CVE-2026-111357: Falta de autenticación en función crítica de Ivanti Connect Secure

CVE-2026-111357: escalada de privilegios en Ivanti Connect Secure, explotada activamente

CISA añadió el 30 de octubre de 2026 la vulnerabilidad CVE-2026-111357 al catálogo Known Exploited Vulnerabilities (KEV), lo que confirma explotación activa. Afecta a Ivanti Connect Secure y se clasifica como Missing Authentication for Critical Function. Tiene un CVSS de 7.0 (alto) según el enriquecimiento de NVD. La fecha límite para las agencias FCEB es el 2 de noviembre de 2026, solo tres días después de su publicación.

Análisis Técnico

Según CISA, Connect Secure no exige autenticación en una función crítica, lo que permite a un atacante local autenticado escalar privilegios. Los CWE asociados son:

CWE-306: falta de autenticación para una función crítica.
CWE-862: falta de autorización.
CWE-345: verificación insuficiente de la autenticidad de los datos.

Vector de Ataque

El atacante necesita una cuenta o acceso previo al equipo, por lo que esta falla funciona como eslabón de una cadena de ataque. CISA indica que puede encadenarse con CVE-2026-104935 y CVE-2026-118527. Esa combinación puede convertir un acceso limitado en control total del appliance VPN, que suele estar expuesto a internet y concentra credenciales y rutas hacia la red interna.

Impacto Operacional y de Seguridad

Escalada de privilegios sobre el appliance de acceso remoto.
Posible acceso a sesiones, credenciales y tráfico de usuarios.
Punto de apoyo para movimiento lateral hacia la red corporativa.
Uso en campañas de ransomware: desconocido según CISA.

Productos Afectados

Ivanti Connect Secure. Las versiones afectadas y corregidas deben consultarse en el aviso oficial del fabricante, ya que este análisis no replica un listado que no se pudo verificar.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones y parches del fabricante siguiendo su aviso de seguridad.
Cumplir la directiva BOD 26-04 y los requisitos de Forensics Triage de CISA.
Evaluar la exposición a internet de cada appliance y aplicar también las correcciones de CVE-2026-104935 y CVE-2026-118527.
Revisar logs y cuentas en busca de actividad anómala o escalada de privilegios previa al parche.
Si no hay mitigaciones disponibles, CISA indica discontinuar el uso del producto.