Ivanti Connect Secure: CVE-2026-111357 ya explotada

Ivanti Connect Secure: CVE-2026-111357 ya explotada

Qué es y a quién afectaLa CVE-2026-111357 es una vulnerabilidad de falta de autenticación en una función crítica (CWE-829) en Ivanti Connect Secure, l...

Qué es y a quién afecta

La CVE-2026-111357 es una vulnerabilidad de falta de autenticación en una función crítica (CWE-829) en Ivanti Connect Secure, la puerta de enlace VPN que muchas empresas usan para dar acceso remoto a su red interna. Según la NVD del NIST, el fallo afecta a cómo el broker dsinvoked confía en los datos de configuración de DSCache, lo que permite a un atacante local autenticado escalar privilegios hasta root. La descripción de CISA añade que puede encadenarse con CVE-2026-104935 y CVE-2026-118527.

Puerta acorazada entreabierta en una sala de servidores con una cadena de candados hacia los equipos de red

Las versiones afectadas que recoge la NVD son:

  • 25.1.0.0 (incluida) hasta 25.1.1.3 (sin incluir).
  • 22.8 R2, 22.8 R2.1, 22.8 R2.2, 22.8 R2.3, 22.8 R2.4 y 22.8 R2.5.

La gravedad asignada es CVSS 3.1 de 7 (HIGH), es decir, una vulnerabilidad alta, no crítica. El vector (AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H) indica que el ataque requiere acceso local y cierta complejidad, pero el impacto sobre confidencialidad, integridad y disponibilidad es alto. En la práctica, eso significa que un atacante que ya ha conseguido un punto de apoyo dentro del equipo puede dar el salto a root y tomar el control total del sistema.

Esto afecta de lleno a pymes y empresas españolas —también en Cataluña, con sedes en Barcelona, Lleida, Tarragona o Girona— que exponen un Ivanti Connect Secure a internet para el teletrabajo o el acceso de proveedores. Si nadie lleva un inventario actualizado de versiones, es fácil que el equipo quede olvidado durante meses.

Por qué es urgente

No estamos ante un fallo teórico. La CVE-2026-111357 se está explotando activamente y CISA la incorporó a su catálogo KEV (Known Exploited Vulnerabilities) el 30 de octubre de 2026. La NVD confirma el uso real en campañas durante octubre de 2026. Además, el fallo se publicó en la NVD el 15 de octubre de 2026, así que el margen de reacción se ha agotado.

El plazo que CISA da a las agencias federales de EE. UU. para corregirla vence el 2 de noviembre de 2026. En España ese plazo no es vinculante, pero marca la referencia del sector: si un atacante ya tiene una vía probada para escalar a root en una VPN de acceso remoto, cada día sin mitigar es un día de riesgo abierto. Que no conste uso en campañas de ransomware no rebaja la urgencia: la escalada de privilegios suele ser una fase previa para moverse lateralmente por la red.

Qué hacer hoy

  • Comprobar si usas el producto y en qué versión. Revisa la consola de administración de Ivanti Connect Secure y contrasta la versión con la lista de la NVD: 25.1.0.0 a 25.1.1.3 y todas las 22.8 R2 hasta R2.5.
  • Aplicar la actualización o mitigación del aviso del fabricante. Consulta el aviso oficial de Ivanti y sigue sus instrucciones al pie de la letra; el material no detalla una versión corregida concreta, así que no des por hecho ningún número: aplica lo que indique el aviso vigente.
  • Revisar indicios de intrusión. Busca accesos y cambios de configuración no explicados, actividad anómala del broker dsinvoked y cuentas con privilegios elevados que no deberían tenerlos. CISA recomienda además seguir sus requisitos de triaje forense.
  • Reducir lo expuesto a internet. Limita el acceso a la VPN a las IP de confianza, activa MFA y retira el equipo de la primera línea si no puedes mitigarlo de inmediato. CISA contempla incluso dejar de usar el producto si no hay mitigación disponible.
  • Vigilar el encadenamiento. Como el fallo puede combinarse con CVE-2026-104935 y CVE-2026-118527, conviene revisar también esas dos referencias en el aviso de Ivanti.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y equipos de IT pequeños que no pueden dedicar a esto una persona a jornada completa. Empezamos por una auditoría de seguridad y un inventario real de lo que tienes expuesto: qué versiones de Ivanti Connect Secure, WordPress, PrestaShop o Joomla corren en tus servidores y cuáles están pendientes de parche. A partir de ahí hacemos pentesting y hardening para cerrar las vulnerabilidades antes de que alguien las encuentre, y desplegamos monitorización y respuesta a incidentes para detectar a tiempo una escalada de privilegios o un acceso sospechoso.

Si el problema ya ha llegado, nos ocupamos de la reparación de webs hackeadas y del mantenimiento y actualización continua de tus plataformas, con especial atención a los parches de seguridad. La idea es sencilla: que la gestión de vulnerabilidades forme parte de la rutina y no sea una carrera contra el reloj cada vez que CISA publica una alerta.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.