CISA suma dos fallos de Ivanti Connect Secure a KEV tras una cadena explotada

CISA añadió el 30 de octubre CVE-2026-111357 y CVE-2026-118527 al catálogo de vulnerabilidades explotadas conocidas, KEV. No son dos avisos aislados: el catálogo las relaciona con CVE-2026-104935 en una cadena contra Ivanti Connect Secure. Que una entrada llegue a KEV confirma explotación conocida; no revela cuántos appliances fueron comprometidos ni convierte cada instalación en vulnerable por defecto.

-SecureCrew dice: cuando tres piezas distintas caben en una cadena, el inventario de CVE deja de ser una lista y pasa a ser un mapa de acceso.-

Qué añade cada fallo

CVE-2026-118527 permite a un atacante remoto autenticado cargar archivos con contenido controlado a una ubicación conocida del disco, según la ficha de CISA. La entrada explica que puede encadenarse con CVE-2026-104935 y CVE-2026-111357. La autenticación requerida por este fallo no debe leerse fuera del contexto de la cadena: el primer bypass puede cambiar quién llega a ejecutar las acciones siguientes.

CVE-2026-111357 es un fallo de autenticación en una función crítica que puede permitir a un atacante local autenticado elevar privilegios. CISA también lo vincula a las otras dos vulnerabilidades. En conjunto, la secuencia descrita transforma una entrada inicial en más capacidad sobre el appliance; la información pública disponible no justifica atribuirla a un grupo concreto ni afirmar que se usó en ransomware.

CVE-2026-104935 ya estaba en KEV desde el 13 de octubre y es el bypass de autenticación que permite ejecución de comandos a un atacante remoto no autenticado en las versiones afectadas. Ivanti informó de explotación limitada de la cadena. Ese matiz importa: “limitada” describe lo que el proveedor había observado, mientras KEV registra que existe explotación; ninguna de las dos cosas proporciona un recuento global de víctimas.

-SecureCrew dice: una cadena explotada no necesita parecer cinematográfica; basta con que cada control dé por válido el supuesto del siguiente.-

Ramas afectadas y respuesta

El Centre canadiense lista como afectadas las ramas anteriores a 25.1.1.3, 25.1.3.1 y 22.8R2.6 de Connect Secure. Son líneas de mantenimiento diferentes, así que no conviene comparar solo el número más alto ni asumir que una versión de otra rama es equivalente. Consulta el aviso de Ivanti para escoger el build que corresponde a cada appliance y su ruta de actualización.

La fecha de KEV orienta sobre prioridad, no sustituye el análisis del equipo. CISA fijó el 2 de noviembre para CVE-2026-111357 y el 13 de noviembre para CVE-2026-118527 dentro de su catálogo. Esas fechas se aplican a la respuesta federal estadounidense bajo sus directivas; no son plazos universales para todas las organizaciones. Para quien opera Connect Secure, la señal práctica es que debe revisar la rama, instalar el arreglo aplicable y tratar la exposición como urgente.

Instalar una versión corregida no demuestra que el appliance estuviera limpio antes del cambio. Si el producto estuvo expuesto durante la ventana de explotación, la revisión debe incluir los registros y los indicadores que Ivanti y los equipos de respuesta han publicado. El propio catálogo de CISA remite a requisitos de triaje forense. No basta con guardar una captura del número de versión y cerrar el ticket.

-SecureCrew dice: el parche cierra la puerta que conocemos; no borra las huellas de quien ya pudo cruzarla.-

La decisión operativa depende de la rama, la exposición y la evidencia local. Si una actualización exige una migración de plataforma o una ventana de mantenimiento, coordina el cambio con el soporte del proveedor y prioriza los appliances alcanzables desde Internet. Si una investigación sugiere acceso previo, conserva evidencia y sigue el procedimiento de respuesta antes de reconstruir o limpiar el sistema; borrar primero puede borrar también la explicación.

Diccionario de la Crew

KEV — Catálogo de CISA que reúne vulnerabilidades con explotación conocida.
Bypass de autenticación — Fallo que permite superar una comprobación de identidad o sesión.
Appliance — Equipo o instancia que presta una función de red como servicio integrado.