NoticiasNews

Ivanti Connect Secure: CISA exige parchear antes del 16 de octubre una falla de autenticación ya explotadaIvanti Connect Secure: CISA orders patching by October 16 for an actively exploited authentication bypass

2026-10-14

La agencia estadounidense de ciberseguridad CISA añadió el 13 de octubre de 2026 a su catálogo de vulnerabilidades explotadas (KEV) la falla CVE-2026-104935 de Ivanti Connect Secure, una omisión de autenticación (CVSS 8.6) que permite a un atacante remoto, sin credenciales, ejecutar comandos arbitrarios. Las agencias federales de EE. UU. tienen hasta el 16 de octubre para aplicar la corrección, según informó The Hacker News.

Qué se sabe del ataque

  • Versiones afectadas: ICS 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores.
  • Volexity detectó la primera explotación el 3 de octubre, atribuida a un actor criminal que sigue como UTA0576, que combinó la falla con una escalada de privilegios para obtener ejecución de código como root y robar credenciales y metadatos de Active Directory.
  • Previdian registró 105 intentos de explotación contra sus honeypots desde 50 direcciones IP distintas, la mayoría probando ejecución de código.

Qué hacer

La recomendación es actualizar a la versión más reciente cuanto antes. Si se sospecha una intrusión, CISA aconseja análisis forense de red y memoria, respaldar la configuración, restablecer de fábrica, actualizar (o reconstruir las instancias virtuales), restaurar la configuración y cambiar todas las contraseñas, además de revocar y reemitir certificados y restablecer claves de API. Ivanti recuerda que la versión 22.8 llega al fin de su vida útil el 31 de enero de 2027.

Lección para las empresas

Las puertas de acceso remoto siguen siendo un blanco preferido porque concentran credenciales y acceso a la red interna. Tener un inventario de equipos expuestos y un proceso de parcheo con plazos claros marca la diferencia.

En TEKFENIX diseñamos software empresarial con control de accesos y trazabilidad. Servigo365 ayuda a canalizar y dar seguimiento a incidentes y solicitudes de parcheo en una mesa de ayuda con SLA, y CumplimientoControl deja evidencia auditable de las acciones de seguridad y cumplimiento de tu organización.

Fuentes: The Hacker News (14 de octubre de 2026) y alerta de CISA del 13 de octubre de 2026.

On October 13, 2026, US cybersecurity agency CISA added CVE-2026-104935, an Ivanti Connect Secure authentication bypass (CVSS 8.6), to its Known Exploited Vulnerabilities (KEV) catalog. The flaw lets a remote, unauthenticated attacker run arbitrary commands. US federal agencies must apply fixes by October 16, The Hacker News reported.

What is known about the attacks

  • Affected versions: ICS 25.1.1.1 and earlier, 25.1.2.2 and earlier, and 22.8R2.4 and earlier.
  • Volexity first saw exploitation on October 3, attributed to a criminal actor it tracks as UTA0576, which paired the flaw with a privilege escalation bug to reach root-level code execution and steal credentials and Active Directory metadata.
  • Previdian logged 105 exploitation attempts against its honeypots from 50 unique IPs, mostly testing for code execution.

What to do

Update to the latest version as soon as possible. If compromise is suspected, CISA recommends network and memory forensics, backing up the configuration, a factory reset, an upgrade (or rebuilding virtual instances), restoring the configuration and resetting all account passwords, plus revoking and reissuing certificates and resetting API keys. Ivanti notes that version 22.8 reaches end of life on January 31, 2027.

Takeaway for businesses

Remote-access gateways remain a favorite target because they concentrate credentials and access to the internal network. An inventory of exposed devices and a patching process with clear deadlines make the difference.

At TEKFENIX we build business software with access control and traceability. Servigo365 helps route and track incidents and patching requests in a help desk with SLAs, and CumplimientoControl keeps auditable evidence of your organization's security and compliance actions.

Sources: The Hacker News (October 14, 2026) and CISA alert of October 13, 2026.

← Volver al blog← Back to blog