Ivanti corrige dos fallos de Connect Secure usados en ataques de día cero

Ivanti publicó actualizaciones de seguridad para otras dos vulnerabilidades en su pasarela de acceso remoto Connect Secure (ICS), después de que atacantes las utilizaran en ataques de día cero. Según el informe fuente, la actividad se remonta al menos al 1 de octubre.

Las vulnerabilidades, identificadas como CVE-2026-111357 y CVE-2026-118527, se encadenaron con CVE-2026-104935, una vulnerabilidad de omisión de autenticación que Ivanti corrigió en octubre. Ivanti dijo que dio prioridad a esa corrección porque eliminaba la principal vía de explotación. La empresa describió la explotación anterior como “limitada”.

CVE-2026-111357 es una vulnerabilidad de escalada de privilegios de gravedad alta. CVE-2026-118527 permite a atacantes autenticados subir archivos a un dispositivo sin actualizar. Volexity informó que un actor de amenazas al que sigue como UTA0576 encadenaba CVE-2026-104935 con otras dos vulnerabilidades desde al menos el 3 de octubre para obtener ejecución de código a nivel de raíz, sin autenticación, en dispositivos ICS completamente actualizados. Volexity indicó que el actor no usó malware ni una web shell, sino que volvió a explotar los dispositivos para cada comando y manipuló los registros.

Defused también informó de indicios de explotación de CVE-2026-104935 desde el 1 de octubre. CISA añadió la vulnerabilidad a su catálogo de fallos explotados activamente y ordenó a las agencias federales de EE. UU. que actualizaran sus sistemas antes del viernes. Shadowserver sigue más de 5.000 instancias ICS expuestas a internet; según el informe fuente, se desconoce cuántas están protegidas frente a los ataques en curso.