versión corregida con soporte.
El aviso indica que no hay soluciones alternativas conocidas. El riesgo es mayor cuando la interfaz de administración es accesible desde internet, y el fabricante recomienda permitir el acceso de administración solo desde direcciones IP internas de confianza. Los clientes con Threat Prevention obtienen una cobertura limitada con los Threat ID 510046 y 510047, que requieren descifrado SSL. La recomendación es actualizar.
Fortinet FortiOS y otros (CVE-2025-61624)
- Tipo
- Path traversal en la CLI (CWE-22). Un atacante con privilegios puede escribir o eliminar archivos arbitrarios pasando argumentos manipulados a comandos existentes
- Gravedad
- CVSS v3 6.0 (Fortinet la califica como Media)
- Condiciones
- Un inicio de sesión de administrador. KEV indica que se requiere un perfil de administrador con al menos permisos de lectura y escritura
- Publicada
- 14 de abril de 2026 (aviso inicial). Añadida a KEV el 16 de octubre
- Explotación
- El aviso la indica como Known Exploited: Yes, sin más detalle
Esta vulnerabilidad se divulgó hace seis meses y solo ahora se ha añadido a KEV. Si la pospuso en abril por considerarla de gravedad media y solo para administradores, vuelva a revisarla ahora.
| Producto | Afectadas | Acción |
|---|---|---|
| FortiOS 7.6 | 7.6.0 a 7.6.4 | Actualizar a 7.6.5 o posterior |
| FortiOS 7.4 | 7.4.0 a 7.4.9 | Actualizar a 7.4.10 o posterior |
| FortiOS 7.2, 7.0, 6.4 | Todas las versiones | Migrar a una versión corregida |
| FortiProxy 7.6 / 7.4 | 7.6.0-7.6.4 / 7.4.0-7.4.11 | 7.6.5+ / 7.4.12+ (migrar desde 7.2, 7.0) |
| FortiPAM 1.7 | 1.7.0 | 1.7.1+ (migrar desde 1.6 y anteriores; 1.8 no está afectada) |
| FortiSwitchManager 7.2 / 7.0 | 7.2.0-7.2.7 / 7.0.0-7.0.6 | 7.2.8+ / 7.0.7+ |
El aviso no indica ninguna solución alternativa. Fortinet indica que hay disponible un parche virtual (una firma de FortiGuard). Como la condición previa es una cuenta de administrador, limite quién puede llegar a la interfaz de administración, desactive las cuentas de administrador que no se usen y exija autenticación multifactor para los inicios de sesión de administrador (recomendación de este sitio).
Cisco Secure Email Gateway (CVE-2026-76519)
- Tipo
- Path traversal relativo (CWE-23) que lleva a escritura arbitraria de archivos. Se activa con un correo con un adjunto manipulado y puede llevar a la ejecución de comandos como root
- Gravedad
- CVSS v3.1 9.8
- Condiciones
- Sin inicio de sesión. Solo está afectado si File Reputation (parte de Cisco AMP) está habilitado y asignado a una política de correo, y Content Scanner Tools es anterior a 25.3.0.5525
- Corregida
- Content Scanner Tools 25.3.0.5525 o posterior (sin necesidad de reinicio), o AsyncOS 15.5.5-014 o 16.5.0-780. Las versiones 16.0 y anteriores a 16.5 deben migrar a 16.5.0-780
- No afectados
- Secure Email and Web Manager, Secure Web Appliance. Cisco ha corregido el servicio en la nube y los clientes no necesitan actualizar, pero se ha puesto en contacto con los clientes con indicadores de compromiso y recomienda renovar las credenciales y las claves
- Explotación
- Cisco PSIRT indica que tuvo conocimiento de una explotación activa en octubre de 2026
No hay solución alternativa. No se puede cerrar el lado de recepción de correo, pero el consejo de refuerzo de Cisco es separar la administración del tráfico de correo en interfaces de red distintas y permitir que solo hosts conocidos y de confianza lleguen al dispositivo. En la interfaz web, compruebe si Enable File Reputation está marcada en la configuración de Advanced Malware Protection de sus políticas de correo, y compruebe la versión de Content Scanner Tools en la CLI (contentscannerstatus). Si está afectado, actualice Content Scanner Tools. Activar las actualizaciones automáticas ayuda a que la próxima corrección llegue antes.
El aviso de Cisco incluye un procedimiento para revisar los registros del sistema en busca de señales de compromiso; ejecútelo en cada miembro del clúster. Si se encuentra un indicador, o el análisis no se completa, Cisco pide que se ponga en contacto con Cisco TAC. Como el acceso root permite a los atacantes ocultar pruebas, Cisco también recomienda revisar los registros de red y de firewall en busca de cargas sospechosas hacia direcciones externas.
Productos Atlassian Data Center (CVE-2026-21589)
El 5 de octubre, Atlassian divulgó una vulnerabilidad que permite a un atacante sin autenticar leer archivos específicos dentro de la raíz de la aplicación web en todas las versiones de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo y Crowd Data Center, además de Crucible y Fisheye (CVSS v4.0 9.3, calificación de Atlassian). Se añadió a KEV el 15 de octubre. Atlassian indica que no puede confirmar si las instancias de los clientes se han visto afectadas y recomienda pedir a su equipo de seguridad que las revise en busca de señales de compromiso. Los productos en la nube han sido parcheados.
Las versiones corregidas varían según el producto (por ejemplo, Confluence Data Center 9.2.26 y 10.2.19; Jira Software Data Center 9.12.40, 10.3.26 y 11.3.12). Si no puede actualizar de inmediato, Atlassian sugiere sacar la instancia de internet o limitar el acceso externo, y bloquear las URL sospechosas con una regla de WAF o de proxy inverso.
Qué tienen en común estas cinco
Las cinco están en dispositivos o servidores accesibles desde internet, y su explotación puede dar a un atacante una vía de entrada a la red interna. Incluso las dos que requieren inicio de sesión (PAN-OS y FortiOS) están a una contraseña de administrador robada de ser explotables si la interfaz de administración está abierta a internet.
Formas de operar que repetirán esto la próxima vez
- Interfaces de administración accesibles desde cualquier lugar de internet
- Dar el trabajo por terminado cuando se aplica el parche
- Posponer vulnerabilidades porque requieren inicio de sesión
- No tener un inventario de qué productos y versiones se usan
Formas de operar que limitan el daño la próxima vez
- Interfaces de administración accesibles solo desde redes administrativas o por VPN
- Conservar los registros antes de actualizar y comprobar si hubo compromiso con la guía del fabricante
- Corregir las vulnerabilidades de KEV en pocos días, con o sin inicio de sesión
- Un inventario de dispositivos perimetrales, versiones y exposición de la administración
En opinión de este sitio, un dispositivo perimetral no queda resuelto cuando se parchea. En Ivanti Connect Secure, CISA escribe que la herramienta de comprobación del propio fabricante puede no detectar la explotación, y se ha informado de otra vulnerabilidad sin corregir. Parchear cierra la puerta de entrada, pero no expulsa a un atacante que ya está dentro. En los dispositivos perimetrales incluidos en KEV, trate la actualización, la comprobación de compromiso y el cambio de credenciales como un solo trabajo.
Cómo encontrar interfaces de administración expuestas se explica en Cómo defender los dispositivos VPN y el acceso remoto, y cómo priorizar con KEV en Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV). En el mismo mes también se explotó una plataforma de administración SD-WAN (VeloCloud Orchestrator CVE-2026-114625).
Fuentes
- CISA, Known Exploited Vulnerabilities Catalog (feed JSON, versión del 23 de octubre de 2026) — cisa.gov
- CISA, "CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure" (13 de octubre de 2026) — cisa.gov
- Ivanti, Security Advisory Ivanti Connect Secure (CVE-2026-104935) — hub.ivanti.com
- Ivanti, "October 2026 Security Update" (13 de octubre de 2026) — ivanti.com
- Singapore CSA, "Active Exploitation of Vulnerability in Ivanti Connect Secure" (AL-2026-147) — csa.gov.sg
- Análisis de una empresa de seguridad de EE. UU. sobre los ataques a Ivanti Connect Secure (13 de octubre de 2026) — blog de la empresa de seguridad
- Palo Alto Networks, "CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface" — security.paloaltonetworks.com
- Fortinet, FG-IR-26-122 "Path Traversal in CLI" (CVE-2025-61624) — fortiguard.fortinet.com
- Cisco, "Cisco Secure Email Gateway Arbitrary File Write Vulnerability" (cisco-sa-esa-afw-zqYJkjxp) — cisco.com
- Atlassian, "CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products" — confluence.atlassian.com
Historial de actualizaciones
2026-10-24: Primera publicación. Basada en los avisos de los fabricantes y en el catálogo KEV y la alerta de CISA.
Leer a continuación
- Defensa de dispositivos expuestos: Cómo defender los dispositivos VPN y el acceso remoto
- Priorización de correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Explotado el mismo mes: VeloCloud Orchestrator CVE-2026-114625
- Comprobar si hubo compromiso: Cómo comprobar si su servidor fue comprometido
- Términos: ¿Qué es el path traversal (recorrido de directorios)? / ¿Qué es CVSS?