[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero":3,"prev-/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero":392,"next-/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero":369,"related-/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero":395,"author-Diego Herrera":413},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":346,"cta":347,"date":352,"dateModified":352,"description":353,"draft":354,"extension":355,"faq":356,"featured":354,"howto":369,"image":370,"imageAlt":371,"intent":372,"keywords":373,"meta":379,"navigation":380,"path":381,"publishedTime":382,"readingTime":383,"seo":384,"seoTitle":385,"stem":386,"tags":387,"__hash__":391},"blog/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero.md","Ivanti Connect Secure: día cero explotado desde octubre y una segunda falla todavía sin parche","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":336},"minimark",[11,24,35,40,51,119,122,129,133,152,155,203,210,218,222,229,247,251,312,316,323],[12,13,14,15,19,20,23],"p",{},"El 13 de octubre de 2026 Ivanti publicó un aviso de seguridad para ",[16,17,18],"strong",{},"CVE-2026-104935",", una falla en ",[16,21,22],{},"Ivanti Connect Secure",", su VPN para acceso remoto, que ya se estaba explotando antes de que existiera el parche para todas las versiones. Ese mismo día la agencia de ciberseguridad de Estados Unidos (CISA) la agregó a su catálogo de vulnerabilidades explotadas (KEV).",[12,25,26,27,30,31,34],{},"Lo que la hace más seria: forma parte de una ",[16,28,29],{},"cadena de tres fallas",", y la tercera seguía ",[16,32,33],{},"sin parche"," al cierre de esta nota. Además, el atacante borraba sus huellas. Volexity cree, con baja confianza, que el motivo es criminal y no de espionaje.",[36,37,39],"h2",{"id":38},"qué-permite-la-falla","Qué permite la falla",[12,41,42,43,46,47,50],{},"Es un ",[16,44,45],{},"bypass de autenticación por suplantación",": un atacante remoto, sin usuario ni contraseña y sin que nadie haga clic, puede ejecutar comandos en el equipo. Rapid7 le asigna un CVSS de ",[16,48,49],{},"8.6"," (alta). La puerta controlada hacia tu red queda en manos de un tercero.",[52,53,54,67],"table",{},[55,56,57],"thead",{},[58,59,60,64],"tr",{},[61,62,63],"th",{},"Dato",[61,65,66],{},"Detalle",[68,69,70,79,87,95,103,111],"tbody",{},[58,71,72,76],{},[73,74,75],"td",{},"Producto",[73,77,78],{},"Ivanti Connect Secure (VPN SSL)",[58,80,81,84],{},[73,82,83],{},"Versiones afectadas",[73,85,86],{},"22.8R2.4 y anteriores; 25.1.2.2 y anteriores; 25.1.1.1 y anteriores",[58,88,89,92],{},[73,90,91],{},"Versiones corregidas",[73,93,94],{},"22.8R2.5; 25.1.1.2; 25.1.3.0 y 25.1.3.1",[58,96,97,100],{},[73,98,99],{},"No afectadas",[73,101,102],{},"Rama 22.7 y anteriores, según el aviso citado por Rapid7",[58,104,105,108],{},[73,106,107],{},"Explotación",[73,109,110],{},"Desde el 1 de octubre (Defused) o al menos el 3 de octubre (Volexity)",[58,112,113,116],{},[73,114,115],{},"Catálogo KEV de CISA",[73,117,118],{},"Agregada el 13 de octubre de 2026, con plazo de solo tres días (16 de octubre) para las agencias federales",[12,120,121],{},"Fuentes: Rapid7 y BleepingComputer, ambos del 13 de octubre de 2026, con base en el aviso de Ivanti.",[12,123,124,125,128],{},"Un detalle que explica cómo se llegó aquí: según Rapid7, la corrección ya venía incluida desde julio en la versión ",[16,126,127],{},"25.1.3.0",". La explotación ocurrió mientras Ivanti trasladaba el arreglo a las demás ramas con soporte. Quien estaba en la versión más reciente estaba protegido de esta falla; quien se quedó en 22.8 o en las primeras 25.1, no.",[36,130,132],{"id":131},"cómo-fue-el-ataque","Cómo fue el ataque",[12,134,135,136,139,140,143,144,147,148,151],{},"La empresa de seguridad ",[16,137,138],{},"Volexity"," descubrió la actividad a principios de octubre y la atribuye a un grupo que identifica como ",[16,141,142],{},"UTA0576",". De forma independiente, la firma ",[16,145,146],{},"Defused"," vio los primeros intentos de explotación el ",[16,149,150],{},"1 de octubre",". Ivanti habla de \"explotación limitada\" que afectó a un número reducido de clientes.",[12,153,154],{},"Lo relevante para quien administra un equipo así, según el reporte que recoge BleepingComputer:",[156,157,158,169,183,193],"ul",{},[159,160,161,164,165,168],"li",{},[16,162,163],{},"Cadena de tres fallas."," Según Volexity, CVE-2026-104935 agrupa las dos primeras (el bypass de autenticación y una ejecución remota de código); una tercera, de escalamiento de privilegios, le permitió ejecutar código como ",[16,166,167],{},"root"," (el usuario con control total). El equipo comprometido que analizó Volexity estaba en 22.8R2.4, la versión más reciente de su rama en ese momento.",[159,170,171,174,175,178,179,182],{},[16,172,173],{},"Una sigue abierta."," Ivanti corrigió dos de las tres. La de ",[16,176,177],{},"escalamiento de privilegios"," seguía sin parche al 19 de octubre. El 15 de octubre se publicó con el identificador ",[16,180,181],{},"CVE-2026-111357"," (CVSS 7.0, alta), y el registro la marca como explotada; según Volexity, Ivanti la corregirá «en una versión futura, en las próximas semanas», sin fecha confirmada. Antes de actuar, revisa si el aviso de Ivanti ya trae esa versión.",[159,184,185,188,189,192],{},[16,186,187],{},"Sin malware ni web shell."," En lugar de instalar algo, el atacante volvía a explotar el equipo ",[16,190,191],{},"para cada comando",".",[159,194,195,198,199,202],{},[16,196,197],{},"Registros alterados."," Modificaba los logs, y así ",[16,200,201],{},"evadía el Integrity Checker Tool",", la herramienta que Ivanti recomienda para detectar compromisos.",[12,204,205,206,209],{},"Ivanti reconoce que ",[16,207,208],{},"no hay indicadores de compromiso confiables",". Volexity publicó algunos en GitHub, y Rapid7 los enlaza en su análisis.",[211,212,215],"callout",{"icon":213,"title":214},"i-lucide-history","Un historial que pesa",[12,216,217],{},"Connect Secure ha tenido días cero explotados en enero de 2024 (CVE-2023-46805 y CVE-2024-21887, seguidas de CVE-2024-21893), en enero de 2025 (CVE-2025-0282) y en marzo de 2025 (CVE-2025-22457). BleepingComputer cuenta 36 vulnerabilidades de Ivanti marcadas como explotadas por CISA desde noviembre de 2021, 12 de ellas usadas también por grupos de ransomware.",[36,219,221],{"id":220},"por-qué-te-importa-aunque-no-seas-una-gran-empresa","Por qué te importa aunque no seas una gran empresa",[12,223,224,225,228],{},"Connect Secure es la sucesora de Pulse Secure y la VPN con la que muchos integradores dan acceso a proveedores, vendedores y dirección. Shadowserver rastrea ",[16,226,227],{},"más de 5,500 instancias"," expuestas a internet, según BleepingComputer.",[12,230,231,232,237,238,242,243,192],{},"El patrón ya nos es conocido. En octubre hemos visto lo mismo con ",[233,234,236],"a",{"href":235},"/blog/noticias/sonicwall-sma1000-cve-2026-102255-ssrf","la segunda falla crítica de SonicWall SMA1000"," y con ",[233,239,241],{"href":240},"/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra","GlobalProtect de Palo Alto, que sigue abriendo la puerta al ransomware meses después del parche",". El equipo de acceso remoto es el que \"no se toca porque funciona\", y por eso es el primero que buscan los atacantes. No por nada ",[233,244,246],{"href":245},"/blog/noticias/ransomware-record-tercer-trimestre-2026","el tercer trimestre de 2026 cerró con récord de ransomware",[36,248,250],{"id":249},"qué-hacer-esta-semana","Qué hacer esta semana",[252,253,254,260,266,272,278,284,290,296,306],"ol",{},[159,255,256,259],{},[16,257,258],{},"Confirma si tienes Ivanti Connect Secure"," (o un Pulse Secure viejo) y su versión exacta; si lo administra un proveedor, pídela por escrito.",[159,261,262,265],{},[16,263,264],{},"Actualiza ya a una versión corregida",": 22.8R2.5, 25.1.1.2 o 25.1.3.0/25.1.3.1, según tu rama. Rapid7 recomienda hacerlo como emergencia, fuera del ciclo normal de parches.",[159,267,268,271],{},[16,269,270],{},"Si tu versión ya no tiene soporte",", no hay parche que valga: hay que subir a una rama vigente o sacar el equipo de internet.",[159,273,274,277],{},[16,275,276],{},"Reduce la exposición mientras llega el parche pendiente."," Si puedes, limita el acceso al portal VPN a las IP de tus sucursales y proveedores conocidos, y exige MFA para todos los usuarios.",[159,279,280,283],{},[16,281,282],{},"Corre el Integrity Checker Tool",", pero no te quedes tranquilo con un resultado limpio: el atacante lo evadía.",[159,285,286,289],{},[16,287,288],{},"Revisa los registros desde el 1 de octubre"," en un sistema externo (SIEM o servidor de logs), porque los del equipo pudieron alterarse. Busca accesos administrativos a horas raras o desde IP desconocidas.",[159,291,292,295],{},[16,293,294],{},"Si hay sospecha, sigue los pasos de recuperación de Ivanti",": restablecimiento de fábrica, cambio de todas las credenciales que pasaron por la VPN (incluidas cuentas de servicio y de Active Directory) y revisión de lo que hay detrás del equipo.",[159,297,298,301,302,192],{},[16,299,300],{},"Confirma que tus respaldos aguantan un ataque."," Si alguien llegó a la red interna, es lo que te salva. Te explicamos cómo en ",[233,303,305],{"href":304},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldos que sobreviven al ransomware",[159,307,308,311],{},[16,309,310],{},"Vigila el aviso de Ivanti",": cuando salga el parche de la falla de escalamiento de privilegios (CVE-2026-111357), aplícalo el mismo día.",[36,313,315],{"id":314},"la-lección-de-fondo","La lección de fondo",[12,317,318,319,192],{},"Una VPN que da acceso a toda la red es un punto único de falla, y cuatro episodios de día cero en Connect Secure desde enero de 2024 lo confirman. Si estás por renovar el equipo o el contrato, vale la pena comparar con esquemas donde cada usuario solo ve las aplicaciones que necesita. Lo explicamos en ",[233,320,322],{"href":321},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN tradicional vs. ZTNA",[12,324,325,326,330,331,335],{},"Si no sabes qué versión tienes o quién la actualiza, en ",[233,327,329],{"href":328},"/servicios/ciberseguridad","ciberseguridad"," y ",[233,332,334],{"href":333},"/servicios/redes","redes"," hacemos la revisión, el parche, la búsqueda de rastros y, si conviene, la migración a otro esquema de acceso remoto.",{"title":337,"searchDepth":338,"depth":339,"links":340},"",2,3,[341,342,343,344,345],{"id":38,"depth":338,"text":39},{"id":131,"depth":338,"text":132},{"id":220,"depth":338,"text":221},{"id":249,"depth":338,"text":250},{"id":314,"depth":338,"text":315},"noticias",{"title":348,"description":349,"label":350,"to":328,"icon":351},"¿Tu acceso remoto depende de un equipo que nadie revisa?","Revisamos la versión y exposición de tu VPN, aplicamos parches y mitigaciones, buscamos rastros de acceso indebido en la red y te ayudamos a planear un acceso remoto con menos superficie de ataque.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-20","Ivanti corrigió el 13 de octubre CVE-2026-104935, explotada desde el día 1 en su VPN Connect Secure. Una falla de la misma cadena sigue sin parche. Qué hacer.",false,"md",[357,360,363,366],{"question":358,"answer":359},"¿Qué versiones de Ivanti Connect Secure están afectadas por CVE-2026-104935?","Según el aviso de Ivanti del 13 de octubre de 2026, citado por Rapid7 y BleepingComputer, están afectadas la 22.8R2.4 y anteriores, la 25.1.2.2 y anteriores y la 25.1.1.1 y anteriores. Las versiones corregidas son 22.8R2.5, 25.1.1.2 y 25.1.3.0 o 25.1.3.1. Rapid7 indica que, de acuerdo con el aviso, la rama 22.7 y anteriores no están afectadas por esta falla.",{"question":361,"answer":362},"Si ya actualicé, ¿estoy protegido?","De esta falla, sí. Pero Volexity reportó que el atacante la encadenó con una tercera vulnerabilidad, de escalamiento de privilegios, que al 19 de octubre de 2026 seguía sin parche. Desde el 15 de octubre tiene su propio identificador, CVE-2026-111357. Además, el atacante borraba registros y no dejaba malware, así que un equipo que estuvo expuesto antes del parche pudo haber sido usado sin dejar rastros evidentes. Actualizar es obligatorio, pero no basta.",{"question":364,"answer":365},"¿El Integrity Checker Tool de Ivanti detecta este ataque?","No de forma confiable. BleepingComputer, citando a Volexity, reporta que el atacante no instaló web shells ni malware: volvía a explotar el equipo para cada comando y alteraba los registros, con lo que evadía la herramienta de verificación de integridad. Ivanti misma reconoce que no hay indicadores de compromiso confiables. Conviene seguir corriendo la herramienta, pero no tomar un resultado limpio como garantía.",{"question":367,"answer":368},"¿Cuántos equipos Ivanti están expuestos?","Shadowserver rastrea más de 5,500 instancias de Ivanti Connect Secure visibles en internet, según BleepingComputer. No se sabe cuántas son señuelos para atacantes o ya están protegidas.",null,"/images/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero.jpg","Equipo de acceso remoto VPN en un rack con una alerta roja y registros de eventos borrados en una pantalla","informational",[374,375,376,377,378],"cve-2026-104935","cve-2026-111357","ivanti connect secure vulnerabilidad","ivanti vpn dia cero","ivanti integrity checker tool",{},true,"/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero","2026-10-20T08:15:00-06:00",5,{"title":5,"description":353},"Ivanti Connect Secure CVE-2026-104935: día cero explotado","blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero",[329,388,389,390],"vpn","dia cero","acceso remoto","4i9ApYwGUKAxK--ktVgin-5y-wsVxeo1T0euMr7QepQ",{"path":393,"title":394},"/blog/noticias/salario-minimo-2027-negociacion-presupuesto-nomina","Salario mínimo 2027: empresarios piden solo inflación, la CTM hasta 10 % y la Conasami busca un punto intermedio",[396,402,408],{"path":397,"title":398,"description":399,"date":352,"category":346,"image":400,"imageAlt":401,"readingTime":383},"/blog/noticias/gemini-argon-flash-precio-se-duplica-diciembre-enero","Gemini 4 Argon ya está disponible, pero su precio se duplica el 1 de diciembre; Flash, el 1 de enero","Gemini 4 Argon llegó a todos el 13 de octubre a 2 y 10 dólares, que suben a 4 y 20 el 1 de diciembre. Gemini 3.8 Flash duplica su precio en 2027. Qué hacer.","/images/blog/noticias/gemini-argon-flash-precio-se-duplica-diciembre-enero.jpg","Gráfica de costo mensual de una API de inteligencia artificial que se duplica en un calendario de diciembre y enero",{"path":403,"title":404,"description":405,"date":352,"category":346,"image":406,"imageAlt":407,"readingTime":383},"/blog/noticias/arancel-cero-autopartes-ensamble-cinco-anos","Arancel cero a partes para ensamblar autos durante cinco años: qué cambia para los proveedores del Bajío","Desde el 14 de octubre, las armadoras con depósito fiscal importan partes para ensamble sin el 10% de arancel durante cinco años. Qué implica para proveedores.","/images/blog/noticias/arancel-cero-autopartes-ensamble-cinco-anos.jpg","Línea de ensamble de automóviles con cajas de autopartes importadas junto a una terminal que muestra un pedimento",{"path":393,"title":394,"description":409,"date":410,"category":346,"image":411,"imageAlt":412,"readingTime":383},"El CCE pide quitar el MIR y ligar el salario mínimo 2027 a la inflación; la CTM pide 5 a 10 %. Se decide en diciembre. Escenarios para presupuestar tu nómina.","2026-10-19","/images/blog/noticias/salario-minimo-2027-negociacion-presupuesto-nomina.jpg","Tres flechas de distinta altura sobre un recibo de nómina, representando los escenarios de aumento al salario mínimo 2027",{"id":414,"avatar":369,"bio":415,"entityType":416,"expertise":417,"extension":418,"meta":419,"name":6,"role":420,"slug":421,"social":369,"stem":422,"url":7,"__hash__":423},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]