Para: administradores de Ivanti Connect Secure (appliances VPN). Esta página se basa en el catálogo KEV y la alerta de CISA, NVD y el blog de una empresa de investigación; no contiene pasos de ataque ni código de exploit. No pudimos leer el aviso del propio Ivanti (la página no cargó), así que aquí no se dan los números de las versiones corregidas.
En desarrollo: esta página se actualizará a medida que se publique más
A fecha del 31 de octubre de 2026 (JST)Aún no se sabe
- Versiones corregidas de cada uno de los tres fallos (no pudimos leer el aviso de Ivanti)
- Si existe una corrección para CVE-2026-118527
- El registro de NVD de CVE-2026-118527 (no encontrado en NVD en nuestra comprobación)
- Cuántas organizaciones se vieron afectadas y quién está detrás de los ataques
CISA añadió CVE-2026-111357 y CVE-2026-118527 a su catálogo KEV el 30 de octubre y actualizó su alerta el mismo día. CVE-2026-104935 se añadió el 13 de octubre. Comprobamos el feed KEV de CISA, la alerta de CISA, NVD y el blog de la empresa de investigación el 31 de octubre.
Qué hacer hoy
Haga una lista de sus appliances Connect Secure y sus versiones
Incluya los appliances virtuales y en la nube. CISA enumera como afectadas 25.1.1.2 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.5 y anteriores. La versión 22.8 llega al fin de su vida útil el 31 de enero de 2027, según CISA, así que planifique también el paso a 25.x.
Actualice a la última versión
CISA indica a las organizaciones que actualicen a la última versión según el aviso de Ivanti y su guía de compatibilidad de actualización y migración a 25.x. No pudimos leer el aviso, así que confirme allí la versión corregida de su rama antes de empezar.
Compruebe si hay compromiso, no solo si está el parche
La empresa de investigación y CISA dicen ambas que el Integrity Checker puede no detectar la explotación de CVE-2026-104935. CISA dice que determinar el compromiso requiere análisis forenses de red y de memoria. Si el appliance era accesible desde internet desde principios de octubre, pida a su proveedor de respuesta a incidentes que lo haga antes de la actualización o junto con ella (nuestra valoración). Revise también los intentos de movimiento lateral originados en el appliance, como sugiere la empresa de investigación.
Si sospecha compromiso, reconstruya y restablezca las credenciales
La guía de CISA de la alerta del 13 de octubre lo cubre: haga una copia de seguridad de la configuración, restablezca el estado de fábrica y actualice (reconstruya los appliances virtuales y en la nube), restaure la configuración y luego sustituya las credenciales. Eso significa las contraseñas de las cuentas de dominio, de administración y locales, los certificados almacenados en el appliance, las claves de API y las credenciales del servidor de licencias.
Corte lo que pueda alcanzarse hasta estar seguro
Restrinja la interfaz de administración del appliance a una red de administración y revise a qué puede llegar el appliance dentro de su red. Decida de antemano cómo se conectará el personal remoto si tiene que desconectarlo.
Tres fallos que se encadenan
- CVE-2026-104935
- Omisión de autenticación por suplantación; un atacante remoto sin autenticar puede ejecutar comandos arbitrarios (KEV de CISA, añadido el 13 de octubre). Tratado en nuestro resumen de octubre
- CVE-2026-111357
- Falta de autenticación en una función crítica (CISA); NVD describe un fallo que lleva a una escalada de privilegios a root. CVSS v3.1 7,0 (local, complejidad alta, privilegios bajos). Añadido al KEV el 30 de octubre; fecha límite 2 de noviembre; triaje forense: sí
- CVE-2026-118527
- Generación de identificadores predecibles (CWE-340); un atacante remoto autenticado puede subir archivos con contenido controlado por el atacante a una ubicación conocida del disco. Añadido al KEV el 30 de octubre; fecha límite 13 de noviembre; triaje forense: no
- Cadena
- CISA dice que CVE-2026-111357 y CVE-2026-118527 pueden encadenarse cada una con CVE-2026-104935 (y entre sí). CISA dice que la explotación permite la ejecución remota y sin autenticar de comandos arbitrarios, usada para robar credenciales y exfiltrar datos
- Afectadas
- 25.1.1.2 y anteriores, 25.1.2.2 y anteriores, 22.8R2.5 y anteriores (alerta de CISA, actualizada el 30 de octubre)
- Correcciones
- CVE-2026-104935: parches publicados el 13 de octubre (empresa de investigación). CVE-2026-111357: la empresa de investigación dice que se publicó un parche el 29 de octubre. CVE-2026-118527: no encontrada. Confirme en el aviso de Ivanti
Por qué la puntuación CVSS es solo de 7,0: por sí solo, CVE-2026-111357 necesita acceso local y una cuenta con pocos privilegios. La puntuación no refleja la cadena. Según el informe de la empresa de investigación, combinar una omisión de autenticación, un fallo de manejo de archivos y esta escalada de privilegios dio control a nivel de root, sin autenticar, de un appliance que estaba totalmente parcheado en ese momento (22.8R2.4). Valore su riesgo por la cadena, no por la puntuación individual (nuestra valoración).
Las listas de versiones no coinciden exactamente. La descripción de NVD de CVE-2026-111357 nombra 22.8R2.4, mientras que la lista de afectados de NVD incluye de 22.8R2 a 22.8R2.5 y las versiones 25.1 anteriores a 25.1.1.3. La lista de CISA es más amplia (25.1.2.2 y anteriores). Use la lista más amplia hasta que el aviso de Ivanti lo aclare.
1. Omisión de autenticación
CVE-2026-104935 (KEV 13 oct)
2. Subida de archivos
CVE-2026-118527 (KEV 30 oct)
3. Escalada de privilegios a root
CVE-2026-111357 (KEV 30 oct)
Cronología
3 de octubre
Una empresa de investigación estadounidense dice que vio empezar la explotación (su blog, publicado el 13 de octubre).13 de octubre
Según la empresa de investigación, Ivanti publica parches para la omisión de autenticación; CISA añade CVE-2026-104935 al KEV; la empresa de investigación publica sus hallazgos.29 de octubre
La empresa de investigación actualiza su blog para decir que Ivanti ha publicado un parche para la escalada de privilegios.30 de octubre
CISA añade CVE-2026-111357 (fecha límite 2 de noviembre) y CVE-2026-118527 (fecha límite 13 de noviembre) al KEV y actualiza su alerta y las versiones afectadas.
Qué se sabe y qué no
| Elemento | Estado |
|---|---|
| Explotación | CISA enumera los tres en el KEV; se dice que los atacantes roban credenciales y datos |
| Inicio de la explotación | 3 de octubre, según una empresa de investigación; no confirmado por Ivanti en lo que pudimos leer |
| Versiones corregidas | No confirmadas por nosotros; el aviso de Ivanti no cargó |
| Corrección de CVE-2026-118527 | No encontrada |
| NVD para CVE-2026-111357 | Analizado; CVSS 7,0 aportado por el registro de CVE.org; el coordinador de CISA marca la explotación como «activa» y el impacto técnico como «total» |
| NVD para CVE-2026-118527 | Registro no encontrado en nuestra comprobación |
| Quién ataca y cuántas víctimas hay | No divulgado |
Fuentes
Comprobadas el 31 de octubre de 2026 (JST).
- CISA, Known Exploited Vulnerabilities Catalog (CVE-2026-111357 y CVE-2026-118527 añadidos el 30 de octubre de 2026) — cisa.gov
- CISA, «CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure» (actualizado el 30 de octubre de 2026) — cisa.gov
- NVD, CVE-2026-111357 — nvd.nist.gov
- Ivanti, «Security Advisory Ivanti Connect Secure (CVE-2026-104935)» — hub.ivanti.com (no cargó cuando lo comprobamos; las versiones corregidas deben confirmarse aquí)
- Blog de una empresa de investigación de seguridad, «A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days» (13 de octubre de 2026, actualizado el 29 de octubre) — blog
Historial de actualizaciones
2026-10-31: Primera versión, basada en el catálogo KEV y la alerta de CISA, NVD y el blog de una empresa de investigación.
Leer a continuación
- El primer fallo de la cadena: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Defender los dispositivos VPN: Cómo defender los dispositivos VPN y el acceso remoto
- Priorizar las correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Pasos de respuesta: Guía de corrección de vulnerabilidades
- Términos: ¿Qué es CVSS?