La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió dos vulnerabilidades de Ivanti Connect Secure a su catálogo de vulnerabilidades explotadas conocidas el 30 de octubre de 2026, al existir pruebas de explotación activa. Los fallos forman parte de una cadena de ataque de tres vulnerabilidades que, según los investigadores, permite a los atacantes ejecutar código con control administrativo total sin autenticarse previamente. Ya hay parches disponibles.
Las organizaciones que usan Ivanti Connect Secure (ICS) deben priorizar las actualizaciones. Los ataques han incluido la extracción de credenciales y la búsqueda de contraseñas de administrador y de claves de recuperación de BitLocker, que pueden desbloquear unidades cifradas, según informó The Hacker News citando hallazgos de Volexity.
Cómo funcionan juntos los tres fallos
La alerta de CISA identifica las dos vulnerabilidades recién incluidas como:
- CVE-2026-111357, con una puntuación de gravedad CVSS de 8,8: falta de autenticación para una función crítica, que permite a un atacante local autenticado aumentar sus privilegios.
- CVE-2026-118527, con una puntuación CVSS de 4,3: números o identificadores predecibles, que permiten a un atacante remoto autenticado subir archivos con contenido controlado por el atacante a una ubicación conocida del disco.
Esos requisitos de autenticación por separado son importantes, pero la cadena de ataque reportada combina estos fallos con CVE-2026-104935, un bypass de autenticación con una puntuación CVSS de 8,6. CISA añadió ese tercer fallo a su catálogo el 13 de octubre de 2026.
Según el informe de The Hacker News, Volexity documentó por primera vez la cadena a principios de octubre y la atribuyó a un actor de amenazas previamente no documentado al que denomina UTA0576. Los investigadores afirmaron que la combinación de bypass de autenticación, ejecución remota de código (es decir, la ejecución del código de un atacante en otro sistema) y escalada de privilegios lograba la ejecución sin autenticación a nivel root, el mayor nivel de control sobre el sistema.
Volexity observó que UTA0576 extraía credenciales y metadatos limitados de Active Directory, es decir, información del servicio de directorio que las organizaciones usan para gestionar usuarios y equipos. El actor también recopiló información sobre los equipos comprometidos y buscó contraseñas de administrador y claves de recuperación de BitLocker, en lugar de seguir el patrón más habitual de desplegar web shells o malware.
Correcciones disponibles y plazos federales
The Hacker News informó de que los parches para ambos fallos recién incluidos están disponibles en estas versiones de ICS:
- 25.1.1.3, que corrige las versiones afectadas 25.1.1.2 y anteriores de esa rama.
- 22.8R2.6, que corrige las versiones afectadas 22.8R2.5 y anteriores de esa rama.
Según el informe, la última versión corrige todas las vulnerabilidades encadenadas en los ataques observados.
Ivanti afirmó que su corrección para CVE-2026-104935 ya estaba en control de calidad para las versiones compatibles cuando se descubrió la explotación. Cuando surgió el fallo local de escalada de privilegios, la compañía decidió publicar la corrección del bypass de autenticación sin esperar, para cerrar la principal vía de explotación. Seguía desarrollando la corrección de la escalada de privilegios cuando salieron a la luz los detalles del ataque.
Ivanti también indicó que había descubierto una parte de la vulnerabilidad a través de su programa de seguridad de productos y que la había corregido en la versión de julio 25.1.3.0. La compañía dijo que trabajaba para llevar esa corrección a otras versiones compatibles cuando se produjo la explotación.
La alerta de CISA incluye las adiciones bajo la Directiva Operativa Vinculante 26-04, que exige a las agencias civiles del Poder Ejecutivo federal dar prioridad a las vulnerabilidades catalogadas de alto riesgo en activos expuestos públicamente, cuando su explotación otorga control total. La directiva también establece la expectativa de comprobar si los sistemas fueron comprometidos antes de aplicar las correcciones.
The Hacker News informa de plazos de remediación para las agencias civiles federales: 2 de noviembre de 2026 para CVE-2026-111357 y 13 de noviembre de 2026 para CVE-2026-118527. Estos requisitos se aplican a las agencias federales cubiertas por la directiva. CISA recomienda a todas las organizaciones priorizar la remediación de los fallos catalogados; los administradores de ICS deben aplicar la versión corregida de la rama de publicación de su despliegue.
