Qué ha pasado
El 30 de octubre, CISA añadió a su catálogo de vulnerabilidades explotadas conocidas dos fallos de Ivanti Connect Secure: CVE-2026-111357 y CVE-2026-118527. Ambos se relacionan con la misma secuencia de ataque en la que ya figuraba CVE-2026-104935, incorporada al catálogo el 13 de octubre. La novedad no es solo administrativa: confirma que el riesgo operativo continúa después de la primera ronda de parches.
El aviso canadiense de ciberseguridad identifica Connect Secure como el producto afectado y recoge que la explotación de CVE-2026-111357 se observó en la naturaleza. SecurityWeek señala que Ivanti corrigió los dos fallos nuevos y que el impacto conocido en el momento de la divulgación era limitado a algunos clientes. Esa combinación obliga a separar dos preguntas: si el proveedor publicó una corrección y si un dispositivo concreto fue alcanzado antes de instalarla.
Las tres piezas de la cadena
CVE-2026-104935 es un bypass de autenticación que permite a un atacante remoto no autenticado ejecutar comandos arbitrarios. CVE-2026-111357 afecta a una función crítica y puede facilitar una elevación de privilegios a un atacante autenticado con acceso local; Ivanti le asigna una puntuación CVSS de 8,8. CVE-2026-118527 usa identificadores predecibles para que un atacante remoto autenticado pueda subir contenido a una ubicación conocida del disco. Por separado, las tres descripciones requieren contexto; juntas explican por qué el fabricante y CISA las tratan como una cadena.
El punto decisivo para un defensor no es reproducir la secuencia, sino entender su consecuencia: un appliance perimetral puede terminar bajo control del atacante aunque la primera actualización ya se hubiera aplicado. La información pública no justifica asumir que todos los clientes fueron comprometidos, pero sí descarta tratar el parche inicial como cierre suficiente.