[Actualización 03/11/2026] Múltiples vulnerabilidades en productos de Ivanti

Fecha de publicación 14/10/2026

Identificador

INCIBE-2026-737

Importancia

4 - Alta

Recursos Afectados

[Actualización 03/11/2026]

La ampliación del aviso de Connect Secure afecta a:

La rama 25.1.1 anterior a 25.1.1.3.
La rama 22.8 anterior a 22.8R2.6.

Se conserva la afectación ya publicada de la rama 25.1.2 por CVE-2026-104935 y su migración a una versión corregida de 25.1.3.

Ivanti Xtraction, versiones 2026.2.1 y anteriores.
Ivanti Neurons Patch for Intune, entornos en la nube anteriores a la actualización automática aplicada el 16 de septiembre de 2026.

Las versiones 22.7R2.14 y anteriores de Ivanti Connect Secure no están afectadas por CVE-2026-104935.

Descripción

Ivanti ha publicado 7 vulnerabilidades: 2 de severidad crítica, 3 de severidad alta y 2 de severidad media que, en caso de ser explotadas, podrían permitir la ejecución de comandos arbitrarios, la obtención de credenciales, el acceso a archivos, la modificación de directorios o sitios de confianza y la divulgación de información sensible.

Ivanti ha confirmado la explotación activa y limitada de CVE-2026-104935, que afecta a Ivanti Connect Secure. El fabricante no tiene constancia de que las vulnerabilidades de Xtraction o Neurons Patch para Intune estén siendo explotadas.

[Actualización 03/11/2026]

Volexity ha identificado una cadena de explotación en Ivanti Connect Secure que permite obtener ejecución de código con privilegios de root sin autenticación. A CVE-2026-104935 se añaden CVE-2026-111357 y CVE-2026-118527; las 3 presentan explotación conocida.

El aviso agrupa ahora 9 vulnerabilidades: 2 críticas, 4 altas y 3 medias. No se ha confirmado explotación de las vulnerabilidades de Xtraction o Neurons Patch for Intune.

Solución

Aplicar las siguientes actualizaciones:

[Actualización 03/11/2026]

Connect Secure:

Rama 25.1.1: 25.1.1.3.
Rama 22.8: 22.8R2.6; se recomienda migrar a la rama 25.1 compatible.
Instalaciones de 25.1.2 afectadas por CVE-2026-104935: migrar a 25.1.3.1 o una versión posterior corregida y compatible.

Las versiones 25.1.1.2 y 22.8R2.5 no corrigen las 2 vulnerabilidades añadidas. Un resultado limpio de Integrity Checker Tool no descarta esta cadena: la actividad observada modifica memoria y restaura después la configuración. Ante sospechas, preservar las evidencias e investigar el dispositivo.

Ivanti Xtraction 2026.2.1 y anteriores: actualizar a la versión 2026.4.

La corrección para Ivanti Neurons Patch for Intune fue aplicada automáticamente en todos los entornos en la nube el 16 de septiembre de 2026. Como medida preventiva, Ivanti recomienda rotar el secreto de cliente asociado al registro de la aplicación de Microsoft Entra ID utilizado por Patch for Intune Application Publisher.

Detalle

Ivanti ha facilitado el siguiente detalle de las vulnerabilidades críticas:

CVE-2026-106042: vulnerabilidad de control externo del nombre o la ruta de archivos en Ivanti Xtraction. Un atacante remoto autenticado podría redirigir las solicitudes generadas por la aplicación hacia un servidor bajo su control y obtener las credenciales del conector de Endpoint Manager Mobile transmitidas por Xtraction.
CVE-2026-109412: vulnerabilidad causada por la exposición de una función peligrosa en Ivanti Neurons Patch for Intune. Un atacante remoto autenticado podría aprovecharla para obtener información confidencial de autenticación.
CVE-2026-104935: vulnerabilidad de omisión de autenticación mediante suplantación en Ivanti Connect Secure. Un atacante remoto sin credenciales podría eludir el inicio de sesión y ejecutar comandos arbitrarios en el dispositivo afectado. Ivanti ha confirmado que la vulnerabilidad está siendo explotada.

[Actualización 03/11/2026]

CVE-2026-111357: la confianza indebida del servicio dsinvoked en la configuración DSCache permite elevar privilegios a root.
CVE-2026-118527: la generación de identificadores predecibles permite que un atacante remoto autenticado cargue contenido en una ubicación conocida. Puede encadenarse con CVE-2026-104935 y CVE-2026-111357.

CVE