CVE-2026-118527: carga de archivos por identificadores predecibles en Ivanti Connect Secure

CVE-2026-118527: Ivanti Connect Secure y la generación de identificadores predecibles

La agencia estadounidense CISA incorporó el 30 de octubre de 2026 al catálogo de Vulnerabilidades Explotadas Activamente (KEV) la falla CVE-2026-118527 en Ivanti Connect Secure, clasificada como CWE-340 (generación de números o identificadores predecibles). Su inclusión en KEV confirma que existe explotación activa. Al momento de la publicación no hay puntaje CVSS enriquecido disponible, y CISA indica que el uso en campañas de ransomware es desconocido.

Análisis Técnico

Según CISA, la vulnerabilidad permite a un atacante remoto autenticado subir archivos con contenido controlado por él a una ubicación conocida en disco. La causa raíz es la generación de identificadores predecibles: si el atacante puede anticipar el nombre o la ruta donde el appliance almacena el archivo, la carga deja de ser un hecho aislado y pasa a ser una primitiva útil para etapas posteriores.

Vector de Ataque

Acceso: red, con credenciales válidas (requiere autenticación).
Primitiva: escritura de archivos con contenido arbitrario en una ruta predecible.
Encadenamiento: CISA advierte que puede combinarse con CVE-2026-104935 y CVE-2026-111357, lo que sugiere una cadena de explotación de varios pasos sobre el mismo appliance.

Los detalles finos de la cadena deben consultarse en el aviso del fabricante; aquí no se especulan más allá de lo publicado.

Impacto Operacional y de Seguridad

Connect Secure es un gateway VPN SSL expuesto a Internet, por lo que es un objetivo de alto valor: un compromiso ofrece un punto de entrada a la red interna. Una escritura de archivos controlada, combinada con las otras dos fallas, puede escalar a ejecución de código y persistencia en el equipo perimetral. Históricamente, los appliances Ivanti han sido blanco frecuente de actores avanzados, por lo que conviene tratar este caso con prioridad.

Productos Afectados

Fabricante: Ivanti
Producto: Connect Secure
Versiones: consultar el aviso oficial de Ivanti, que detalla versiones afectadas y corregidas.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones y parches indicados en el aviso de seguridad de Ivanti.
Corregir las tres vulnerabilidades encadenadas, no solo una.
Evaluar la exposición a Internet de cada appliance y restringir el acceso administrativo.
Cumplir con la directiva BOD 26-04 y los requisitos de Forensics Triage de CISA.
Revisar logs y archivos subidos recientemente en busca de indicadores de compromiso; rotar credenciales si hay sospecha.
Si no hay mitigaciones disponibles, CISA recomienda discontinuar el uso del producto.

Fecha límite para agencias FCEB: 13 de noviembre de 2026. Aunque aplica a agencias federales de EE. UU., es una referencia razonable para cualquier organización.