El fallo con el que los atacantes de Ivanti Connect Secure conseguían el control total del equipo ya tiene identificador: CVE-2026-111357, publicado el 15 de octubre. Es el tercer eslabón de la cadena de ataque que contamos hace dos días, el que da permisos de administrador total (root). Y sigue sin corrección: Ivanti la espera «en las próximas semanas».
Ivanti Connect Secure es una VPN corporativa muy extendida, el equipo por el que los empleados de una empresa se conectan a su red desde fuera. El 13 de octubre, la empresa de seguridad Volexity reveló que un grupo desconocido, al que llama UTA0576, la atacaba desde el 3 de octubre encadenando tres fallos de día cero. Los dos primeros, una forma de saltarse el inicio de sesión y otra de ejecutar órdenes en el equipo, se agruparon en el CVE-2026-104935, que Ivanti corrigió ese mismo día y que la CISA, la agencia de ciberseguridad de Estados Unidos, ordenó parchear antes del 16 de octubre. El tercero no tenía número ni parche.
Claves de CVE-2026-111357
- Qué hace. Afecta a
dsinvoked, un servicio interno del equipo que funciona con permisos de root. Ese servicio se fía de los datos de configuración que guarda en una caché llamada DSCache. Según Volexity, los atacantes modificaban, solo en memoria, una biblioteca y esa configuración para que el servicio ejecutara su propio código como root, y después lo dejaban todo como estaba. - Gravedad: 7.0 sobre 10. Es una puntuación «alta», no «crítica», porque el fallo no se puede atacar desde fuera: hace falta haber entrado antes en el equipo. Pero en este ataque eso ya lo resolvían los dos primeros fallos, así que, encadenados, daban el control total sin ninguna contraseña.
- Quién le ha puesto número. No ha sido Ivanti, sino MITRE, la organización que gestiona el sistema de CVE. La descripción oficial dice que se explotó «en octubre de 2026», pero la CISA todavía no lo ha añadido a su catálogo de vulnerabilidades explotadas.
- Versiones afectadas. La 22.8R2.4, que era la más reciente cuando Volexity publicó su investigación. Ivanti no ha dicho si la afecta también a las ramas 25.x.
- Sin parche. Ivanti trabaja en una corrección para una próxima versión, sin fecha concreta.
Por qué importa
Para quien administra uno de estos equipos, el nuevo número no cambia lo urgente: hay que instalar ya las versiones que corrigen el CVE-2026-104935 (la 22.8R2.5, o la 25.1.1.2, la 25.1.3.0 o la 25.1.3.1, según la rama). Sin esos dos primeros fallos, el atacante no tiene cómo llegar al tercero. Pero tener número sí ayuda: los escáneres de vulnerabilidades y los inventarios de seguridad ya pueden marcar el equipo como pendiente hasta que salga el parche. Y conviene recordar lo que advirtió Volexity: la herramienta de comprobación de integridad de Ivanti no detecta esta intrusión, porque los cambios solo se hacen en memoria. Quien tenga la VPN expuesta desde principios de octubre debería buscar los indicadores que publicó Volexity y, si aparecen, cambiar las contraseñas del dominio y las claves que pudieran haberse robado.
Datos contrastados con la ficha de la NVD, la investigación de Volexity y The Hacker News. Portada: switch de red, foto de www.heimnetzwerke.net, CC BY 4.0 (recortada, con texto).
Fuente: NVD, CVE-2026-111357