Ivanti ha corregido dos días cero de Connect Secure que, encadenados con un salto de autenticación corregido en octubre, permiten ejecutar código como root sin credenciales. Se explotan desde al menos el 1 de octubre. Si tu empresa usa esta VPN, actualiza hoy a 25.1.1.3 o 22.8R2.6, revisa si te han entrado y rota contraseñas y certificados.
Lo esencial
- CVE-2026-111357 (CVSS 8.8) es una escalada de privilegios local por falta de autenticación en una función crítica. CVE-2026-118527 (CVSS 4.3) permite a un atacante autenticado subir archivos a una ubicación conocida del disco (SecurityWeek).
- Se encadenan con CVE-2026-104935, un salto de autenticación que Ivanti corrigió en octubre. Según Volexity, la cadena logra ejecución de código como root sin autenticación (The Hacker News).
- Afectadas: 25.1.1.2 y anteriores y 22.8R2.5 y anteriores. Corregidas en 25.1.1.3 y 22.8R2.6. CISA cita además como afectadas las 25.1.2.2 y anteriores (CISA).
- La cadena se usa como día cero desde al menos el 1 de octubre (BleepingComputer).
- CISA añadió los dos fallos nuevos a su catálogo KEV el 30 de octubre. CVE-2026-104935 figura en él desde el 13 de octubre.
¿Me afecta si no sé qué VPN usamos?
Solo te afecta si usas Ivanti Connect Secure (antes Pulse Secure) como VPN de acceso remoto y el equipo está expuesto a internet, en la rama 25.1 o en la 22.8. Puede que no lo gestiones tú: si tienes un proveedor de TI, la VPN puede estar en su lado y tu equipo ni lo sepa.
Lo preocupante es esto: los atacantes obtuvieron root incluso en un equipo que estaba totalmente parcheado en ese momento. Haber actualizado en octubre no bastaba. Hace falta la versión nueva.
¿Basta con instalar el parche?
No. El parche cierra la puerta, pero no echa a quien ya esté dentro. Volexity atribuye la actividad a un actor desconocido hasta ahora, UTA0576. Según SecurityWeek, se centra en robar credenciales, exfiltrar datos, escanear la red y manipular los logs. Según Volexity, también ha buscado contraseñas de administrador y claves de recuperación de BitLocker, y ha extraído credenciales y metadatos limitados de Active Directory (The Hacker News).
Que manipule los logs importa: revisarlos puede no enseñarte todo. Por eso CISA recomienda restablecer las contraseñas de todas las cuentas (de dominio, administrador y locales), revocar y reemitir los certificados almacenados y restablecer las claves API y las credenciales del servidor de licencias.
Qué hacer hoy
- Pregunta a quien gestione tu VPN si es Ivanti Connect Secure y qué versión corre exactamente.
- Si lo es, actualiza a 25.1.1.3 o 22.8R2.6. Si estás en la rama 25.1.2.x, contrasta con el aviso de Ivanti, porque CISA la menciona como afectada.
- Si el equipo estuvo expuesto a internet desde octubre, trátalo como posiblemente comprometido: revisa logs y accesos inusuales.
- Restablece las contraseñas de dominio, administrador y locales. Revoca y reemite los certificados almacenados. Restablece las claves API y las credenciales del servidor de licencias.
- Revisa las claves de recuperación de BitLocker y las credenciales de Active Directory, que son justo lo que busca este actor.
Qué significa para una pyme
La VPN es la puerta de entrada a tu red y está, por diseño, abierta a internet. Este caso enseña que parchear rápido no siempre protege: durante un mes, un equipo al día podía caer igual. Ivanti corrigió un fallo en octubre y ahora ha tenido que corregir otros dos que se combinaban con él.
Nuestra postura: si usas Connect Secure, asume que el parche es la mitad del trabajo. La otra mitad es comprobar si alguien entró y cambiar todo lo que haya podido robar. Rotar credenciales de dominio en una empresa de 50 personas es molesto, pero es mucho menos caro que dejar a un atacante con las llaves.
Y si al leer esto no sabes qué VPN usas ni quién la mantiene, ese es el problema de fondo. Ten por escrito qué equipo es, qué versión corre y quién responde cuando sale un aviso así, con plazos. Si necesitas ayuda para revisarlo, puedes consultar nuestro servicio de ciberseguridad.
Preguntas frecuentes
¿Si actualicé en octubre estoy a salvo?
No. La cadena funcionó incluso en equipos totalmente parcheados entonces. Necesitas 25.1.1.3 o 22.8R2.6 y revisar si hubo acceso.
¿Qué hago si mi VPN no es de Ivanti?
Por esta noticia, nada. Pero conviene que sepas qué VPN usas y quién la mantiene.
¿Por qué cambiar contraseñas si ya he parcheado?
Porque el actor roba credenciales y el parche no las invalida. Por eso CISA pide rotarlas, junto con certificados y claves API.
Fuentes
- SecurityWeek – Ivanti Patches Two More Zero-Days Exploited in Connect Secure Attack Chain
- CISA – Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure
- The Hacker News – Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access
- BleepingComputer – Ivanti patches two more Connect Secure zero-days chained in attacks
