Actualizaré la noticia si Ivanti o CISA publican datos nuevos.

◢Qué ha pasado

Los fallos forman una cadena. El primero, el CVE-2026-104935, permite saltarse la autenticación: CISA lo describe como un fallo que deja a un atacante remoto, sin credenciales, ejecutar comandos en el equipo. Entró en el catálogo de CISA el 13 de octubre y Ivanti lo parcheó entonces.

Los dos nuevos completan el ataque. El CVE-2026-118527 permite subir archivos con contenido elegido por el atacante a una ubicación conocida del disco, y el CVE-2026-111357 permite escalar privilegios dentro del equipo. Según la empresa de seguridad Volexity, que documentó la cadena a principios de mes y cuyas palabras recoge The Hacker News, la combinación de los tres fallos permite ejecutar código como root, es decir, con el máximo control sobre el aparato, sin necesidad de autenticarse.

Cuando se descubrió la explotación, Ivanti tenía ya preparado el arreglo del primer fallo y decidió publicarlo sin esperar al de la escalada de privilegios, porque con él se cortaba la vía principal de entrada. Ahora ha publicado la versión que corrige todas las vulnerabilidades encadenadas.

◢Qué hacían los atacantes una vez dentro

Volexity atribuye los ataques a un actor que no estaba documentado antes y al que ha llamado UTA0576. Nadie ha relacionado oficialmente ese nombre con ningún grupo o país conocido.

Lo llamativo es lo que buscaba. En lugar de instalar malware o puertas traseras, como es habitual en este tipo de ataques, según The Hacker News UTA0576 se dedicó a extraer credenciales y algunos datos del Directorio Activo, a reconocer el equipo y a buscar contraseñas de administrador y claves de recuperación de BitLocker, el cifrado de disco de Windows.

Eso tiene una consecuencia práctica: aunque hoy instales el parche, si el equipo fue atacado antes, las contraseñas que se robaron siguen sirviendo. Parchear cierra la puerta, pero no cambia las llaves que ya se llevaron.

◢¿Mi empresa está afectada?

Si tu empresa usa Ivanti Connect Secure (antes conocido como Pulse Connect Secure) y no lo ha actualizado en las últimas semanas, sí. Según The Hacker News, los nuevos parches están en estas versiones:

• ▹La rama 25.1.1, corregida en la 25.1.1.3 (afecta a la 25.1.1.2 y anteriores).
• ▹La rama 22.8R2, corregida en la 22.8R2.6 (afecta a la 22.8R2.5 y anteriores).

Ivanti también explica que descubrió parte del problema en sus propias revisiones y que lo corrigió en la versión 25.1.3.0 de julio. Para saber con exactitud qué versión te corresponde, la referencia es el aviso oficial de Ivanti².

Si no sabes qué VPN usa tu empresa, pregúntalo hoy a quien lleve los sistemas o al proveedor que os la gestiona. Es una pregunta de un minuto.

◢Qué hacer ahora

CISA obliga a las agencias federales de Estados Unidos a aplicar el arreglo del CVE-2026-111357 antes del 2 de noviembre y el del CVE-2026-118527 antes del 13 de noviembre. Para una empresa española esos plazos no son obligatorios, pero dan una idea de la urgencia: hablamos de días, no de semanas.

Para el equipo técnico:

• ▹Actualizar Ivanti Connect Secure a la versión corregida de su rama.
• ▹Revisar si el equipo muestra señales de haber sido atacado en las últimas semanas, siguiendo las indicaciones del aviso de Ivanti. Para el CVE-2026-111357, CISA exige además un análisis forense a sus agencias, lo que da una pista de lo en serio que se lo toma.
• ▹Si hay indicios de intrusión, cambiar las contraseñas de las cuentas que pasan por la VPN, empezando por las de administrador y las del dominio, y revisar quién ha consultado las claves de recuperación de BitLocker.

Para la dirección, la lección es más sencilla: la VPN está expuesta a internet por definición, y es uno de los primeros sitios que miran los atacantes. Conviene saber quién la mantiene, cada cuánto se actualiza y quién recibe los avisos de seguridad del fabricante.

◢Qué aprender de esto

En el blog he escrito que la mayoría de ataques entran por un correo, y sigue siendo verdad para la mayoría de empresas. Este caso es la otra cara: cuando un equipo expuesto a internet tiene un fallo así, el atacante no necesita engañar a nadie. Por eso las dos cosas van juntas: una plantilla que sabe detectar el engaño y unos sistemas que se actualizan a tiempo.

Y una idea para quien decide: parchear rápido es necesario, pero no basta. Si las credenciales pasan por un equipo que ha estado expuesto, hay que dar por hecho que pueden estar comprometidas y tener activada la verificación en dos pasos en todo lo importante.

Si quieres que tu equipo entienda por qué estas cosas importan sin tener que ser técnico, es justo lo que trabajo en mis formaciones de ciberseguridad.