CISA añade dos fallas de Ivanti VPN a vulnerabilidades explotadas Catálogo como límite federal para las tierras críticas de errores hoy
El Organismo de Seguridad de la Ciberseguridad e Infraestructura de los Estados Unidos (CISA) actualizó su alerta de seguridad el 30 de octubre para añadir dos vulnerabilidades en el Appliance de la empresa VPN de Ivanti Connect Secure, CVE-2026-111357 y CVE-2026-118527, a su catálogo de vulnerabilidades explotadas (KEV) conocido, y el plazo de remediación estableció agencias civiles federales para el crítico es hoy, 2 de noviembre. Ivanti Connect Secure es ampliamente utilizado para el acceso remoto por empresas y agencias gubernamentales, y CISA dice que los actores de la amenaza están explotando activamente los defectos.
De acuerdo con la alerta de CISA, las tres fallas de cadena juntas: combinadas con CVE-2026-104935, que fue agregado al catálogo el 13 de octubre, permiten a un atacante remoto y no secuestrado ejecutar comandos arbitrarios, robar credenciales y datos de exfiltración. Las versiones afectadas son Connect Secure 25.1.1.2 y prior, 25.1.2.2 y anterior, y 22.8R2.5 y anterior. La firma de seguridad Volexity dice que un actor que rastrea como UTA0576 ha explotado la cadena desde principios de octubre, en un caso entrando en un dispositivo completamente parcheado, ganando acceso raíz y yendo directo para credenciales Active Directory.
De los dos defectos recién enumerados, CVE-2026-111357 es un número de falta de autenticación valorado CVSS 8.8 que permite a un atacante autenticado local escalar a raíz; su fecha límite federal es el 2 de noviembre. CVE-2026-118527, un número de identificación predecible clasificado CVSS 4.3, permite a un atacante autenticado remoto subir archivos a un lugar conocido en el disco; su fecha límite es el 13 de noviembre. Ivanti lanzó obras fijas 22.8R2.6 y 25.1.1.3 el 29 de octubre.
CISA insta a todas las organizaciones que ejecutan electrodomésticos afectados a actualizar a la última versión inmediatamente. También advierte que la Herramienta de Control de Integridad de Ivanti no puede detectar la explotación de CVE-2026-104935 porque los comandos del atacante se ejecutan en memoria; organizaciones que sospechan que un compromiso necesita red y memoria forenses y deben seguir los procedimientos de recuperación de Ivanti, restablecer contraseñas de cuenta, certificados y llaves. CISA también observa que Connect Secure versión 22.8 llega al final de la vida el 31 de enero de 2027.
Fuente: GSM · EE. UU. (edición en inglés · edición original en chino)
Foto: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
