Ivanti confirmó explotación activa de CVE-2026-104935 en Connect Secure, una vulnerabilidad que permite a un atacante remoto sin credenciales ejecutar comandos en equipos VPN afectados. CISA la incorporó el 13 de octubre de 2026 a su catálogo de vulnerabilidades explotadas. Para una empresa, la urgencia no proviene solo de la puntuación 8.6: una pasarela VPN está en el borde de la red, autentica usuarios y puede conservar relaciones de confianza con directorios y sistemas internos.
La respuesta correcta combina actualización, comprobación de compromiso y preparación para recuperar el equipo. Aplicar el parche cierra el vector conocido, pero no demuestra que el dispositivo no haya sido utilizado antes. Ivanti informó explotación limitada; eso no significa que toda instalación esté comprometida ni que una organización sin el producto esté expuesta. El primer paso es identificar con precisión producto, versión, plataforma y modalidad de administración.
Qué publicó Ivanti y por qué exige prioridad
El registro CVE publicado el 13 de octubre describe una omisión de autenticación mediante suplantación en Ivanti Connect Secure. El atacante no necesita privilegios ni interacción de un usuario y puede ejecutar comandos arbitrarios. El vector CVSS indica acceso por red, baja complejidad y alto impacto potencial sobre confidencialidad, con impacto adicional sobre integridad y disponibilidad.
Las fuentes públicas señalan como corregidas las versiones 25.1.1.2 para su línea correspondiente, 25.1.3.0 o 25.1.3.1 para otras plataformas 25.x, y 22.8R2.5 para la rama 22.8. El registro CVE identifica 22.7R2.14 y anteriores como no afectados. Las organizaciones deben usar el advisory vigente del fabricante para mapear su hardware y ruta exacta, porque una lista resumida no sustituye las notas de actualización.
Ivanti indicó conocimiento de explotación contra un número limitado de clientes. CISA añadió la vulnerabilidad a KEV el mismo día. Estas dos señales cambian la prioridad: ya no se trata de preparar una ventana ordinaria según el CVSS, sino de reducir una exposición conocida y buscar evidencia de actividad previa.
Del borde de la red a una investigación interna
La VPN no es el final de la respuesta
Equipo accesible y versión afectada.
Comandos sin autenticación previa.
Directorios, sesiones y credenciales.
Registros, memoria y actividad interna.
Las VPN concentran acceso remoto, sesiones, certificados y conexiones con directorios. Una ejecución de comandos en el equipo puede permitir reconocimiento, robo de secretos o salto hacia otros recursos, aunque el impacto final depende de la configuración. Por eso la investigación debe mirar tanto el dispositivo como los sistemas que confían en él.
El equipo también puede ser difícil de observar. Los appliances usan sistemas cerrados, herramientas propias y registros limitados. La ausencia de una alerta no equivale a ausencia de actividad. Si la organización no exporta eventos o no conserva tráfico, su capacidad de reconstruir la ventana será menor.
Qué se conoce y qué no debe generalizarse
Está confirmada la vulnerabilidad, la disponibilidad de versiones corregidas y la explotación limitada observada por el fabricante. Fuentes técnicas señalan actividad de un actor contra al menos un cliente y una cadena con una elevación de privilegios adicional. Sin embargo, no debe asumirse que todos los ataques siguieron el mismo recorrido, que existe un único actor o que cada equipo vulnerable fue explotado.
Tampoco conviene publicar indicadores sin contexto como si fueran una prueba universal. Un indicador puede desaparecer, cambiar o producir coincidencias legítimas. Úselo para iniciar análisis junto con cronología, volumen de solicitudes, procesos, conexiones y cambios de configuración. La conclusión debe expresar el nivel de certeza y las fuentes disponibles.
Identifique la exposición antes de actuar
Busque Connect Secure por inventario, contratos, DNS, certificados, rangos públicos y registros de acceso remoto. Confirme quién administra cada instancia: equipo interno, proveedor gestionado o filial. Registre versión, plataforma, interfaz de administración, usuarios, directorios conectados, certificados y redes alcanzables. No confunda Pulse Secure histórico con una conclusión automática; verifique el producto desplegado.
Pregunte si existen equipos de contingencia apagados, laboratorios o instancias temporales. Los activos olvidados suelen quedar fuera del parcheo, pero mantienen publicación en Internet y configuraciones antiguas. Incluya también balanceadores, reglas NAT y nombres alternativos que puedan exponer la misma pasarela.
Si no utiliza el producto, documente cómo lo confirmó. Una respuesta a dirección debe mostrar fuentes revisadas y responsable, no limitarse a «TI dice que no». Si lo utiliza, clasifique cada instancia por exposición y criticidad antes de programar cambios.
Qué hacer durante las primeras horas
Revise el advisory oficial y actualice a la versión indicada para su rama y hardware. Prepare respaldo, criterio de reversión y pruebas de acceso antes del cambio. Si no puede actualizar de inmediato, aplique únicamente mitigaciones documentadas por el fabricante y reduzca exposición administrativa. No improvise reglas que puedan bloquear usuarios críticos o crear una falsa sensación de cierre.
Ejecute las herramientas de comprobación recomendadas por Ivanti y conserve sus resultados. Revise solicitudes anómalas, procesos, archivos, conexiones salientes, cuentas y cambios de configuración. Si hay indicios, aísle el equipo de forma coordinada, preserve evidencia y siga los pasos de recuperación del fabricante. La respuesta a incidentes debe incluir las relaciones de confianza, no solo el appliance.
Planifique la rotación de credenciales según exposición. Una pasarela puede usar cuentas LDAP, secretos de servicio, claves, certificados o integraciones RADIUS. Una rotación indiscriminada puede causar una interrupción; omitirla deja accesos potencialmente válidos. Priorice secretos con mayor alcance y pruebe continuidad después de cada cambio.
Controle también las sesiones existentes. Cambiar una contraseña no siempre invalida tokens, cookies o certificados ya emitidos. Determine qué mecanismos acepta la pasarela, cómo se revocan y qué sistemas internos confían en ellos. Si el dispositivo actuaba como punto de autenticación para administradores o proveedores, amplíe la revisión a sus accesos recientes y a las acciones realizadas después de cada inicio de sesión.
Evidencia mínima para decidir si ampliar el análisis
Cuatro fuentes que deben correlacionarse
Correlacione eventos del propio equipo con firewall, proxy, balanceador, DNS, EDR, directorio y autenticación. Alinee zonas horarias y conserve una línea de tiempo. Busque actividad antes y después de la actualización, porque el atacante pudo acceder durante una ventana previa. Si faltan registros, registre esa limitación explícitamente.
La investigación debe responder preguntas empresariales: qué redes eran alcanzables, qué identidades podían utilizarse, qué datos o procesos estuvieron expuestos y si existe una ruta persistente. Un análisis técnico que enumera archivos sin conectar el hallazgo con impacto deja a dirección sin una decisión clara.
Qué exigir a un proveedor administrado
Solicite identificador de la instancia, versión previa y final, hora del cambio, advisory utilizado, resultado de herramientas de integridad, período revisado, fuentes de registro y hallazgos. Pida también que declare limitaciones: si no conserva tráfico, memoria o eventos, debe decirlo. «Parche aplicado» describe una acción, no el estado completo del riesgo.
Aclare quién decide aislar el servicio, quién comunica a usuarios y quién preserva evidencia. Los acuerdos de servicio suelen medir disponibilidad, pero no tiempos de investigación o entrega de registros. Incorpore esos elementos en la próxima revisión contractual.
Exija que la evidencia conserve zona horaria, integridad y cadena de custodia. Un archivo exportado sin contexto puede ser difícil de correlacionar con firewall o directorio. El proveedor debe indicar cómo obtuvo la información, qué período cubre y qué filtros aplicó. Si existen instancias compartidas o limitaciones de privacidad, esas restricciones deben quedar documentadas en lugar de convertirse en una respuesta genérica.
Plan de 30 días después de la emergencia
Durante la primera semana, cierre inventario y actualización. En la segunda, revise exposición administrativa, segmentación y cuentas de servicio. En la tercera, centralice registros y pruebe alertas. En la cuarta, ejecute un ejercicio de mesa que simule compromiso del acceso remoto y obligue a operar con una alternativa.
Evalúe también el ciclo de vida. Ramas antiguas pueden acercarse al fin de soporte y convertir cada aviso en una excepción. Un Análisis de Vulnerabilidades ayuda a encontrar activos y versiones; un Security GAP Assessment conecta parcheo, terceros, continuidad y evidencia. Las pruebas de Ethical Hacking deben acordar límites para no afectar el acceso remoto productivo.
Lectura para Colombia, España y Latinoamérica
Empresas de la región utilizan VPN para personal, proveedores y soporte de sedes. La explotación no está limitada por país: lo relevante es la exposición del producto. Organizaciones colombianas y españolas deben contrastar inventarios, incluidos servicios gestionados fuera de su territorio, y coordinar notificación con sus obligaciones contractuales y regulatorias si encuentran compromiso.
La dependencia de una sola pasarela crea un dilema: mantenerla disponible conserva el riesgo; apagarla puede detener operaciones. La respuesta madura prepara acceso alternativo, responsables y criterios de aislamiento antes de la crisis. Continuidad y seguridad deben decidir juntas.
Preguntas frecuentes
¿La vulnerabilidad exige credenciales?
No. El registro CVE describe ejecución remota por un atacante sin autenticación previa.
¿Todos los Connect Secure están afectados?
No. Depende de versión y plataforma. Se debe revisar el advisory de Ivanti y el registro CVE vigente.
¿Actualizar elimina un compromiso previo?
No necesariamente. Cierra el vector corregido, pero una investigación debe determinar si hubo actividad y qué relaciones de confianza pudieron utilizarse.
¿Una herramienta de integridad basta?
Es una fuente valiosa, no una garantía universal. Debe correlacionarse con registros de perímetro, identidad y red.
Fuentes y límites
Fuentes consultadas el 13 de octubre de 2026: registro oficial CVE, advisory de Ivanti, aviso de CSIRT Panamá y análisis técnico de Rapid7. Versiones, indicadores y pasos de recuperación deben contrastarse con el fabricante. No se afirma compromiso en una organización concreta.
