Ivanti ha publicado actualizaciones de seguridad para otras dos vulnerabilidades en su puerta de enlace de acceso remoto Connect Secure (ICS), y la compañía afirma que se han encadenado en ataques de día cero desde al menos el 1 de octubre. Si tu organización utiliza este appliance, este parche para el zero-day de Ivanti Connect Secure es uno que conviene priorizar.

Los detalles disponibles hasta ahora son limitados, por lo que esta publicación se ciñe a lo que se ha informado y se centra en pasos prácticos para administradores y empleados que dependen de la puerta de enlace.

Qué parcheó Ivanti y cuándo comenzaron los ataques

Según el informe, Ivanti publicó actualizaciones que cubren dos vulnerabilidades adicionales en Connect Secure, la puerta de enlace de acceso remoto que muchas organizaciones utilizan para que el personal alcance sistemas internos desde fuera de la oficina. Las fallas fueron explotadas como zero-days, lo que significa que los atacantes las estaban usando antes de que existiera una corrección.

El dato clave de la cronología es que los ataques han estado ocurriendo desde al menos el 1 de octubre. La expresión "al menos" importa: indica que esta es la actividad más temprana confirmada hasta ahora, no necesariamente la primera. Las organizaciones que ejecutaban appliances sin parchear durante ese período deberían considerar la posibilidad de haber estado expuestas, en lugar de asumir que la corrección por sí sola cierra el asunto.

Las fallas también fueron encadenadas, lo que significa que los atacantes las combinaron en lugar de depender de un solo error. Ese detalle determina cómo los defensores deberían pensar en el riesgo.

Por qué los exploits encadenados en puertas de enlace VPN son tan peligrosos

Una puerta de enlace de acceso remoto se sitúa en el borde de una red. Es accesible desde internet por diseño, y se confía en ella para conectar a usuarios externos con recursos internos. Esa combinación la convierte en un objetivo de alto valor: una compromiso exitoso puede ofrecer un punto de apoyo en un lugar que está tanto expuesto como bien conectado.

El encadenamiento lo hace más grave. Una vulnerabilidad puede dar a un atacante acceso limitado, mientras que una segunda puede ampliar ese acceso o convertirlo en algo más potente. Usadas juntas, dos fallas que podrían ser manejables por separado pueden sumar un problema mucho mayor. Los defensores que priorizan examinando cada error de forma aislada pueden subestimar el impacto en el mundo real.

Esto también forma parte de un patrón más amplio. Nuestra cobertura anterior del bypass de autenticación de Ivanti Connect Secure rastreado como CVE-2026-104935 describió otra falla en el mismo producto que ya estaba siendo utilizada en ataques. Ver una segunda ronda de zero-days en la misma puerta de enlace subraya por qué estos appliances merecen una atención cercana.

Cómo comprobar si la puerta de enlace VPN de tu trabajo está parcheada

Si administras Connect Secure, empieza por lo básico:

  • Confirma la versión de tu appliance. Comprueba la versión que se ejecuta actualmente y compárala con las versiones corregidas indicadas en el aviso de seguridad de Ivanti para estas dos fallas.
  • Revisa tu historial de actualizaciones. Verifica que la actualización se aplicó realmente y que el appliance se reinició en la compilación parcheada, no solo que se descargó.
  • Mira hacia atrás hasta el 1 de octubre. Dado que los ataques se remontan al menos a ese día, revisa los registros y cualquier resultado de comprobación de integridad desde ese período en adelante.
  • Comprueba si hay correcciones relacionadas. Asegúrate de que también estén aplicados los parches anteriores, incluido el del problema CVE-2026-104935.

Si eres un empleado y no un administrador, no puedes parchear el appliance tú mismo, pero puedes preguntar a tu equipo de TI o de seguridad si la puerta de enlace Connect Secure ha recibido la última actualización. Una pregunta breve y directa es razonable y a menudo bien recibida.

Qué hacer si tu appliance Connect Secure no está actualizado

Aplica los parches tan pronto como tu proceso de cambios lo permita. Dado que estas fallas están siendo explotadas en la naturaleza, esperar a una ventana de mantenimiento rutinaria conlleva un riesgo real.

Mientras te preparas para actualizar, considera limitar quién puede acceder a las interfaces de administración del appliance y seguir cualquier guía de mitigación provisional que proporcione Ivanti. Después de parchear, ejecuta las herramientas de comprobación de integridad del proveedor si están disponibles, y busca sesiones inusuales, cambios de configuración inesperados o cuentas que no reconozcas. Si encuentras signos de compromiso, trátalo como un incidente: aísla el appliance, conserva los registros e involucra a tu equipo de respuesta a incidentes antes de restablecer credenciales que puedan haber pasado por la puerta de enlace.

Qué significa esto para ti

Para los administradores, el mensaje es claro: verifica tu versión, parchea e investiga el período desde el 1 de octubre. Un appliance corregido no es automáticamente un appliance limpio si estuvo expuesto antes de la actualización.

Para los usuarios cotidianos de una VPN corporativa, no hay software que instalar en tu propio dispositivo para este problema, ya que el componente vulnerable es la puerta de enlace. Aun así, es un buen momento para usar contraseñas seguras y únicas, habilitar la autenticación multifactor cuando se ofrezca y reportar cualquier cosa extraña, como solicitudes de inicio de sesión inesperadas o alertas de inicio de sesión.

Puntos clave

  • Ivanti ha publicado actualizaciones para otras dos fallas de Connect Secure encadenadas en ataques de día cero desde al menos el 1 de octubre.
  • Las puertas de enlace de acceso remoto son objetivos atractivos porque están expuestas a internet y son de confianza.
  • Las fallas encadenadas pueden ser más dañinas que cualquiera de los errores por separado.
  • Confirma la versión de tu appliance, aplica ahora el parche para el zero-day de Ivanti Connect Secure y revisa la actividad desde el 1 de octubre en adelante.
  • Para contextualizar el patrón en curso, lee nuestro informe anterior sobre el bypass de autenticación CVE-2026-104935.

Si utilizas o administras Ivanti Connect Secure, comprueba tu versión hoy y aplica las actualizaciones sin demora.