CISA alerta por CVE-2026-104935 en Ivanti
CISA confirmó explotación activa de CVE-2026-104935 en Ivanti Connect Secure. Ivanti publicó parches y recomendó revisar indicadores de compromiso.
CISA informó que actores de amenazas están explotando activamente CVE-2026-104935 en Ivanti Connect Secure, una falla de bypass de autenticación que permite ejecutar comandos remotos sin credenciales. La agencia la sumó el 13 de octubre de 2026 a su catálogo de vulnerabilidades explotadas y pidió aplicar parches, hacer análisis forense y considerar el restablecimiento de fábrica de los equipos afectados.
CISA informó que actores de amenazas están explotando activamente la vulnerabilidad CVE-2026-104935 en Ivanti Connect Secure. La falla permite ejecutar comandos arbitrarios de forma remota y sin autenticación, y ya se usa para robo de credenciales y exfiltración de datos. La agencia la incorporó a su catálogo Known Exploited Vulnerabilities el 13 de octubre de 2026.
¿Qué dijo Ivanti sobre la falla?
Ivanti publicó correcciones para ICS 25.1.1.2, 25.1.3.0, 25.1.3.1 y 22.8R2.5, y aclaró que la rama 22.7R2.14 o anteriores no está afectada, según su aviso. El fabricante calificó la vulnerabilidad con CVSS 8.6, nivel alto, y la describió como un bypass de autenticación por spoofing.
Ivanti también indicó que la explotación conocida era limitada al momento de la divulgación. Como medidas de respuesta, recomendó actualizar, ejecutar periódicamente su Integrity Checker Tool y revisar los indicadores de compromiso publicados por Volexity.
¿Qué mostraron los análisis técnicos?
El análisis de Volexity reconstruyó una cadena de ataque que combinó bypass de autenticación, escritura de archivos y ejecución remota de código. Después de esa primera etapa, una escalada de privilegios separada permitió obtener acceso root, de acuerdo con el informe citado.
iTnews señaló además que un appliance comprometido ejecutaba ICS 22.8R2.4, que figuraba como plenamente actualizado al momento del compromiso, y atribuyó el caso al actor UTA0576. El Center for Internet Security publicó un aviso independiente que confirma la explotación reportada por Ivanti y enumera como afectadas las versiones 25.1.1.1 o anteriores, 25.1.2.2 o anteriores y 22.8R2.4 o anteriores.
¿Qué versiones quedan bajo revisión?
Las versiones alcanzadas dependen del aviso consultado, pero todas refieren a ramas específicas de Ivanti Connect Secure y a equipos que ya estaban en producción. CISA se apoyó en explotación activa para incluir la CVE en su lista de vulnerabilidades conocidas, mientras que Ivanti limitó el alcance conocido en su comunicado inicial.
| Versión o rama | Estado según el material | Fuente |
|---|---|---|
| 25.1.1.2, 25.1.3.0, 25.1.3.1 | Corregidas por Ivanti | Ivanti |
| 22.8R2.5 | Corregida por Ivanti | Ivanti |
| 22.7R2.14 o anteriores | No afectada, según el fabricante | Ivanti |
| 25.1.1.1 o anteriores | Afectadas, según CIS | Center for Internet Security |
| 25.1.2.2 o anteriores | Afectadas, según CIS | Center for Internet Security |
| 22.8R2.4 o anteriores | Afectadas, según CIS | Center for Internet Security |
CyberScoop informó, sin confirmación independiente en el material entregado, que Ivanti habría identificado inicialmente una parte de la vulnerabilidad durante controles internos en junio.
Fuentes
- CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Securecisa.gov· Cybersecurity and Infrastructure Security Agency (CISA)
- Ivanti misses opportunity to fix vulnerability before attacks begancyberscoop.com· CyberScoop
- Ivanti warns of Connect Secure zero-day exploited in attacksbleepingcomputer.com· BleepingComputer
- A Vulnerability in Ivanti Connect Secure Could Allow for Arbitrary Code Executioncisecurity.org· Center for Internet Security
- Attackers chain three Ivanti VPN zero-days for root accessitnews.com.au· iTnews
- Ivanti zero-day chain reaches root while evading integrity checkssecurity.io· Security.io
- Security Advisory Ivanti Connect Secure (CVE-2026-104935)hub.ivanti.com· Ivanti
