Ivanti corrige otras dos zero-days de Connect Secure que se usaban en cadena desde octubre

Los atacantes las combinaban con una falla de autenticación parchada el mes pasado. Shadowserver ve más de 5,000 equipos expuestos en internet.

Ivanti publicó actualizaciones para dos fallas más de su pasarela de acceso remoto Connect Secure que se explotaban como zero-days desde al menos el 1 de octubre, informó BleepingComputer el 2 de noviembre de 2026.

Las fallas son CVE-2026-111357, de escalada de privilegios y gravedad alta, y CVE-2026-118527, que permite a un atacante autenticado subir archivos a un equipo sin parche. Se encadenaban con CVE-2026-104935, una omisión de autenticación que Ivanti corrigió el mes pasado. La empresa explicó que ya tenía listo ese arreglo cuando descubrió la escalada de privilegios y decidió no retrasarlo.

La firma Volexity, que encontró la falla, dijo que el actor UTA0576 lograba ejecutar código como root en equipos con todos los parches. «UTA0576 no instaló malware ni web shell. En cambio, volvía a explotar el equipo para cada comando que corría y alteraba los registros para cubrir sus huellas», explicó Volexity. Así evadía la herramienta de verificación de integridad de Ivanti.

Shadowserver rastrea más de 5,000 equipos Connect Secure expuestos en internet, sin datos de cuántos están protegidos. Desde noviembre de 2021, CISA ha marcado 38 vulnerabilidades de Ivanti como explotadas activamente, 12 de ellas en ataques de ransomware.

Fuente: BleepingComputer: «Ivanti patches two more Connect Secure zero-days chained in attacks», 2 de noviembre de 2026.