CISA agrega dos fallas de Ivanti Connect Secure explotadas al KEV

Las dos vulnerabilidades forman parte de una cadena de tres fallas reportada desde el 13 de octubre que permite acceso root sin autenticación en VPNs ya parchadas; la tercera sigue sin confirmación oficial de parche.

Qué pasó

El 30 de octubre de 2026, CISA incorporó al catálogo Known Exploited Vulnerabilities (KEV) dos fallas de Ivanti Connect Secure:

• CVE-2026-111357 — Missing Authentication for Critical Function. Permite a un atacante remoto invocar una función crítica del appliance sin pasar por el flujo de autenticación.
• CVE-2026-118527 — Generation of Predictable Numbers or Identifiers. Permite predecir identificadores (presumiblemente de sesión o de token) que debieran ser aleatorios, lo que habilita secuestro o suplantación de sesión.

Ambas se suman por evidencia de explotación activa, según CISA, y quedan sujetas a los plazos de remediación de la Binding Operational Directive (BOD) 26-04, que rige para agencias federales estadounidenses (FCEB) y no aplica directamente a organizaciones chilenas, pero marca el nivel de urgencia que el propio fabricante y CISA le asignan al caso.

Esta adición no es un hecho aislado. Desde el 13 de octubre, CISA ya había emitido una alerta urgiendo el parchado de Connect Secure por una vulnerabilidad explotada, y The Hacker News reportó ese mismo día que un actor de amenaza encadenaba tres fallas zero-day para obtener acceso root sin autenticación, señalando que "solo dos estaban parchadas hasta el momento". El 14 de octubre, honeypots registraron 105 intentos de explotación según la misma fuente. El 16 de octubre, CSA Labs publicó una nota de investigación describiendo la cadena como capaz de dar root "incluso en VPNs ya parchadas". El 31 de octubre, un día después de la adición al KEV, The Hacker News volvió a cubrir la cadena de tres fallas bajo el mismo encuadre.

No sabemos con certeza si las dos CVE ahora en el KEV corresponden a los dos eslabones que ya tenían parche según los reportes de mediados de octubre, o si representan una numeración distinta asignada después. Tampoco hay confirmación pública de que el tercer eslabón de la cadena cuente ya con CVE asignado o con parche disponible. Recomendamos verificar directamente en el aviso de seguridad de Ivanti antes de dar por cerrada la exposición.

Por qué importa acá

Ivanti Connect Secure es un gateway VPN de borde, el tipo de producto que por diseño está expuesto a Internet y que en Chile se usa en banca, salud, telco y organismos públicos para acceso remoto de empleados y proveedores. No tenemos una cifra verificada de despliegue en el país — evaluación, confianza media: dado que es uno de los tres o cuatro productos de VPN SSL más vendidos en la región, es razonable asumir que existen instancias en organizaciones chilenas, pero la alternativa que no podemos descartar es que la base instalada local sea menor a la de otros mercados LatAm con más presencia de Ivanti como canal certificado.

Lo que sí es un hecho duro: la cadena permite root sin autenticación, el peor escenario posible en un equipo de borde, porque convierte la puerta de entrada al perímetro en control total del appliance. Si una organización chilena opera Connect Secure expuesto y no ha aplicado los parches de octubre, el reloj ya corre — CISA documentó explotación activa desde antes del 13 de octubre, casi tres semanas antes de esta adición al KEV.

Bajo la Ley 21.663, si una entidad obligada en Chile confirma compromiso de un activo de este tipo, corresponde evaluar el deber de reporte a ANCI. No citamos plazos específicos porque no los verificamos para este caso puntual; lo que corresponde es revisar el procedimiento interno de reporte ya definido con el oficial de seguridad.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — CVE-2026-111357 permite invocar una función crítica del appliance Connect Secure sin pasar por autenticación, desde la interfaz expuesta a Internet.
• T1550.004 — CVE-2026-118527 habilita predecir identificadores que deberían ser aleatorios, lo que en la práctica permite secuestrar o falsificar una sesión válida sin credenciales.
• T1068 — Las coberturas describen la cadena completa como capaz de escalar de acceso no autenticado a root en el sistema operativo subyacente del appliance.

title: Acceso potencialmente no autenticado a interfaz administrativa Ivanti Connect Secure
id: 7e4a1b2c-3d5f-4e6a-8b9c-0d1e2f3a4b5c
status: experimental
description: |
    Deteccion por COMPORTAMIENTO, no por firma ni IOC. No existen indicadores de red publicos
    asociados a CVE-2026-111357 y CVE-2026-118527 al momento de publicar esta pieza. Esta regla
    busca solicitudes POST exitosas (2xx) hacia rutas administrativas del appliance Connect Secure
    sin que el mismo origen tenga registrado un identificador de sesion previo en la ventana de
    correlacion, patron consistente con la cadena reportada (missing authentication for critical
    function + identificadores de sesion predecibles). Debe ajustarse a la nomenclatura real de
    campos del proxy/WAF del ambiente antes de pasar a modo de alerta activa.
references:
    - https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
    - https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
logsource:
    category: proxy
    product: appliance
detection:
    selection_admin_path:
        c-uri|contains:
            - '/dana-admin/'
            - '/api/v1/'
        cs-method: 'POST'
        sc-status:
            - 200
            - 201
    filter_known_auth:
        session_id_present: true
    condition: selection_admin_path and not filter_known_auth
falsepositives:
    - Integraciones legitimas via API con autenticacion por token que el proxy no registra como session_id
    - Escaneos de salud o monitoreo autorizados contra la interfaz de administracion
    - Balanceadores que no propagan el header o campo de sesion hacia el log del proxy
level: high

// Deteccion conductual, experimental. No hay IOCs publicos para este caso.
// Ajustar DeviceVendor/DeviceProduct y nombres de campo a la integracion real del proxy/WAF.
CommonSecurityLog
| where DeviceVendor == "Ivanti" or DeviceProduct has "Connect Secure"
| where RequestURL has_any ("/dana-admin/", "/api/v1/")
| where RequestMethod == "POST"
| where DeviceAction in ("200", "201", "Allow")
| where isempty(SourceUserName)
| project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceAction, SourceUserName
| sort by TimeGenerated desc

`comment("Deteccion conductual, experimental. Sin IOCs publicos conocidos para esta cadena al momento de publicar.")`
index=proxy (uri_path="*/dana-admin/*" OR uri_path="*/api/v1/*") method=POST status IN (200,201)
| where isnull(session_id) OR session_id=""
| stats count by src_ip, uri_path, status
| where count > 0

Fuentes

• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-30
• CISACISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure · 2026-10-13
• The Hacker NewsAttackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access · 2026-10-31
• The Hacker NewsCISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts · 2026-10-14
• CSA LabsIvanti Connect Secure Zero-Day Chain: Root on Patched VPNs · 2026-10-16
• CISABOD 26-04: Prioritizing Security Updates Based on Risk · 2026-10-30

Relacionado