Fecha de emisión: 13 de octubre de 2026
CVE ID: CVE-2026-104935
Severidad: ALTA — CVSS 3.1: 8.6 (prioridad crítica por explotación activa)
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
Tipo de vulnerabilidad: CWE-290: Omisión de autenticación mediante suplantación (spoofing)
Producto afectado: Ivanti Connect Secure (ICS)
Explotación activa: Sí — Confirmada por Ivanti en un número limitado de clientes; incluida en el catálogo CISA KEV desde el 13 de octubre de 2026 (fecha límite federal: 16 de octubre de 2026)
Fuente: Ivanti / NVD / CISA / Volexity
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de omisión de autenticación mediante suplantación en Ivanti Connect Secure, registrada como CVE-2026-104935 y calificada con 8.6 de 10 en la escala CVSS 3.1. Un atacante remoto, sin necesidad de credenciales, podría aprovecharla para ejecutar comandos arbitrarios en el equipo VPN.
Ivanti confirmó que la vulnerabilidad ha sido explotada contra un número limitado de clientes al momento de su divulgación. La firma Volexity, que colaboró en el hallazgo, documentó su uso encadenado con otros fallos de día cero. El 13 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV).
Descripción técnica publicada en NVD (en inglés): «Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14 or prior.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Ivanti Connect Secure 25.1.x (ISA6000/ISA8000) | 25.1.1.1 y anteriores | 25.1.1.2 |
| Ivanti Connect Secure 25.1.x | 25.1.2.2 y anteriores | 25.1.3.0 / 25.1.3.1 (requiere plataforma ISA4500, ISA6500 o ISA8500) |
| Ivanti Connect Secure 22.8 | 22.8R2.4 y anteriores | 22.8R2.5 |
No afectadas: 22.7R2.14 y anteriores, 25.1.3.0 y posteriores.
III. Acciones Requeridas
1. Actualizar inmediatamente
Instalar la versión corregida correspondiente, disponible en el Ivanti License System (ILS). Para la rama 22.8, Ivanti recomienda migrar a 25.1.1.2 o, si no es posible de inmediato, aplicar 22.8R2.5. Las ramas 22.7 y 22.8 llegan al fin de soporte el 31 de enero de 2027, por lo que conviene planificar la migración a 25.1.
2. Mitigar inmediatamente si no es posible parchear
Restringir el acceso a la interfaz de administración del equipo VPN desde Internet y limitarlo a direcciones de confianza, y seguir las indicaciones del fabricante.
3. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. Ejecutar la herramienta Integrity Checker Tool (ICT) de Ivanti, revisar los indicadores de compromiso publicados por Volexity y, si hay señales de intrusión, seguir los pasos de recuperación de Ivanti. Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- Ivanti. Security Advisory Ivanti Connect Secure (CVE-2026-104935). https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935
- Ivanti. Ivanti Connect Secure 22.8x and 25x Recovery Steps. https://forums.ivanti.com/s/article/Ivanti-Connect-Secure-22-8x-and-25x-Recovery-Steps
- Volexity. A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days. https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-104935. https://nvd.nist.gov/vuln/detail/CVE-2026-104935
- CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- SecurityWeek. Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN. https://www.securityweek.com/ivanti-zero-day-chain-gave-attackers-root-access-to-fully-patched-vpn/
V. Información de Contacto
CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124