CISA suma dos fallas de Ivanti al catálogo KEV

CISA incorporó al catálogo Known Exploited Vulnerabilities las CVE-2026-111357 y CVE-2026-118527 de Ivanti Connect Secure, con base en evidencia de explotación activa. Ivanti había publicado el 29 de octubre actualizaciones para ambas vulnerabilidades, y CISA indicó que, junto con CVE-2026-104935, forman una cadena que permite ejecución remota de comandos sin autenticación.

¿Qué agregó CISA al catálogo KEV?

CISA sumó dos fallas de Ivanti Connect Secure al listado de vulnerabilidades explotadas activamente. Se trata de CVE-2026-111357 y CVE-2026-118527, ambas incorporadas al Known Exploited Vulnerabilities catalog el 30 de octubre de 2026.

La agencia basó la decisión en evidencia de explotación activa. En el mismo aviso, CISA recordó que CVE-2026-104935 había sido corregida el 13 de octubre y señaló que las tres vulnerabilidades pueden encadenarse para lograr ejecución remota de comandos sin autenticación.

¿Qué corrigió Ivanti el 29 de octubre?

Ivanti publicó actualizaciones para CVE-2026-111357 y CVE-2026-118527 el 29 de octubre, y la cobertura técnica citada indica que las versiones 25.1.1.3 y 22.8R2.6 resuelven la cadena completa. The Stack reportó además que la actividad observada en Connect Secure era inusual.

Security Affairs describió CVE-2026-111357 como una vulnerabilidad de falta de autenticación para una función crítica. También definió CVE-2026-118527 como una falla de identificadores predecibles que permite a un atacante autenticado cargar archivos con contenido malicioso en una ubicación conocida.

¿Qué alcance técnico tuvo la cadena?

De acuerdo con CISA, las tres vulnerabilidades pueden combinarse para conseguir ejecución remota de comandos sin autenticación. Esa descripción sitúa a CVE-2026-104935 como parte del encadenamiento previo, mientras que las dos fallas agregadas al KEV completan la secuencia que afectó a Ivanti Connect Secure.

Security Boulevard, citando registros oficiales de KEV y al Centre for Cybersecurity Belgium, agregó que CVE-2026-111357 permitiría a un atacante local autenticado escalar privilegios, y que CVE-2026-118527 permitiría a un atacante remoto autenticado cargar contenido controlado por el atacante en una ubicación conocida. Esa misma cobertura atribuyó a Ivanti la confirmación de que ambas fueron encadenadas con CVE-2026-104935 para lograr ejecución remota de código previa a la autenticación y escalar a root.

¿Qué se sabe sobre los ataques?

CybersecurityNews informó que Ivanti confirmó ataques contra un número limitado de clientes, aunque el resultado consultado no incluyó una cifra verificable ni enlazó el comunicado original del fabricante. Cyware añadió que los ataques habrían comenzado el 3 de octubre de 2026 y que usaron en conjunto CVE-2026-104935, CVE-2026-111357 y CVE-2026-118527, pero esa fecha no quedó corroborada por una fuente primaria independiente en el material disponible.

Bragg, en un análisis atribuido al actor seguido por Volexity como UTA0576, dijo que hubo consultas a Active Directory para obtener contraseñas de administradores de LAPS y claves de recuperación de BitLocker, además de reconocimiento de hosts y borrado selectivo de registros. Ese reporte también afirmó que no se instaló un web shell, aunque esos detalles no aparecen corroborados por una fuente primaria en los resultados disponibles.