Ivanti Connect Secure: CVE-2026-118527 ya se explota

Qué es y a quién afectaEl catálogo de vulnerabilidades explotadas de CISA recoge un fallo que afecta a Ivanti Connect Secure, la pasarela VPN que much...

Qué es y a quién afecta

El catálogo de vulnerabilidades explotadas de CISA recoge un fallo que afecta a Ivanti Connect Secure, la pasarela VPN que muchas empresas usan para dar acceso remoto a su personal y a sus proveedores. El identificador es CVE-2026-118527, con nombre oficial Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability, y corresponde al tipo de debilidad CWE-340.

Según la descripción publicada por CISA, el problema es que el producto genera números o identificadores predecibles. Eso permite a un atacante autenticado de forma remota subir ficheros con contenido que él mismo controla a una ubicación conocida del disco. El matiz de «autenticado» no debería tranquilizar a nadie: en una pasarela de acceso remoto, las credenciales se filtran, se reutilizan o se compran en foros, y una cuenta válida de un empleado o de un tercero basta como punto de partida.

La ficha no detalla una lista cerrada de versiones afectadas. Por tanto, lo primero es identificar qué modelo y qué versión exacta de Ivanti Connect Secure se está ejecutando en cada sede, en Barcelona, Lleida, Tarragona o Girona, y en los entornos cloud donde se haya desplegado.

Por qué es urgente

No estamos ante una vulnerabilidad teórica pendiente de confirmación. CISA la añadió a su catálogo KEV el 30 de octubre de 2026, lo que significa que consta como explotada en ataques reales. Ese catálogo no es una lista de sospechas: es un registro de fallos que ya se han usado contra sistemas en producción.

El plazo que CISA da a las agencias federales de Estados Unidos para corregirla vence el 13 de noviembre de 2026. Es decir, menos de dos semanas entre la inclusión y la fecha límite. Ese calendario tan ajustado es una señal clara del riesgo: cuando la explotación es activa, cada día que pasa con el sistema sin mitigar amplía la ventana de ataque.

Hay un segundo motivo de preocupación. La propia descripción indica que CVE-2026-118527 puede encadenarse con CVE-2026-104935 y CVE-2026-111357. Un fallo que permite colocar ficheros controlados por el atacante en una ruta conocida es, por sí solo, una pieza útil; combinado con otras vulnerabilidades, puede convertirse en el primer eslabón de una intrusión más profunda. En el material consultado no consta su uso en campañas de ransomware, pero la ausencia de ese dato no reduce la gravedad: la explotación activa ya está confirmada.

Qué hacer hoy

Inventariar. Localizar todos los Ivanti Connect Secure de la organización, incluidos los de filiales, proveedores de IT externos y entornos de prueba que a veces quedan accesibles desde internet sin que nadie los recuerde.
Comprobar la versión. Anotar la versión exacta de cada instancia y contrastarla con el aviso oficial de Ivanti. Si el aviso no especifica una versión corregida concreta, hay que aplicar la actualización o la mitigación que indique el fabricante, sin improvisar.
Aplicar la mitigación. CISA pide expresamente aplicar las mitigaciones siguiendo las instrucciones del proveedor. Si no hay mitigación disponible para algún despliegue, la alternativa que plantea es dejar de usar el producto.
Revisar indicios de intrusión. Buscar ficheros aparecidos en ubicaciones inesperadas del disco, actividad de subida fuera de lo habitual y accesos remotos desde direcciones o franjas horarias anómalas. Conviene conservar registros antes de reiniciar o reinstalar nada.
Reducir la exposición. Valorar qué instancias necesitan estar realmente publicadas en internet y restringir el resto por red o por lista de permitidos. Una pasarela VPN expuesta es una puerta; conviene que sea la única y que esté bien vigilada.

En paralelo, merece la pena revisar la política de parches de la empresa. Si la actualización de sistemas críticos depende de una sola persona o se hace «cuando hay tiempo», un aviso con plazo de dos semanas se convierte en un problema serio.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas con equipos de IT pequeños que no pueden dedicar a esto una persona a jornada completa. La primera tarea suele ser la más aburrida y la más útil: saber qué hay expuesto, en qué versión y con qué configuración. A partir de ahí, una auditoría de seguridad y un pentesting permiten ver el sistema con los ojos de quien lo atacaría, y el hardening de servidores cierra las puertas que no hacen falta.

Cuando el aviso ya está sobre la mesa, la monitorización y la respuesta a incidentes marcan la diferencia entre enterarse a tiempo y descubrirlo por un tercero. Y si la web o el servidor han sido comprometidos, la reparación de webs hackeadas devuelve el servicio a un estado limpio y conocido. Muchas de nuestras clientas trabajan con WordPress, PrestaShop o Joomla y servidores propios; el mantenimiento y la actualización continuos de esas plataformas forman parte del mismo trabajo de fondo que hoy exige CVE-2026-118527: parchear a tiempo, comprobar que el parche ha entrado y vigilar lo que ocurre después.

Is your business exposed to flaws like this?

ALMC checks which versions you are running, applies the patches and hardens your servers and website. Contact our team for a security review.

Results without leaving the page.