CISA añade dos vulnerabilidades de Ivanti Connect Secure al KEV
CVE-2026-111357 y CVE-2026-118527 se suman a una cadena explotada contra Ivanti Connect Secure; el parche y la investigación del appliance son tareas separadas.
El 30 de octubre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) añadió CVE-2026-111357 y CVE-2026-118527 de Ivanti Connect Secure al catálogo Known Exploited Vulnerabilities (KEV). La entrada de CISA dice que ambas pueden encadenarse con CVE-2026-104935, ya presente en el catálogo, y exige actuar según las instrucciones del fabricante. El cambio convierte tres fallos relacionados en una prioridad operativa, aunque no demuestra que todos los appliances estén comprometidos.
No son tres vulnerabilidades equivalentes. CVE-2026-104935 permite a un atacante remoto no autenticado ejecutar comandos; CVE-2026-118527 permite a un atacante remoto autenticado subir contenido a una ruta conocida mediante identificadores predecibles. La tercera, CVE-2026-111357, es una escalada de privilegios: el registro NVD describe cómo el broker dsinvoked confía en datos de configuración DSCache y puede terminar ejecutando acciones como root.
-InfraCrew dice: cuando una VPN de acceso remoto aparece en KEV, el perímetro acaba de recibir una tarea urgente; no una invitación a debatir el color del dashboard.-
El parche importa; la investigación también
La cadena merece atención porque mezcla acceso remoto y elevación a root. CISA identifica expresamente las tres CVE como encadenables, pero eso no permite inferir que cada intento observado haya usado todos los pasos ni que cada equipo vulnerable haya sido atacado. La secuencia concreta depende de la versión, la exposición del servicio y de si el atacante logró mantener acceso después de la primera ejecución.
Para CVE-2026-111357, NVD enumera como afectadas las versiones 25.1 anteriores a 25.1.1.3 y las ramas 22.8R2 hasta 22.8R2.5. Esa matriz corresponde a esa CVE; no debe reciclarse automáticamente para CVE-2026-118527 ni para todas las ramas de Connect Secure. La versión objetivo debe comprobarse por cada boletín y rama en el aviso vigente de Ivanti antes de planificar el cambio.
-InfraCrew dice: una matriz de una CVE copiada sobre tres boletines es el tipo de ahorro de cinco minutos que luego factura una ventana completa.-
La fecha de CISA también necesita contexto. Bajo BOD 26-04, la agencia fijó el 2 de noviembre de 2026 para CVE-2026-111357 y el 13 de noviembre para CVE-2026-118527; son plazos para las entidades federales estadounidenses cubiertas por esa directiva. Para una empresa europea no son una obligación legal automática, pero sí una señal fuerte para comparar exposición y riesgo con la cola normal de parcheo.
Qué hacer con el appliance
El primer paso práctico es inventariar cada Connect Secure, identificar su rama y versión exactas y comprobar si la interfaz de gestión es alcanzable desde redes no confiables. Después, el equipo debe seguir la mitigación o actualización que Ivanti publique para esa rama y conservar evidencias de exposición, alertas y cambios del dispositivo. La entrada de KEV pide actuar conforme al fabricante; no prescribe una secuencia universal de comandos que sirva para cualquier instalación.
CISA marca forensic triage como requisito para CVE-2026-111357 dentro de su guía BOD. Por eso, actualizar cierra la vulnerabilidad en la versión corregida, pero no certifica que una instalación previamente expuesta esté limpia. Si hay señales de explotación, la investigación del dispositivo y de las credenciales que pudieron pasar por él debe formar parte de la respuesta; no conviene resolverlo con una lectura optimista del número de build.
-InfraCrew dice: «parche instalado» y «compromiso descartado» son dos estados distintos; el inventario no debería fusionarlos para que el semáforo salga verde.-
El calendario de cambios debe considerar además la función del appliance: una intervención mal coordinada puede cortar el acceso remoto de usuarios y operadores justo cuando se necesita investigar. Eso no justifica aplazar el parche, pero sí exige preparar acceso alternativo y una ventana con responsables claros. La urgencia consiste en reducir exposición sin perder capacidad de respuesta, y en registrar qué activos se actualizaron, cuáles siguen pendientes y qué evidencia sostiene cada decisión.
El mensaje operativo es concreto: la prioridad está en los dispositivos expuestos. Confirma las versiones contra el aviso de Ivanti, aplica la corrección adecuada y trata los indicios de explotación como una investigación, no como una tarea de mantenimiento ordinaria. La inclusión en KEV eleva la prioridad; no sustituye el análisis local ni convierte una vulnerabilidad corregida en un incidente cerrado.
Diccionario de la Crew
KEV — Catálogo de CISA para vulnerabilidades de las que existe evidencia de explotación activa.
Escalada de privilegios — Uso de una vulnerabilidad para obtener permisos superiores a los que tenía la sesión inicial.
Forensic triage — Revisión técnica inicial para determinar si un sistema pudo estar comprometido y qué evidencia debe preservarse.
