CISA añadió CVE-2026-111357 y CVE-2026-118527 a su catálogo KEV tras confirmar explotación activa. The Hacker News informa que, encadenadas con CVE-2026-104935, permitieron ejecución de código como root sin autenticación. Parches: 25.1.1.3 y 22.8R2.6; las agencias federales de EE. UU. tienen plazos del 2 y 13 de noviembre, respectivamente. CISA: cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
El Resumen (Sin rodeos)
CISA añadió CVE-2026-111357 y CVE-2026-118527 a su catálogo KEV tras confirmar explotación activa en Ivanti Connect Secure. The Hacker News informa que, encadenadas con CVE-2026-104935, permitieron ejecución de código como root sin autenticación. Los parches son la 25.1.1.3 y la 22.8R2.6; las agencias federales de EE. UU. tienen plazos del 2 y 13 de noviembre, respectivamente. El detalle de CISA está en su catálogo.
Lo primero que se me viene a la mente
Tres fallas encadenadas hasta root sin autenticación: Ivanti Connect Secure es el portal de acceso de muchas organizaciones, o sea que la puerta principal estaba hecha de tres cerraduras malas. Que CISA ponga fechas concretas (2 y 13 de noviembre) a las agencias federales dice lo grave que lo toma el gobierno estadounidense. Si tu empresa usa Ivanti, la fecha límite no es federal: es la tuya — parcha antes de que alguien encadene las tres en tu red.
¿Quién es quién en la noticia?
- Ivanti Connect Secure — El producto VPN/acceso afectado; el blanco de la cadena.
- CVE-2026-111357 y CVE-2026-118527 — Las fallas añadidas al catálogo KEV de CISA.
- CVE-2026-104935 — La tercera pieza de la cadena hasta root.
- CISA — La agencia que confirmó explotación activa y puso plazos.
- Parches 25.1.1.3 y 22.8R2.6 — Las versiones corregidas; instalarlas cierra la cadena.
Compartir