Dos fallos de Ivanti Connect Secure (ICS) ya figuran en el catálogo de vulnerabilidades explotadas de CISA. La agencia los añadió el 30 de octubre, después de que se detectara su uso en ataques. Combinados con una tercera vulnerabilidad, permitían a un atacante remoto sin autenticación ejecutar código con privilegios de root en los dispositivos VPN afectados.
Las vulnerabilidades incorporadas son CVE-2026-111357, un fallo de escalada de privilegios con una puntuación CVSS de 8,8, y CVE-2026-118527, relacionado con la generación de identificadores predecibles y puntuado con 4,3. La cadena también emplea CVE-2026-104935, que abarca el bypass de autenticación y la ejecución remota de código. CISA había añadido este último fallo a su catálogo el 13 de octubre.
Una cadena que terminaba en ejecución como root
Volexity documentó la actividad de UTA0576, un actor de amenazas hasta entonces no identificado, tras investigar un dispositivo ICS comprometido. La compañía sitúa los primeros intentos observados el 3 de octubre; el incidente investigado comenzó a examinarse el 5 de octubre. El aparato estaba actualizado a la versión 22.8R2.4 cuando fue atacado.
La cadena empezaba con un bypass de autenticación que permitía dirigir solicitudes a scripts CGI protegidos. Después, el atacante aprovechaba un fallo en la carga de archivos de wu.cgi para ejecutar código y, finalmente, una vulnerabilidad de escalada de privilegios para obtener acceso como root. Volexity explicó que el encadenamiento de esos tres componentes hacía posible la ejecución sin autenticación.
El método también dificultaba la detección. UTA0576 ejecutaba comandos a través de solicitudes HTTPS de la propia cadena y recibía sus resultados en las respuestas HTTP, sin usar un canal de mando y control separado. Volexity no encontró una puerta trasera ni una web shell en el dispositivo. Además, el atacante eliminó rastros de la explotación de los registros de depuración de Ivanti y de auditoría de Linux.
La investigación forense identificó búsquedas de credenciales almacenadas en el dispositivo, extracción de metadatos de Active Directory y consultas para localizar contraseñas de administrador local y claves de recuperación de BitLocker. El actor también hizo reconocimiento de red, revisó registros de autenticación y probó contraseñas contra cuentas de Active Directory.
“Because the issue was discovered internally, was not being actively exploited, and did not meet the threshold for an out-of-band release, a fix was scheduled for inclusion in our normal product release cycle,”
— portavoz de Ivanti
Ivanti publica los parches y CISA fija plazos
Ivanti afirmó que la compañía había detectado internamente una parte de CVE-2026-104935 y que programó su corrección para un ciclo normal de producto. Según explicó a CyberScoop, el fallo no estaba siendo explotado en ese momento y no alcanzaba el umbral para una actualización fuera de ciclo. Cuando Volexity identificó la cadena, Ivanti priorizó corregir la vía principal de explotación mientras seguía trabajando en el fallo de escalada.
Los parches para CVE-2026-111357 y CVE-2026-118527 están disponibles en ICS 25.1.1.3 y 22.8R2.6. La actualización más reciente corrige los tres fallos utilizados en la cadena. La lista de versiones afectadas incluye 25.1.1.2 y anteriores, corregidas en 25.1.1.3, y 22.8R2.5 y anteriores, corregidas en 22.8R2.6.
Las agencias federales civiles ejecutivas de Estados Unidos deben corregir CVE-2026-111357 antes del 2 de noviembre de 2026 y CVE-2026-118527 antes del 13 de noviembre. El Centro Canadiense para la Ciberseguridad también actualizó su aviso el 30 de octubre para reflejar la inclusión de ambos fallos en el catálogo KEV de CISA.
Volexity advirtió que su análisis requirió examinar memoria y disco, ya que el atacante alteró registros y el código malicioso podía ejecutarse en memoria. La investigación sobre el alcance total de los compromisos seguía abierta, según Ivanti.
Fuentes: The Hacker News, Volexity, Canadian Centre for Cyber Security, CyberScoop
