El 13 de octubre de 2026 Ivanti publicó un aviso de seguridad para CVE-2026-104935, una falla en Ivanti Connect Secure, su VPN para acceso remoto, que ya se estaba explotando antes de que existiera el parche para todas las versiones. Ese mismo día la agencia de ciberseguridad de Estados Unidos (CISA) la agregó a su catálogo de vulnerabilidades explotadas (KEV).
Lo que la hace más seria: forma parte de una cadena de tres fallas, y la tercera seguía sin parche al cierre de esta nota. Además, el atacante borraba sus huellas. Volexity cree, con baja confianza, que el motivo es criminal y no de espionaje.
Qué permite la falla
Es un bypass de autenticación por suplantación: un atacante remoto, sin usuario ni contraseña y sin que nadie haga clic, puede ejecutar comandos en el equipo. Rapid7 le asigna un CVSS de 8.6 (alta). La puerta controlada hacia tu red queda en manos de un tercero.
| Dato | Detalle |
|---|---|
| Producto | Ivanti Connect Secure (VPN SSL) |
| Versiones afectadas | 22.8R2.4 y anteriores; 25.1.2.2 y anteriores; 25.1.1.1 y anteriores |
| Versiones corregidas | 22.8R2.5; 25.1.1.2; 25.1.3.0 y 25.1.3.1 |
| No afectadas | Rama 22.7 y anteriores, según el aviso citado por Rapid7 |
| Explotación | Desde el 1 de octubre (Defused) o al menos el 3 de octubre (Volexity) |
| Catálogo KEV de CISA | Agregada el 13 de octubre de 2026, con plazo de solo tres días (16 de octubre) para las agencias federales |
Fuentes: Rapid7 y BleepingComputer, ambos del 13 de octubre de 2026, con base en el aviso de Ivanti.
Un detalle que explica cómo se llegó aquí: según Rapid7, la corrección ya venía incluida desde julio en la versión 25.1.3.0. La explotación ocurrió mientras Ivanti trasladaba el arreglo a las demás ramas con soporte. Quien estaba en la versión más reciente estaba protegido de esta falla; quien se quedó en 22.8 o en las primeras 25.1, no.
Cómo fue el ataque
La empresa de seguridad Volexity descubrió la actividad a principios de octubre y la atribuye a un grupo que identifica como UTA0576. De forma independiente, la firma Defused vio los primeros intentos de explotación el 1 de octubre. Ivanti habla de "explotación limitada" que afectó a un número reducido de clientes.
Lo relevante para quien administra un equipo así, según el reporte que recoge BleepingComputer:
- Cadena de tres fallas. Según Volexity, CVE-2026-104935 agrupa las dos primeras (el bypass de autenticación y una ejecución remota de código); una tercera, de escalamiento de privilegios, le permitió ejecutar código como root (el usuario con control total). El equipo comprometido que analizó Volexity estaba en 22.8R2.4, la versión más reciente de su rama en ese momento.
- Una sigue abierta. Ivanti corrigió dos de las tres. La de escalamiento de privilegios seguía sin parche al 19 de octubre. El 15 de octubre se publicó con el identificador CVE-2026-111357 (CVSS 7.0, alta), y el registro la marca como explotada; según Volexity, Ivanti la corregirá «en una versión futura, en las próximas semanas», sin fecha confirmada. Antes de actuar, revisa si el aviso de Ivanti ya trae esa versión.
- Sin malware ni web shell. En lugar de instalar algo, el atacante volvía a explotar el equipo para cada comando.
- Registros alterados. Modificaba los logs, y así evadía el Integrity Checker Tool, la herramienta que Ivanti recomienda para detectar compromisos.
Ivanti reconoce que no hay indicadores de compromiso confiables. Volexity publicó algunos en GitHub, y Rapid7 los enlaza en su análisis.
Por qué te importa aunque no seas una gran empresa
Connect Secure es la sucesora de Pulse Secure y la VPN con la que muchos integradores dan acceso a proveedores, vendedores y dirección. Shadowserver rastrea más de 5,500 instancias expuestas a internet, según BleepingComputer.
El patrón ya nos es conocido. En octubre hemos visto lo mismo con la segunda falla crítica de SonicWall SMA1000 y con GlobalProtect de Palo Alto, que sigue abriendo la puerta al ransomware meses después del parche. El equipo de acceso remoto es el que "no se toca porque funciona", y por eso es el primero que buscan los atacantes. No por nada el tercer trimestre de 2026 cerró con récord de ransomware.
Qué hacer esta semana
- Confirma si tienes Ivanti Connect Secure (o un Pulse Secure viejo) y su versión exacta; si lo administra un proveedor, pídela por escrito.
- Actualiza ya a una versión corregida: 22.8R2.5, 25.1.1.2 o 25.1.3.0/25.1.3.1, según tu rama. Rapid7 recomienda hacerlo como emergencia, fuera del ciclo normal de parches.
- Si tu versión ya no tiene soporte, no hay parche que valga: hay que subir a una rama vigente o sacar el equipo de internet.
- Reduce la exposición mientras llega el parche pendiente. Si puedes, limita el acceso al portal VPN a las IP de tus sucursales y proveedores conocidos, y exige MFA para todos los usuarios.
- Corre el Integrity Checker Tool, pero no te quedes tranquilo con un resultado limpio: el atacante lo evadía.
- Revisa los registros desde el 1 de octubre en un sistema externo (SIEM o servidor de logs), porque los del equipo pudieron alterarse. Busca accesos administrativos a horas raras o desde IP desconocidas.
- Si hay sospecha, sigue los pasos de recuperación de Ivanti: restablecimiento de fábrica, cambio de todas las credenciales que pasaron por la VPN (incluidas cuentas de servicio y de Active Directory) y revisión de lo que hay detrás del equipo.
- Confirma que tus respaldos aguantan un ataque. Si alguien llegó a la red interna, es lo que te salva. Te explicamos cómo en respaldos que sobreviven al ransomware.
- Vigila el aviso de Ivanti: cuando salga el parche de la falla de escalamiento de privilegios (CVE-2026-111357), aplícalo el mismo día.
La lección de fondo
Una VPN que da acceso a toda la red es un punto único de falla, y cuatro episodios de día cero en Connect Secure desde enero de 2024 lo confirman. Si estás por renovar el equipo o el contrato, vale la pena comparar con esquemas donde cada usuario solo ve las aplicaciones que necesita. Lo explicamos en VPN tradicional vs. ZTNA.
Si no sabes qué versión tienes o quién la actualiza, en ciberseguridad y redes hacemos la revisión, el parche, la búsqueda de rastros y, si conviene, la migración a otro esquema de acceso remoto.
