CVE-2026-111357: escalada de privilegios a root en Ivanti Connect Secure

Qué ocurre

Ivanti Connect Secure tiene un fallo en la forma en que su componente interno dsinvoked confía en los datos de configuración de DSCache. Según la descripción publicada, esto permite escalar privilegios hasta root. CISA lo clasifica como una función crítica sin autenticación y precisa que el atacante necesita tener ya acceso local autenticado al equipo.

El fallo tiene una puntuación CVSS de 7, pero esa cifra no cuenta toda la historia: consta que se ha explotado en ataques reales en octubre de 2026 y CISA lo incluye en su catálogo de vulnerabilidades explotadas. Además, CISA advierte de que puede encadenarse con CVE-2026-104935 y CVE-2026-118527. No consta que se haya usado en campañas de ransomware.

A quién afecta

A Ivanti Connect Secure. La versión que aparece citada en la descripción es la 22.8R2.4. Los datos disponibles no detallan otras versiones afectadas ni indican una versión corregida, así que conviene comprobarlo en el aviso del fabricante.

Qué hacer

• Consulta el aviso de Ivanti y aplica las medidas que indique.
• Sigue las indicaciones de CISA, que remite a su directiva BOD 26-04 y a sus requisitos de análisis forense ("Forensics Triage Requirements"). Dado que el fallo ya se explota, no basta con aplicar la medida: conviene revisar también el equipo.
• Evalúa cuánto expuesto a internet está cada equipo afectado.
• Si no hay medidas disponibles, CISA recomienda dejar de usar el producto.
• En servicios en la nube, sigue las indicaciones de la directiva que les correspondan.