Ivanti parcha dos zero-days más en Connect Secure, encadenados en ataques desde octubre

Ivanti publicó actualizaciones de seguridad para dos vulnerabilidades más en Connect Secure (ICS), su puerta de enlace de acceso remoto, que atacantes han encadenado como zero-day desde al menos el 1 de octubre. Para cualquier organización que use este VPN, el mensaje es doble: hay que parchar de inmediato y también asumir que el equipo pudo estar comprometido antes del parche.

Las dos fallas nuevas son CVE-2026-111357, una escalada de privilegios que el fabricante califica como de severidad alta, y CVE-2026-118527, que permite a un atacante autenticado subir archivos a un dispositivo sin parchear. Según BleepingComputer, ambas se usaron en cadena con CVE-2026-104935, un bypass de autenticación que Ivanti ya había corregido en octubre. No contamos con puntajes CVSS publicados en la fuente que revisamos.