NoticiasNews

Ivanti Connect Secure: tres fallas encadenadas dan acceso root y dos entran al catálogo KEV de CISAIvanti Connect Secure: three chained flaws give root access and two join CISA's KEV catalog

2026-11-01

El 30 de octubre de 2026 la agencia estadounidense CISA añadió dos vulnerabilidades de Ivanti Connect Secure a su catálogo de fallas explotadas (KEV), según informó The Hacker News el 31 de octubre. Forman parte de una cadena documentada por Volexity que permite acceso root sin autenticación previa.

Las fallas

  • CVE-2026-104935 (CVSS 8.6): omisión de autenticación, la puerta de entrada; CISA la había incluido el 13 de octubre.
  • CVE-2026-111357 (CVSS 8.8): falta de autenticación en una función crítica, que permite escalar privilegios locales.
  • CVE-2026-118527 (CVSS 4.3): identificadores predecibles que permiten a un atacante autenticado subir archivos a una ruta conocida.

Las dos últimas se corrigen en las versiones 25.1.1.3 y 22.8R2.6. Para la primera, Ivanti indicó que tenía la corrección en pruebas cuando detectó la explotación. Los plazos de CISA para agencias federales son el 2 y el 13 de noviembre.

Qué hace el atacante

El grupo, rastreado como UTA0576 y sin historial público previo, no despliega web shells ni malware: extrae credenciales y metadatos limitados de Active Directory, hace reconocimiento de equipos y busca contraseñas de administrador y llaves de recuperación de BitLocker.

Qué revisar

Actualiza primero los equipos expuestos a Internet, busca señales de robo de credenciales y acceso a Active Directory, y considera rotar contraseñas de administradores y llaves de recuperación (esto último es una inferencia a partir del comportamiento reportado, no una instrucción del fabricante).

Por qué importa a soporte y sucursales

Las VPN son el camino habitual para que técnicos de soporte, sucursales y personal remoto lleguen a los sistemas internos. Si ese acceso se compromete, también se afectan las herramientas con las que se atiende al cliente. Contar con inventario claro de qué sistemas y accesos sostienen la atención ayuda a decidir qué parchear primero. Servigo365 mantiene tickets, activos de soporte y SLA en un solo lugar, útil para priorizar incidentes y dejar trazabilidad de cada intervención, y Nexturno permite a las sucursales mantener turnos y citas con métricas visibles durante una ventana de mantenimiento. Son datos y procesos ordenados que facilitan reaccionar rápido.

Fuente: The Hacker News, «Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access» (31 de octubre de 2026).

On October 30, 2026, the US agency CISA added two Ivanti Connect Secure vulnerabilities to its Known Exploited Vulnerabilities (KEV) catalog, The Hacker News reported on October 31. They are part of a chain documented by Volexity that allows root access without prior authentication.

The flaws

  • CVE-2026-104935 (CVSS 8.6): authentication bypass, the entry point; CISA had listed it on October 13.
  • CVE-2026-111357 (CVSS 8.8): missing authentication on a critical function, enabling local privilege escalation.
  • CVE-2026-118527 (CVSS 4.3): predictable identifiers that let an authenticated attacker upload files to a known path.

The last two are fixed in versions 25.1.1.3 and 22.8R2.6. For the first, Ivanti said it had a fix in testing when it discovered exploitation. CISA's deadlines for federal agencies are November 2 and 13.

What the attacker does

The group, tracked as UTA0576 and previously undocumented, does not deploy web shells or malware: it extracts credentials and limited Active Directory metadata, performs host reconnaissance and searches for administrator passwords and BitLocker recovery keys.

What to check

Update internet-facing appliances first, look for signs of credential theft and Active Directory access, and consider rotating administrator passwords and recovery keys (the latter is an inference from the reported behavior, not a vendor instruction).

Why it matters for support and branches

VPNs are the usual path for support technicians, branches and remote staff to reach internal systems. If that access is compromised, the tools used to serve customers are affected too. A clear inventory of the systems and access that sustain service helps decide what to patch first. Servigo365 keeps tickets, support assets and SLAs in one place, useful to prioritize incidents and leave a trace of every intervention, and Nexturno lets branches keep queues and appointments with visible metrics during a maintenance window. These are ordered data and processes that make fast reaction easier.

Source: The Hacker News, "Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access" (October 31, 2026).

← Volver al blog← Back to blog