[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev":3,"prev-/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev":447,"next-/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev":424,"related-/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev":450,"author-Diego Herrera":469},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":402,"cta":403,"date":407,"dateModified":407,"description":408,"draft":409,"extension":410,"faq":411,"featured":409,"howto":424,"image":425,"imageAlt":426,"intent":427,"keywords":428,"meta":434,"navigation":435,"path":436,"publishedTime":437,"readingTime":438,"seo":439,"seoTitle":440,"stem":441,"tags":442,"__hash__":446},"blog/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev.md","Ivanti cierra la cadena de Connect Secure: parche para la falla que daba root y CISA da hasta el 2 de noviembre","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":392},"minimark",[11,40,53,58,124,127,142,150,154,157,191,198,201,205,216,250,253,256,260,327,335,339,359,371,383],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,39],"p",{},"Ivanti terminó de cerrar la cadena de fallas que se explotaba en ",[16,17,18],"strong",{},"Ivanti Connect Secure"," desde principios de octubre. El ",[16,21,22],{},"29 de octubre de 2026"," actualizó su aviso de seguridad con dos identificadores nuevos, ",[16,25,26],{},"CVE-2026-111357"," y ",[16,29,30],{},"CVE-2026-118527",", y con versiones que corrigen las tres fallas encadenadas. Este viernes ",[16,33,34],{},"30 de octubre",", la agencia de ciberseguridad de Estados Unidos (CISA) agregó ambas a su catálogo de vulnerabilidades explotadas (KEV) y dio a las agencias federales ",[16,37,38],{},"hasta el lunes 2 de noviembre"," para atender la más grave.",[12,41,42,43,48,49,52],{},"Es la pieza que faltaba de ",[44,45,47],"a",{"href":46},"/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero","el día cero de Ivanti Connect Secure"," que contamos el 20 de octubre: el escalamiento a ",[16,50,51],{},"root"," (control total del equipo) ya tiene parche. Y Volexity, la firma que descubrió el ataque, detalló qué hizo el atacante una vez dentro.",[54,55,57],"h2",{"id":56},"las-tres-fallas-de-la-cadena","Las tres fallas de la cadena",[59,60,61,80],"table",{},[62,63,64],"thead",{},[65,66,67,71,74,77],"tr",{},[68,69,70],"th",{},"CVE",[68,72,73],{},"Qué permite",[68,75,76],{},"CVSS",[68,78,79],{},"Catálogo KEV de CISA",[81,82,83,98,111],"tbody",{},[65,84,85,89,92,95],{},[86,87,88],"td",{},"CVE-2026-104935",[86,90,91],{},"Saltarse el inicio de sesión y ejecutar comandos sin credenciales",[86,93,94],{},"8.6",[86,96,97],{},"Agregada el 13 oct 2026",[65,99,100,102,105,108],{},[86,101,30],{},[86,103,104],{},"Subir archivos con contenido del atacante a una ruta predecible del disco",[86,106,107],{},"4.3",[86,109,110],{},"Agregada el 30 oct 2026, plazo 13 nov",[65,112,113,115,118,121],{},[86,114,26],{},[86,116,117],{},"Escalar privilegios hasta root",[86,119,120],{},"7.0 en NVD; 8.8 según la prensa que cita a Ivanti",[86,122,123],{},"Agregada el 30 oct 2026, plazo 2 nov",[12,125,126],{},"Fuentes: catálogo KEV de CISA (versión 2026.10.30), registro de NVD de CVE-2026-111357 (modificado el 30 de octubre de 2026), GBHackers y Cybersecurity News (30 de octubre de 2026).",[12,128,129,130,133,134,137,138,141],{},"La calificación de CVE-2026-111357 no coincide entre fuentes: el registro en NVD, aportado por MITRE, le da ",[16,131,132],{},"7.0"," porque exige acceso local previo, mientras que los reportes que citan a Ivanti hablan de ",[16,135,136],{},"8.8",". En la práctica da igual: encadenada con las otras dos, un atacante sin usuario ni contraseña termina como root. CISA marcó además CVE-2026-111357 con requisito de ",[16,139,140],{},"triage forense",", algo que no pidió para la de 4.3.",[12,143,144,145,149],{},"Según NVD, la falla de root está en la forma en que el servicio interno ",[146,147,148],"code",{},"dsinvoked"," confía en datos de configuración guardados en caché, y el mismo registro indica que se explotó en octubre de 2026.",[54,151,153],{"id":152},"qué-versión-instalar","Qué versión instalar",[12,155,156],{},"Ivanti dice, en la frase que recoge SecurityOnline el 30 de octubre: «A fix is available now for all vulnerabilities which were chained and exploited in the wild» (ya hay parche para todas las fallas encadenadas y explotadas).",[158,159,160,171,179,185],"ul",{},[161,162,163,166,167,170],"li",{},[16,164,165],{},"Rama 25.1.1:"," actualizar a ",[16,168,169],{},"25.1.1.3",".",[161,172,173,166,176,170],{},[16,174,175],{},"Rama 22.8:",[16,177,178],{},"22.8R2.6",[161,180,181,184],{},[16,182,183],{},"Rama 25.1.3:"," las notas publicadas no coinciden sobre si 25.1.3.1 ya cubre las dos fallas nuevas. Confírmalo en el aviso de Ivanti antes de dar el tema por cerrado.",[161,186,187,190],{},[16,188,189],{},"Rama 22.7 y anteriores:"," SecurityOnline indica que no están afectadas. Revisa de todos modos si tu versión sigue con soporte.",[12,192,193,194,197],{},"Ojo con un detalle del reporte de Volexity: el equipo comprometido que analizó estaba en ",[16,195,196],{},"22.8R2.4 (build 19097)",", la versión más reciente de su rama en ese momento. Estar al día no bastó. Lo que importa ahora es instalar las versiones del 29 de octubre.",[199,200],"ad-banner",{},[54,202,204],{"id":203},"lo-que-hizo-el-atacante-después-de-entrar","Lo que hizo el atacante después de entrar",[12,206,207,208,211,212,215],{},"Esta es la parte que más le importa a una PyME. Volexity, que sigue al grupo como ",[16,209,210],{},"UTA0576"," y rastreó la actividad hasta el ",[16,213,214],{},"3 de octubre de 2026",", actualizó su análisis tras el parche del 29 de octubre. Según ese reporte:",[158,217,218,232,238,244],{},[161,219,220,223,224,227,228,231],{},[16,221,222],{},"Usó la cuenta de servicio de Active Directory del propio equipo VPN"," para consultar al controlador de dominio. Buscaba contraseñas de administrador local guardadas con ",[16,225,226],{},"LAPS",", ",[16,229,230],{},"claves de recuperación de BitLocker"," y atributos de usuario que contienen contraseñas.",[161,233,234,237],{},[16,235,236],{},"Probó credenciales en la red interna"," con password spraying y Kerberoasting, y extrajo material de autenticación (LDAP, HTTP Basic, NTLM) de capturas de tráfico.",[161,239,240,243],{},[16,241,242],{},"No dejó web shell ni puerta trasera persistente."," Volvía a explotar el equipo para cada paso y movía comandos y resultados por HTTPS.",[161,245,246,249],{},[16,247,248],{},"Borró sus huellas",": eliminó entradas recientes de los registros de depuración y de auditoría del equipo, y revirtió en memoria los cambios que había hecho.",[12,251,252],{},"Volexity concluye que el robo de credenciales preparaba un compromiso más amplio de la red, pero no pudo determinar el objetivo final porque la operación se interrumpió.",[12,254,255],{},"Traducido: si tu VPN Ivanti estuvo expuesta en octubre, el riesgo no se queda en el equipo. Su cuenta de Active Directory fue la llave para ir por las contraseñas de las computadoras y las claves de los discos cifrados.",[54,257,259],{"id":258},"qué-hacer-antes-del-lunes","Qué hacer antes del lunes",[261,262,263,269,275,281,287,305,311,317],"ol",{},[161,264,265,268],{},[16,266,267],{},"Confirma si tienes Ivanti Connect Secure"," (o un Pulse Secure viejo) y en qué versión exacta está. Si lo administra un proveedor, pídela por escrito hoy.",[161,270,271,274],{},[16,272,273],{},"Actualiza a 25.1.1.3 o 22.8R2.6"," según tu rama, o a la versión que el aviso de Ivanti indique para tu hardware. Trátalo como cambio de emergencia; no esperes la ventana de mantenimiento del mes.",[161,276,277,280],{},[16,278,279],{},"Cambia la contraseña de la cuenta de servicio"," de Active Directory que usa la VPN y revisa qué permisos tiene. Si puede leer LAPS o BitLocker, quítale ese acceso; para validar usuarios no lo necesita.",[161,282,283,286],{},[16,284,285],{},"Rota las contraseñas de LAPS"," y, si hay sospecha, las claves de recuperación de BitLocker de los equipos críticos.",[161,288,289,292,293,296,297,300,301,304],{},[16,290,291],{},"Busca rastros fuera del equipo."," Volexity sugiere vigilar muchas peticiones a ",[146,294,295],{},"/dana-na/auth/url_default/welcome.cgi"," con un encabezado ",[146,298,299],{},"X-DSCGI-PATH"," que no coincide con la ruta, y archivos extraños en ",[146,302,303],{},"/tmp/",". Como los registros del equipo pudieron alterarse, revisa también los del firewall, del controlador de dominio y de tu SIEM desde el 1 de octubre.",[161,306,307,310],{},[16,308,309],{},"No te fíes del Integrity Checker Tool."," Córrelo, pero un resultado limpio no descarta nada: los cambios del atacante vivían en memoria.",[161,312,313,316],{},[16,314,315],{},"Si encuentras algo, conserva evidencia"," (imágenes de memoria y de disco) antes de restablecer el equipo. Volexity dice que eso fue clave para reconstruir la intrusión.",[161,318,319,322,323,170],{},[16,320,321],{},"Cierra la exposición mientras parchas",": limita el portal a IP conocidas y exige MFA a todos. Si tu MFA todavía depende de SMS, revisa lo que cambió en ",[44,324,326],{"href":325},"/blog/noticias/entra-sms-voz-mfa-proveedor-30-octubre","Entra ID con los métodos por SMS y voz",[328,329,332],"callout",{"icon":330,"title":331},"i-lucide-radar","Cuántos equipos hay expuestos",[12,333,334],{},"Las cifras no coinciden. El 13 de octubre BleepingComputer citó a Shadowserver con más de 5,500 instancias de Connect Secure visibles en internet; el 30 de octubre SecurityOnline habló de más de 10,000 con datos de Shodan.",[54,336,338],{"id":337},"un-octubre-pesado-para-el-acceso-remoto","Un octubre pesado para el acceso remoto",[12,340,341,342,227,346,27,350,354,355,170],{},"Este mes también cayeron ",[44,343,345],{"href":344},"/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev","la VPN de Cisco ASA y FTD",[44,347,349],{"href":348},"/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra","GlobalProtect",[44,351,353],{"href":352},"/blog/noticias/sonicwall-sma1000-cve-2026-102255-ssrf","SonicWall SMA1000",". El equipo de acceso remoto está en internet, tiene credenciales del dominio y casi nadie lo revisa: es la primera puerta que buscan quienes luego cifran todo, y el ",[44,356,358],{"href":357},"/blog/noticias/ransomware-record-tercer-trimestre-2026","tercer trimestre de 2026 cerró con récord de ransomware",[12,360,361,362,366,367,170],{},"Si ya es el cuarto susto con la misma VPN, evalúa un esquema por aplicación (",[44,363,365],{"href":364},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN tradicional vs. ZTNA",") y confirma tus ",[44,368,370],{"href":369},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldos contra ransomware",[12,372,373,374,27,378,382],{},"En ",[44,375,377],{"href":376},"/servicios/ciberseguridad","ciberseguridad",[44,379,381],{"href":380},"/servicios/redes","redes"," hacemos la revisión de versión, el parche, la búsqueda de rastros y la rotación de credenciales del dominio.",[384,385],"call-to-action",{"description":386,"eyebrow":387,"icon":388,"label":389,"title":390,"to":391},"Actualizamos el equipo, revisamos accesos a Active Directory desde octubre y rotamos las credenciales que pudieron quedar expuestas.","Ciberseguridad","i-lucide-shield-alert","Agendar revisión","Parcha tu VPN Ivanti y revisa lo que hay detrás","/contacto",{"title":393,"searchDepth":394,"depth":395,"links":396},"",2,3,[397,398,399,400,401],{"id":56,"depth":394,"text":57},{"id":152,"depth":394,"text":153},{"id":203,"depth":394,"text":204},{"id":258,"depth":394,"text":259},{"id":337,"depth":394,"text":338},"noticias",{"title":404,"description":405,"label":406,"to":376,"icon":388},"¿Tu VPN tiene acceso a Active Directory y nadie la ha revisado?","Verificamos versión y exposición de tu equipo de acceso remoto, aplicamos el parche, revisamos rastros en la red y rotamos las credenciales que pasaron por él.","Ver ciberseguridad","2026-10-30","Ivanti publicó el 29 de octubre 25.1.1.3 y 22.8R2.6, que cierran la cadena explotada en su VPN. CISA las metió al KEV el 30. Qué versión instalar y qué revisar.",false,"md",[412,415,418,421],{"question":413,"answer":414},"¿A qué versión de Ivanti Connect Secure tengo que actualizar?","Según los reportes de GBHackers y Cybersecurity News del 30 de octubre de 2026, que citan la actualización del aviso de Ivanti del 29 de octubre, las versiones que corrigen toda la cadena son 25.1.1.3 y 22.8R2.6. Para la rama 25.1.3 las notas publicadas no coinciden, así que confirma en el aviso de Ivanti cuál te corresponde según tu hardware.",{"question":416,"answer":417},"¿Qué plazo dio CISA?","CISA agregó las dos fallas a su catálogo de vulnerabilidades explotadas (KEV) el 30 de octubre de 2026. Para CVE-2026-111357, la de escalamiento a root, el plazo de las agencias federales de Estados Unidos es el 2 de noviembre; para CVE-2026-118527, el 13 de noviembre. Ese plazo no obliga a empresas privadas, pero es buena referencia de urgencia.",{"question":419,"answer":420},"Si mi equipo pasa el Integrity Checker Tool, ¿estoy limpio?","No necesariamente. Volexity documentó que el atacante hacía cambios solo en memoria y borraba entradas de los registros de depuración y de auditoría del equipo, lo que le permitía evadir las revisiones basadas en disco. Un resultado limpio no descarta un compromiso.",{"question":422,"answer":423},"¿Qué buscaba el atacante dentro de la red?","Según Volexity, usó la cuenta de servicio de Active Directory del equipo para consultar contraseñas de administrador local de LAPS, claves de recuperación de BitLocker y atributos con contraseñas. También hizo password spraying y Kerberoasting. Por eso, además de parchar, hay que cambiar esas credenciales.",null,"/images/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev.jpg","Equipo VPN en un rack de servidores con una alerta de parche pendiente y un controlador de dominio al fondo","informational",[429,430,431,432,433],"cve-2026-111357","cve-2026-118527","ivanti connect secure parche","ivanti 22.8r2.6","ivanti 25.1.1.3",{},true,"/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev","2026-10-30T15:30:00-06:00",5,{"title":5,"description":408},"Ivanti Connect Secure: parche CVE-2026-111357 y 118527","blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev",[377,443,444,445],"vpn","acceso remoto","active directory","CVgMPWCWSP2GL8IfHSIr9emTjv-zfir34u_nBXBUMYU",{"path":448,"title":449},"/blog/noticias/sorteo-buen-fin-2026-sat-comercios-500-millones","Sorteo del Buen Fin 2026: tu negocio también puede ganar si factura hasta 5 millones y se registra antes del 12 de noviembre",[451,457,463],{"path":452,"title":453,"description":454,"date":407,"category":402,"image":455,"imageAlt":456,"readingTime":438},"/blog/noticias/notion-ai-creditos-por-usuario-2-noviembre-notas-reuniones","Notion AI pasa a créditos por persona el 2 de noviembre, y desde el 1 de diciembre las notas de reuniones también cuentan","Desde el 2 de noviembre Notion AI da 1,500 créditos Standard y 500 Select por persona al mes, y el 1 de diciembre las notas de reuniones empiezan a gastarlos.","/images/blog/noticias/notion-ai-creditos-por-usuario-2-noviembre-notas-reuniones.jpg","Coordinadora de operaciones revisando en la configuración de Notion el consumo de créditos de IA de su equipo",{"path":458,"title":459,"description":460,"date":407,"category":402,"image":461,"imageAlt":462,"readingTime":438},"/blog/noticias/dotnet-8-9-powershell-7-4-sin-parches-10-noviembre",".NET 8, .NET 9 y PowerShell 7.4 se quedan sin parches el 10 de noviembre: revisa tus sistemas a la medida","El 10 de noviembre de 2026 terminan .NET 8, .NET 9, PowerShell 7.4 y 7.5 y el modelo in-process de Azure Functions. Cómo saber si los usas y qué hacer.","/images/blog/noticias/dotnet-8-9-powershell-7-4-sin-parches-10-noviembre.jpg","Responsable de sistemas revisando en una terminal la versión de .NET instalada en un servidor junto a un calendario marcado el 10 de noviembre",{"path":464,"title":465,"description":466,"date":407,"category":402,"image":467,"imageAlt":468,"readingTime":438},"/blog/noticias/cuarta-modificacion-miscelanea-fiscal-2026-rfc-socios-balanza","Cuarta modificación a la Miscelánea Fiscal 2026: RFC cancelado por el SAT, socios que no se actualizan y el 2 de noviembre inhábil","El DOF publicó hoy la cuarta modificación a la Miscelánea Fiscal 2026. El 2 de noviembre es inhábil para el SAT y hay reglas nuevas de RFC, socios, balanza y multas.","/images/blog/noticias/cuarta-modificacion-miscelanea-fiscal-2026-rfc-socios-balanza.jpg","Ejemplar del Diario Oficial sobre un escritorio junto a una constancia de situación fiscal y un calendario con el 2 de noviembre marcado",{"id":470,"avatar":424,"bio":471,"entityType":472,"expertise":473,"extension":474,"meta":475,"name":6,"role":476,"slug":477,"social":424,"stem":478,"url":7,"__hash__":479},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]