Ivanti Connect Secure: fallo grave CVE-2026-104935 ya explotado

Qué es CVE-2026-104935 y a quién afecta

El fabricante Ivanti ha publicado un aviso de seguridad sobre su producto Ivanti Connect Secure, una pasarela VPN SSL muy habitual en empresas para dar acceso remoto a la red corporativa. El fallo, identificado como CVE-2026-104935, es un bypass de autenticación por suplantación (authentication bypass by spoofing), clasificado como CWE-290.

La gravedad es alta: CVSS 3.1 de 8.6 (HIGH), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. En la práctica, un atacante remoto no autenticado puede ejecutar comandos arbitrarios en el sistema afectado. No hace falta disponer de credenciales válidas ni interactuar con ningún usuario: basta con alcanzar el servicio expuesto.

Según la National Vulnerability Database (NVD) del NIST, las versiones afectadas son las siguientes:

• Ivanti Connect Secure desde la 25.1.0.0 (incluida) hasta la 25.1.1.2 (sin incluir).
• Ivanti Connect Secure desde la 25.1.2.0 (incluida) hasta la 25.1.3.0 (sin incluir).
• Ivanti Connect Secure 22.8 R2, 22.8 R2.1, 22.8 R2.2, 22.8 R2.3 y 22.8 R2.4.

La NVD indica que la versión 22.7R2.14 y anteriores no se ven afectadas por este problema. La vulnerabilidad se publicó en la NVD el 13 de octubre de 2026.

Por qué es urgente: ya se explota en ataques reales

Este caso no es una alerta teórica. CISA añadió CVE-2026-104935 a su catálogo de vulnerabilidades explotadas en ataques reales (Known Exploited Vulnerabilities, KEV) el 13 de octubre de 2026, lo que confirma que hay atacantes aprovechándola en el mundo real.

El plazo que CISA dio a las agencias federales de Estados Unidos para corregirla fue el 16 de octubre de 2026. Es decir, apenas tres días: una ventana mínima que refleja la criticidad del fallo. Aunque ese plazo obliga formalmente a organismos públicos estadounidenses, sirve como referencia muy útil para cualquier empresa europea: si el fabricante y el regulador consideran que hay que actuar en días, no en meses, es porque el riesgo de compromiso es inmediato.

CISA exige aplicar las mitigaciones siguiendo las instrucciones del fabricante y evaluar la exposición a internet de cada activo. En el material consultado no consta que esta vulnerabilidad se esté usando en campañas de ransomware, pero eso no rebaja la urgencia: un atacante con ejecución remota de comandos puede hacer prácticamente cualquier cosa dentro de la red.

Qué hacer hoy mismo

Si tu organización utiliza Ivanti Connect Secure, estos son los pasos razonables para las próximas horas:

• Comprobar si el producto está en uso y en qué versión exacta. No basta con saber que "tenemos Ivanti": hay que confirmar la build instalada y compararla con la lista de versiones afectadas de la NVD.
• Aplicar la actualización o mitigación que indique el aviso oficial del fabricante. El material consultado no especifica qué versión corrige el fallo, así que hay que seguir estrictamente lo que publique Ivanti en su aviso de seguridad. No improvises parches ni configuraciones no documentadas.
• Revisar indicios de intrusión. Al tratarse de un bypass de autenticación, conviene auditar accesos remotos, sesiones anómalas, cuentas creadas sin autorización y ejecución de comandos inesperada en el appliance.
• Reducir la superficie expuesta a internet. Si la pasarela no necesita ser accesible desde cualquier origen, limita el acceso por IP, restringe geografías o segmenta el servicio. CISA recuerda que cada organización debe evaluar la exposición de sus activos y, si no hay mitigación disponible, valorar suspender el uso del producto.

Un detalle importante: los atacantes suelen tardar poco en escanear internet buscando appliances vulnerables. Cada día sin actualizar es un día en el que el sistema está al alcance de cualquiera.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña y del resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño y sobrecargado. Precisamente en ese contexto, una vulnerabilidad como CVE-2026-104935 puede pasar desapercibida hasta que ya es tarde.

Nuestro enfoque combina auditorías de seguridad y pentesting para detectar vulnerabilidades antes de que las exploten, hardening de servidores, monitorización y respuesta a incidentes, y mantenimiento y actualización continua de los sistemas. Si el problema ya ha ocurrido y una web ha sido hackeada, también nos encargamos de su reparación y de volver a poner el entorno en condiciones seguras.

En el caso de fallos como este, nuestro papel es ayudar a identificar qué activos están afectados, priorizar las actualizaciones según el riesgo real, revisar si ha habido accesos no autorizados y dejar constancia de todo ello de cara a posibles obligaciones de notificación bajo el RGPD y la LOPDGDD. La clave no es solo parchear: es saber qué tienes, qué está expuesto y qué señales hay que vigilar después.

Relacionado

• Abuse Shield

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.