CISA alerta sobre vulnerabilidad zero-day explotada en Ivanti Connect Secure

CISA ha informado sobre la existencia y explotación activa de una vulnerabilidad zero-day, CVE-2026-104935, que afecta a las soluciones de seguridad Ivanti Connect Secure. Esta falla, un bypass de autenticación, permite la ejecución remota de comandos arbitrarios sin necesidad de autenticación, siendo utilizada por actores de amenazas para llevar a cabo robos de credenciales y exfiltración de datos.

Según la alerta de CISA, disponible en cisa.gov, la vulnerabilidad afecta a las versiones 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores de Ivanti Connect Secure. La agencia ha añadido CVE-2026-104935 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 13 de octubre de 2026, lo que subraya la confirmación de su explotación en entornos reales.

CISA insta a las organizaciones que utilicen dispositivos Ivanti Connect Secure a actualizar de inmediato a la última versión disponible, siguiendo las directrices del aviso de seguridad de Ivanti y su guía de compatibilidad para la actualización. Es relevante señalar que la versión 22.8 de Ivanti Connect Secure finalizará su ciclo de vida el 31 de enero de 2027.

Un punto crítico destacado por CISA es que la herramienta de verificación de integridad de Ivanti podría no ser efectiva para detectar la explotación de CVE-2026-104935, ya que los comandos maliciosos se ejecutan directamente en memoria. Por ello, la agencia recomienda que, ante la sospecha de un compromiso, las organizaciones realicen una serie de pasos de recuperación:

• Realizar una copia de seguridad de la configuración del dispositivo.
• Ejecutar un restablecimiento de fábrica y actualizar el dispositivo a la última versión. Para sistemas virtuales o en la nube, se sugiere reconstruir la instancia virtual y actualizar.
• Restaurar la configuración desde la copia de seguridad creada.
• Restablecer las contraseñas de todas las cuentas (dominio, administrador, locales).
• Revocar y reemitir los certificados almacenados, además de restablecer claves API y credenciales de servidores de licencias.