Atacantes explotan un fallo en Ivanti Connect Secure que permite ejecutar comandos sin autenticación

Qué ha pasado

Se ha publicado la vulnerabilidad CVE-2026-104935 en Ivanti Connect Secure (ICS), la pasarela de acceso remoto de Ivanti. Según la descripción recogida en NVD, se trata de una omisión de la autenticación mediante suplantación (spoofing): un atacante puede hacerse pasar por un usuario o componente legítimo, saltarse el control de acceso y ejecutar comandos arbitrarios en el dispositivo.

El fallo tiene una puntuación CVSS de 8.6 (alta). Puede explotarse a través de la red, sin necesidad de credenciales ni de interacción de ningún usuario y con poca complejidad. El impacto principal recae en la confidencialidad de la información, con efectos más limitados sobre la integridad y la disponibilidad del sistema.

Estado de la explotación

CISA incorporó la CVE-2026-104935 a su catálogo KEV el 13 de octubre de 2026, lo que confirma que ya se está explotando en ataques reales. Ha fijado a las agencias federales estadounidenses un plazo de remediación hasta el 16 de octubre de 2026, apenas tres días, una señal clara de la urgencia del caso.

Por ahora no se sabe si la vulnerabilidad se está usando en campañas de ransomware, y los datos disponibles no detallan quién está detrás de los ataques ni su alcance. Al menos dos medios especializados se han hecho eco del fallo en los últimos siete días.

A quién afecta

Afecta a las organizaciones que utilizan Ivanti Connect Secure en versiones anteriores a la 25.1.3.0. La propia descripción precisa que la versión 22.7R2.14 y las anteriores no están afectadas, por lo que el rango vulnerable comprende las versiones posteriores a la 22.7R2.14 y anteriores a la 25.1.3.0.

Al tratarse de un equipo de acceso remoto que normalmente está expuesto a internet, cualquier instalación vulnerable debe considerarse en riesgo inmediato.

Qué hacer

Dada la explotación activa confirmada, la recomendación es actuar de inmediato. Estos son los pasos concretos:

• Inventariar todos los equipos Ivanti Connect Secure y comprobar qué versión ejecutan.
• Si la versión es posterior a la 22.7R2.14 y anterior a la 25.1.3.0, actualizar con urgencia a la 25.1.3.0 o posterior, que según la descripción ya no está afectada. Conviene confirmar con Ivanti la versión corregida y cualquier mitigación adicional.
• Si no es posible actualizar de inmediato, restringir al máximo el acceso al equipo desde internet hasta poder aplicar la actualización.
• Revisar los registros del dispositivo en busca de accesos anómalos, comandos inesperados o cuentas desconocidas, ya que el equipo podría haber sido comprometido antes de actualizarlo.
• Ante cualquier indicio de intrusión, tratar el incidente como un compromiso: aislar el equipo, renovar credenciales y certificados asociados y analizar posibles movimientos hacia la red interna.

Tecnologías afectadas

Vulnerabilidades (1)