Qué hacer
esta semana 16 de octubre de 2026
critica · global

CISA confirma explotación activa de zero-day en Ivanti Connect Secure

CISA agregó CVE-2026-104935 a su catálogo KEV el 13 de octubre de 2026: bypass de autenticación no autenticado en Ivanti Connect Secure que permite ejecución remota de comandos, usado de forma activa para robo de credenciales y exfiltración de datos.

Esta semana — prioridad 1

Actualizar Ivanti Connect Secure a la versión corregida indicada en el advisory del fabricante esfuerzo medio · attack M1051 · cis 7.1 · iso27001 A.8.8
Ejecutar el Integrity Checker Tool (ICT) interno y externo en todos los appliances, antes y después de parchar esfuerzo bajo · attack M1016 · cis 7.5 · iso27001 A.8.16
Restringir el acceso a la interfaz de administración del Connect Secure a rangos IP de gestión conocidos, eliminando exposición directa a Internet esfuerzo medio · attack M1030 · cis 4.4 · iso27001 A.8.20

Este mes — prioridad 2

Rotar credenciales y revocar sesiones VPN activas tras aplicar el parche, dado el riesgo de robo de credenciales reportado por CISA esfuerzo bajo · attack M1027 · cis 6.2 · iso27001 A.5.17

Qué necesitas tener logueado

Logs HTTP del reverse proxy/WAF/balanceador delante del portal Ivanti Connect Secure (o syslog del propio appliance si no hay proxy intermedio)
Firewall perimetral / NetFlow del segmento DMZ donde vive el appliance
EDR en endpoints que establecen sesión VPN exitosa, para correlacionar movimiento lateral posterior

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/cisa-kev-ivanti-connect-secure-cve-2026-104935/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.