Publicado el 1 noviembre 2026 · Equipo mitza.es
Cuando se habla de seguridad informática se piensa en antivirus y en contraseñas, pero la puerta de entrada de muchas empresas es otra: la VPN, el equipo que permite al personal conectarse a la oficina desde fuera. Es un dispositivo que está, por diseño, abierto a internet, y por eso es un objetivo preferente. El último aviso importante afecta a Ivanti Connect Secure, una VPN muy extendida en empresas medianas y entre proveedores de servicios informáticos. Resumimos lo que se sabe a fecha de 1 de noviembre de 2026, con las cautelas que corresponden: la investigación sigue abierta.
Qué ha pasado
El 13 de octubre de 2026 Ivanti publicó su aviso de seguridad sobre CVE-2026-104935, un fallo de omisión de autenticación en Ivanti Connect Secure (la VPN que antes se llamaba Pulse Connect Secure). Permite a un atacante remoto, sin credenciales, ejecutar comandos en el equipo. Ivanti reconoció que se había explotado antes de publicar el parche en un número limitado de clientes, por eso se considera un zero-day. Ese mismo día la agencia estadounidense CISA lo incorporó a su catálogo de vulnerabilidades explotadas activamente (KEV). Rapid7 le asigna una gravedad de 8,6 sobre 10.
Quién lo ha explotado y desde cuándo
La empresa de seguridad Volexity detectó la actividad y la atribuye a un grupo que aún no tenía identificado, al que sigue con el nombre UTA0576. Según Volexity, la cadena de ataque se usaba al menos desde el 3 de octubre; otra firma sitúa los primeros indicios el 1 de octubre. Es decir, hubo ataques durante más de una semana antes de que existiera un parche. Y el fallo no actuaba solo: los atacantes lo encadenaban con otras vulnerabilidades para conseguir ejecución de código con permisos de administrador (root) sin autenticarse, incluso en equipos que estaban totalmente actualizados en ese momento.
Versiones afectadas y corregidas
Según los datos publicados por Ivanti y recogidos por Rapid7, están afectadas las versiones 22.8R2.4 y anteriores, 25.1.1.1 y anteriores y 25.1.2.2 y anteriores (de cada rama). Las versiones 22.7.x y anteriores no se ven afectadas. Las versiones corregidas que cita Rapid7 son 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1. Compruébalo siempre en el aviso oficial de Ivanti antes de actuar, porque es la fuente que puede actualizarse.
Por qué este fallo es especialmente incómodo
Volexity describe un ataque cuidadoso: no dejaba programas maliciosos ni puertas traseras (web shells) que se pudieran encontrar después, volvía a explotar el fallo cada vez que quería ejecutar un comando y manipulaba los registros del equipo. Según su análisis, esto permitió esquivar la herramienta de comprobación de integridad que facilita el propio fabricante. La consecuencia práctica es importante: que esa herramienta no detecte nada no demuestra que el equipo esté limpio.
Además, cuando se hizo público el aviso, uno de los fallos de la cadena (una elevación de privilegios) seguía sin parche. Ivanti indicó que lo corregiría más adelante, así que conviene vigilar sus próximas actualizaciones.
Cómo saber si tu empresa usa Ivanti Connect Secure
- Pregunta a la persona o empresa que gestiona tu informática qué VPN utilizáis y qué marca es.
- Revisa el inventario de equipos de red: puede figurar como Ivanti, Pulse Secure o Pulse Connect Secure.
- Mira la pantalla de acceso a la VPN desde fuera de la oficina: suele llevar el logotipo del fabricante.
- Si el acceso lo gestiona un proveedor, pídele por escrito que confirme versión y fecha de la última actualización.
Para dimensionar el problema: el servicio de seguimiento Shadowserver contabiliza más de 5.500 instancias de este producto expuestas a internet en todo el mundo, aunque no se sabe cuántas están ya protegidas o son trampas (honeypots). No es una cifra específica de España.
Qué hacer hoy: checklist
- Confirma si lo usas y qué versión tienes (ver apartado anterior).
- Actualiza a una versión corregida siguiendo el aviso de Ivanti. Si tu equipo es de la rama afectada, trátalo como una emergencia, no como una tarea del próximo mantenimiento.
- No te fíes solo de la herramienta de integridad. Pide una revisión de los registros, de las conexiones y de la actividad del equipo, idealmente por alguien con experiencia en análisis forense.
- Cambia credenciales y claves que hayan pasado por el equipo si estuvo expuesto antes de parchear: contraseñas de usuarios de la VPN, cuentas de servicio, certificados y claves de acceso. Es una medida prudente recomendada por los analistas ante un posible compromiso.
- Activa verificación en dos pasos en los accesos a la VPN y limita la administración del equipo a la red interna o a direcciones concretas.
- Guarda los registros fuera del equipo (en un servidor aparte), porque los atacantes pueden manipular los que quedan en el dispositivo.
- Anota la fecha y las acciones tomadas. Si más adelante hubiera que notificar un incidente, te alegrarás de tener la cronología.
Si crees que han entrado
Señales que justifican una revisión urgente: conexiones VPN de usuarios que no estaban trabajando, accesos desde países o franjas horarias inusuales, cambios de configuración que nadie recuerda haber hecho, o registros con huecos. En ese caso, sigue los pasos de recuperación del fabricante, aísla el equipo si es posible y avisa a tu proveedor de informática. Si hay datos personales afectados, consulta cuanto antes con tu asesor sobre la notificación a la autoridad de protección de datos. También puedes pedir ayuda gratuita al INCIBE en el 017.
Cómo reducir el riesgo de una VPN a medio plazo
- Que acceder a la VPN no signifique acceder a todo: segmenta la red para que cada usuario llegue solo a lo que necesita.
- Mantén un inventario de equipos de borde (VPN, firewalls, pasarelas) con su versión y su responsable.
- Suscríbete a los avisos del fabricante y del INCIBE-CERT, y define un plazo máximo de parcheo para fallos críticos (por ejemplo, 48 horas).
- Valora alternativas cuando un producto acumule fallos graves: acceso por identidad (modelos de «confianza cero»), otro fabricante o servicios gestionados.
- Ten copias de seguridad independientes y probadas, por si hay que reinstalar: lo explicamos en la regla 3-2-1 de copias de seguridad.
No es un caso aislado: los equipos de borde, bajo ataque este otoño
El aviso de Ivanti se suma a otros que ya hemos contado: los zero-days de Citrix NetScaler y las vulnerabilidades en las pasarelas de correo de Cisco y FortiMail. El patrón se repite: los atacantes buscan los dispositivos que protegen la entrada a la red, porque comprometerlos da acceso a todo lo demás. Si quieres entender cómo se organiza esa primera línea de defensa, lee nuestra guía de qué es un firewall y qué necesita una pyme. Y para el panorama de amenazas, el artículo sobre el ransomware en empresas españolas, porque una intrusión por VPN es una de las vías de entrada más habituales.
Preguntas rápidas
¿Me afecta si solo uso una VPN de otro fabricante?
Este aviso concreto, no. Pero el consejo general sí: conoce qué equipos tienes expuestos a internet, mantén un calendario de actualizaciones y exige a tu proveedor un plazo máximo de parcheo para vulnerabilidades críticas.
¿Basta con actualizar?
No necesariamente. Hubo explotación antes del parche y el ataque se diseñó para dejar poco rastro. Después de actualizar, conviene comprobar si hubo intrusión y cambiar las credenciales que pasaron por el equipo.
¿Esto tiene que ver con la normativa NIS2?
La gestión de vulnerabilidades y de proveedores forma parte de las medidas que se esperan de las empresas a las que alcanza la directiva. Tienes el contexto en nuestra guía sobre la normativa NIS2 para pymes.
Cómo te ayudamos en Mitza
Revisamos tu red, tus accesos remotos y tus equipos expuestos, y te ayudamos a actualizar y a comprobar si hubo intrusión. Si estás en Madrid sur, mira nuestro mantenimiento informático, o cuéntanos tu caso desde la página de contacto.