VULNERABILIDAD
Ivanti parchea dos nuevas vulnerabilidades de día cero explotadas en Connect Secure
Las fallas CVE-2026-111357 y CVE-2026-118527 se encadenaron con un bypass de autenticación ya corregido en ataques que, según la firma Volexity, operó el actor UTA0576 desde el 1 de octubre.
Ivanti publicó actualizaciones de seguridad para corregir dos vulnerabilidades en su gateway de acceso remoto Connect Secure (ICS) que fueron encadenadas en ataques de día cero desde al menos el 1 de octubre de 2026. Las fallas fueron identificadas como CVE-2026-111357, de escalada de privilegios y severidad alta, y CVE-2026-118527, que permite a atacantes autenticados subir archivos en un dispositivo sin parchear.
Los atacantes combinaron ambas fallas con una vulnerabilidad de omisión de autenticación, CVE-2026-104935, que Ivanti había corregido en octubre para cerrar la principal superficie de ataque. La empresa sostuvo que al momento de detectar la explotación ya contaba con un parche en control de calidad para esa falla y decidió no demorar su entrega a los clientes.
La firma de investigación Volexity atribuyó la actividad al actor UTA0576 y señaló que no desplegó malware ni web shells: en cambio, reexplotó el dispositivo para cada comando que ejecutó y alteró los registros para borrar sus huellas, evadiendo la herramienta Integrity Checker de Ivanti.
El servicio de monitoreo Shadowserver contabiliza más de 5.000 instancias de ICS expuestas a internet, aunque no hay información sobre cuántas ya fueron aseguradas frente a los ataques en curso.
Cómo ocurrió
- Confirmado
- UTA0576Actor atribuido por VolexityConfirmado.
- CVE-2026-104935Omisión de autenticaciónConfirmado.
- Acceso al gatewayEntrada a Connect SecureConfirmado.
- CVE-2026-111357Escalada de privilegiosConfirmado.
- CVE-2026-118527Carga de archivos autenticadaConfirmado.
- IvantiConnect Secure afectadoConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Ivanti publicó parches para CVE-2026-111357 y CVE-2026-118527, según sus avisos de seguridad.
- La empresa confirmó que las fallas fueron encadenadas con CVE-2026-104935, corregida en octubre.
- Volexity atribuyó la explotación al actor UTA0576 y describió el uso de reexplotación y manipulación de registros.
- Shadowserver contabiliza más de 5.000 instancias de Connect Secure expuestas a internet.
SIN VERIFICAR O ABIERTO
- No se informó cuántas de las instancias expuestas ya fueron parcheadas.
- No se precisó el alcance ni las organizaciones afectadas por la explotación.
- No está claro si la actividad de UTA0576 continúa tras la publicación de los parches.
Contexto
Ivanti es un blanco recurrente de actores de amenazas porque sus vulnerabilidades ofrecen una vía rápida hacia redes empresariales y datos corporativos y de clientes. En los últimos años la empresa corrigió varias fallas de día cero en Connect Secure explotadas en el wild, algunas encadenadas para desplegar malware.
Entre los antecedentes figuran una falla de ejecución remota de código (CVE-2025-0282) corregida en enero de 2025 y una segunda (CVE-2025-22457) explotada por atacantes estatales vinculados a China desde al menos mediados de marzo de 2025.
La agencia CISA de Estados Unidos marcó 38 vulnerabilidades de Ivanti como explotadas activamente desde noviembre de 2021, incluidas 12 que también fueron usadas en ataques de ransomware.
Qué hacer
- Aplicar los parches ya Actualizar Connect Secure a las versiones corregidas por Ivanti y verificar que la cadena de parches de octubre también esté aplicada.
- Revisar indicios de intrusión Auditar registros y configuraciones en busca de comandos inusuales o alteraciones, ya que el actor manipuló los logs para evadir controles.
- Reducir exposición a internet Limitar el acceso público a los gateways ICS que no sean imprescindibles y segmentar su ubicación en la red.
- Rotar credenciales sensibles Cambiar contraseñas y claves de acceso asociadas a los dispositivos y a las cuentas que los administran.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
