Qué hacer
esta semana 16 de octubre de 2026
critica · global

CISA confirma explotación activa de bypass en Ivanti Connect Secure

CISA agregó el 13 de octubre dos CVEs a su catálogo de vulnerabilidades explotadas conocidas (KEV): CVE-2026-104935, un bypass de autenticación por suplantación en Ivanti Connect Secure, y CVE-2026-96951, una inyección de comandos en Windows. Ambos tienen evidencia de explotación activa según CISA.

Esta semana — prioridad 1

Aplicar el parche de Ivanti para CVE-2026-104935 en todas las instancias de Connect Secure esfuerzo medio · attack M1051 · cis 7.1 · iso27001 A.8.8
Aplicar el parche de Microsoft correspondiente a CVE-2026-96951 esfuerzo bajo · attack M1051 · cis 7.1 · iso27001 A.8.8
Restringir la interfaz de administración del VPN a rangos de IP internos conocidos mientras el tercer fallo de la cadena permanece sin parche esfuerzo bajo · attack M1030 · cis 4.4 · iso27001 A.8.20

Este mes — prioridad 2

Habilitar MFA resistente a phishing para todo acceso remoto vía VPN esfuerzo medio · attack M1032 · cis 6.5 · iso27001 A.8.5
Segmentar la red detrás del gateway VPN para limitar el impacto de un compromiso del equipo de borde (zero trust interno) esfuerzo alto · attack M1030 · cis 12.2 · iso27001 A.8.22
Preparar un procedimiento de aislamiento y reimagen del appliance ante cualquier indicador de compromiso esfuerzo medio · cis 17.1 · iso27001 A.5.24

Qué necesitas tener logueado

Logs de autenticación de Ivanti Connect Secure (syslog del appliance)
Firewall/proxy perimetral con tráfico hacia la interfaz de administración del VPN
DeviceNetworkEvents / Sysmon en estaciones Windows para CVE-2026-96951
WAF frente al portal VPN, si existe

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/cisa-kev-ivanti-connect-secure-bypass-autenticacion/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.