Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) añadió CVE-2026-111357, una vulnerabilidad de falta de autenticación para una función crítica en Ivanti Connect Secure, a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 30 de octubre de 2026. La CISA añade una falla al catálogo cuando cuenta con evidencia confiable de que los atacantes la están explotando activamente.
Lo que dice la CISA
Ivanti Connect Secure contiene una vulnerabilidad de falta de autenticación para una función crítica que podría permitir a un atacante local autenticado escalar sus privilegios. Esta vulnerabilidad se puede encadenar con CVE-2026-104935 y CVE-2026-118527.
— Entrada del catálogo KEV de la CISA para CVE-2026-111357
Datos clave
| CVE | CVE-2026-111357 |
|---|---|
| Proveedor / producto | Ivanti Connect Secure |
| Añadido a KEV | 30 de octubre de 2026 |
| Plazo federal | 2 de noviembre de 2026 |
| Uso de ransomware conocido | Desconocido |
| Debilidad (CWE) | CWE-306, CWE-862, CWE-345 |
| Triage forense de la CISA | Sí |
| Puntuación base CVSS (NVD) | 7 Alta |
| Vector CVSS | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Quiénes deben actuar y cuándo
Se exige a las agencias de la rama ejecutiva civil federal de EE. UU. que solucionen la vulnerabilidad antes del 2 de noviembre de 2026. La CISA insta a todas las organizaciones a priorizar las fallas listadas en KEV como parte de su gestión de vulnerabilidades.
La acción requerida por la CISA para esta entrada:
Aplique mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de la CISA sobre la priorización de actualizaciones de seguridad basadas en el riesgo (consulte la URL en las notas) y los “Requisitos de triage forense” de la CISA (consulte la URL en las notas). Siga la guía aplicable de BOD 26-04 para servicios en la nube o suspenda el uso del producto si las mitigaciones no están disponibles. Las partes interesadas son responsables de evaluar la exposición a internet de cada activo y garantizar el cumplimiento de las pautas de parcheo de BOD 26-04.
Referencias
- Catálogo de vulnerabilidades explotadas conocidas de la CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-111357 https://nvd.nist.gov/vuln/detail/CVE-2026-111357
- hub.ivanti.com https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- www.cisa.gov https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk