Ivanti Connect Secure: vulnerabilidad CVE-2026-118527 ya explotada

Ivanti Connect Secure: vulnerabilidad CVE-2026-118527 ya explotada

Qué es CVE-2026-118527 y a quién afectaEl fabricante Ivanti ha identificado una vulnerabilidad en su producto Ivanti Connect Secure, la solución de ac...

Qué es CVE-2026-118527 y a quién afecta

El fabricante Ivanti ha identificado una vulnerabilidad en su producto Ivanti Connect Secure, la solución de acceso remoto y VPN que muchas organizaciones colocan en el borde de su red para permitir el trabajo en remoto. El fallo está registrado como CVE-2026-118527 y su nombre oficial es "Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability".

Puerta acorazada entreabierta por la que se cuela un papel doblado hacia el interior de un archivador, con una luz de aviso roja encendida

Según la descripción recogida por CISA, el problema corresponde al tipo CWE-340: una generación de números o identificadores predecibles. En la práctica, esto permite que un atacante remoto autenticado suba archivos con contenido controlado por él a una ubicación conocida del disco. Además, la propia CISA advierte de que esta vulnerabilidad puede encadenarse con CVE-2026-104935 y CVE-2026-111357, lo que amplía el impacto potencial de un compromiso.

El perfil afectado es claro: empresas con acceso remoto expuesto a internet, sedes conectadas por VPN y equipos de IT pequeños que no pueden vigilar cada aviso de seguridad al minuto. Si tu organización usa Ivanti Connect Secure como puerta de entrada para empleados o proveedores, este fallo te concierne directamente.

Por qué es urgente: ya se explota en ataques reales

No estamos ante una vulnerabilidad teórica. CISA añadió CVE-2026-118527 a su catálogo Known Exploited Vulnerabilities (KEV) el 30 de octubre de 2026, lo que significa que hay evidencia de explotación en ataques reales. La NVD del NIST recoge los datos técnicos del fallo en paralelo.

La inclusión en el catálogo KEV viene acompañada de un plazo: las agencias federales de EE. UU. deben corregirla antes del 13 de noviembre de 2026. Aunque ese calendario formal no obligue a una pyme española, marca la urgencia real del problema. CISA exige aplicar las mitigaciones siguiendo las instrucciones del fabricante, evaluar la exposición a internet de cada activo y, si no hay mitigación disponible, dejar de usar el producto.

Conviene subrayar un matiz importante: en la información disponible no consta que esta vulnerabilidad se haya utilizado en campañas de ransomware. Eso no rebaja la gravedad, pero sí orienta la respuesta: el riesgo inmediato es la subida de archivos y el posible encadenamiento con otras vulnerabilidades.

Qué hacer hoy: revisión y mitigación

La prioridad es saber si tienes el producto, en qué versión y con qué exposición. Estos pasos ayudan a ordenar la respuesta:

  • Inventario: comprueba si tu organización utiliza Ivanti Connect Secure, quién lo gestiona y en qué versión está desplegado. Incluye instancias olvidadas, entornos de prueba y appliances virtuales.
  • Actualización o mitigación: aplica lo que indique el aviso oficial del fabricante. Si en tu caso no existe una versión corregida disponible, sigue las mitigaciones indicadas por Ivanti y valora reducir o suspender el servicio expuesto.
  • Indicios de intrusión: revisa registros de acceso, subidas de archivos a ubicaciones conocidas del disco y actividad anómala de cuentas autenticadas. Un atacante autenticado que sube contenido controlado puede dejar rastro en los logs y en el sistema de archivos.
  • Reducir la superficie: limita la exposición a internet de la consola de administración, restringe el acceso por IP cuando sea posible, activa la autenticación multifactor y revisa las cuentas con privilegios.
  • Encadenamiento: dado que CISA menciona CVE-2026-104935 y CVE-2026-111357, conviene revisar también el estado de esas vulnerabilidades en la misma instalación.

Si detectas indicios de compromiso, no basta con parchear: hay que aislar el equipo, preservar la evidencia y revisar qué credenciales o configuraciones pueden haber quedado expuestas.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña y del resto de España que tienen webs y servidores propios, muchas veces con un equipo de IT reducido. Nuestro enfoque de ciberseguridad para empresas encaja bien con situaciones como esta: primero detectamos y cerramos vulnerabilidades antes de que las exploten, mediante auditorías de seguridad y pentesting, y después mantenemos el entorno bajo control con hardening de servidores, monitorización y respuesta a incidentes.

También nos ocupamos del mantenimiento y la actualización de WordPress, PrestaShop y Joomla, y de la reparación de webs hackeadas cuando el incidente ya ha ocurrido. En un caso como CVE-2026-118527, nuestro papel sería ayudarte a localizar todos los activos afectados, verificar si la mitigación del fabricante se ha aplicado correctamente, revisar los registros en busca de actividad sospechosa y reforzar la configuración del acceso remoto para que un fallo puntual no se convierta en una brecha mayor. Todo ello con la mirada puesta en el RGPD y la LOPDGDD, porque un incidente de seguridad también es un asunto de protección de datos.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.