CVE-2026-118527: la CVE de Ivanti que ni el propio catálogo de CISA logra explicar

CISA añade dos CVE más a la misma cadena, y no termina de explicar una de ellas

Todo el mundo trata una incorporación al KEV como el momento en que una vulnerabilidad queda por fin explicada. La propia entrada del catálogo de CISA para CVE-2026-118527 hace justo lo contrario. Dice que el fallo existe, dice que se encadena con otras dos CVE en el mismo dispositivo, y se detiene mucho antes de decir qué es realmente. [4]

Dos semanas después de que escribiera sobre CVE-2026-104935 —la cadena de welcome.cgi hasta root que Volexity rastreó en un dispositivo Ivanti Connect Secure totalmente parcheado—, CISA añadió dos números de CVE más para esa misma cadena al catálogo de Vulnerabilidades Explotadas Conocidas, ambos el 30 de octubre de 2026: CVE-2026-111357 y CVE-2026-118527. [3][4] Una de ellas resuelve un cabo suelto de aquel primer artículo. La otra abre uno nuevo.

CVE-2026-111357 es la mitad sencilla: por fin un nombre para un mecanismo que ya expliqué

El artículo original describía una etapa de escalada de privilegios sin número de CVE y sin parche: un atacante que ya tenía ejecución de código como el usuario sin privilegios cgi-server podía redirigir dsinvoked, el propio ejecutor de tareas con privilegios de root de ICS, parcheando la copia en memoria de una biblioteca compartida. Esa etapa ahora tiene ambas cosas. Ivanti publicó una corrección el 29 de octubre de 2026, y la propia actualización de Volexity la nombra como CVE-2026-111357. La descripción de NVD coincide de forma independiente con el mecanismo: el intermediario dsinvoked confía en los datos de configuración de DSCache, lo que lleva a la escalada de privilegios a root. [1][2]

La propia marca de triaje forense de CISA indica cómo trata cada CVE de esta cadena. Obligatoria bajo la Directiva Operativa Vinculante 26-04 para CVE-2026-104935 y CVE-2026-111357. No obligatoria para CVE-2026-118527. [5][3][4] Saque usted su propia conclusión sobre cuán resuelta considera CISA esa tercera CVE.

// KEV catalog entries for this chain, read directly from CISA's own catalog pages.

CVE-2026-104935   added 2026-10-13   due 2026-10-16   forensic triage: required
CVE-2026-111357   added 2026-10-30   due 2026-11-02   forensic triage: required   (Ivanti's patch shipped 2026-10-29)
CVE-2026-118527   added 2026-10-30   due 2026-11-13   forensic triage: not required

// Same chain, three different clocks, and CISA treating the third CVE
// differently from the other two without saying why in the catalog entry itself.

CVE-2026-118527 no coincide con nada que Volexity haya escrito jamás

La breve descripción de CISA para CVE-2026-118527 se lee como una versión en lenguaje llano de un fallo del artículo original: un atacante remoto y autenticado puede subir archivos con contenido que él mismo controla a una ubicación conocida del disco. [4] Eso se acerca a cómo ya se comporta la carrera de escribir-antes-de-validar de wu.cgi, que escribe un archivo subido en una ruta predecible derivada de MD5 antes de comprobar su contenido. Se acerca, pero no es idéntico. El artículo de Volexity, tanto el original como la actualización, no menciona CVE-2026-118527 ni una sola vez. [1] Y CISA dice que esta necesita un atacante autenticado. A la carrera de wu.cgi se llega sin autenticación, a través del truco de la cabecera de welcome.cgi que abre toda esta cadena.

No sé cuál de las dos cosas es cierta: que CVE-2026-118527 es un número nuevo para un fallo ya cubierto bajo CVE-2026-104935, o que se trata de un problema de ruta predecible genuinamente distinto que nadie ha descrito todavía en público. El propio aviso de Ivanti, que podría resolver esto en una sola frase, no se ha cargado en dos intentos de investigación independientes, realizados por dos personas distintas, que chocaron con el mismo muro por caminos diferentes. Eso es un obstáculo persistente, no una brecha para reintentar más tarde. Hasta que eso cambie, o hasta que Ivanti vuelva a publicar el aviso en otro sitio, esto sigue siendo una pregunta abierta. Prefiero decirlo con claridad antes que adivinar y equivocarme en cualquiera de las dos direcciones.

Un medio informa de un orden de tres etapas que el propio relato de Volexity no respalda

Hay un segundo cabo suelto. Un agregador que cubrió las incorporaciones al KEV del 30 de octubre describe un orden de cadena concreto: la RCE sin autenticación (CVE-2026-104935), luego una siembra de archivo autenticada (CVE-2026-118527), luego la escalada de privilegios (CVE-2026-111357), como si la CVE más nueva fuera un paso intermedio deliberado. El propio relato de Volexity no funciona así. Va directo de la RCE de wu.cgi a la escalada de privilegios de dsinvoked, sin ninguna etapa separada de siembra de archivo descrita en medio. [6][1]

O ese medio tiene detalles del aviso de Ivanti que el artículo de Volexity nunca cubrió, o simplemente se equivoca, y desde aquí no puedo decir cuál de las dos cosas es. No voy a tapar el desacuerdo escogiendo la versión que suene mejor. El mismo artículo cita además dos puntuaciones CVSS distintas para CVE-2026-111357 en su propio texto, 7.0 en un lugar y 8.8 en otro, y un 4.3 para CVE-2026-118527 que su propia tabla comparativa lista por separado como «pendiente de análisis». [6] Trate cualquier cifra para estas dos CVE que no sea el propio 7.0 de NVD para CVE-2026-111357 como no confirmada, porque en este momento lo es. [2]

Qué cambia realmente para usted, con o sin respuesta a cualquiera de las dos preguntas

Parchee en cualquier caso. La primera ronda de correcciones para CVE-2026-104935 ya cerró las etapas de welcome.cgi y wu.cgi; enumeré las compilaciones exactas en el artículo original, y esa lista no ha cambiado. La etapa de dsinvoked/DSCache necesita su propia actualización por separado, ahora registrada como CVE-2026-111357, que Ivanti publicó el 29 de octubre de 2026. El plazo federal para esa era el 2 de noviembre de 2026, hoy, mientras escribo esto. [1][3] El plazo de CVE-2026-118527 llega hasta el 13 de noviembre de 2026, y la propia marca de triaje forense de CISA la marca como «no obligatoria» bajo BOD 26-04, a diferencia de las otras dos. [3][4][5]

No deje que una cuestión de identidad sin resolver le convenza de esperar. Que CVE-2026-118527 resulte ser un fallo nuevo o uno renombrado, la vía de corrección es la misma: compilaciones actuales, avisos actuales, y no declarar cerrado un incidente solo porque el Integrity Checker Tool salga limpio. Esa limitación del artículo original no ha desaparecido.

// What this update actually settles, and what it doesn't.

SETTLED
  - CVE-2026-111357 is the dsinvoked / DSCache privilege escalation
    described in the original piece. Ivanti patched it on 2026-10-29.
  - CISA added both new CVEs to the KEV catalog on 2026-10-30.

NOT SETTLED
  - Whether CVE-2026-118527 is a new bug, or an existing one (the wu.cgi
    predictable-path upload) given its own CVE number.
  - Which chain order is correct: Volexity's (RCE straight to privilege
    escalation) or the three-stage order one outlet reported, with
    CVE-2026-118527 as a separate step in between.
  - Any CVSS score for CVE-2026-118527. NVD has no record for it as of
    this writing.

Una entrada de KEV sin resolver no es un cabo suelto que pueda ignorar

La versión honesta de esta actualización es más corta que el ruido a su alrededor: un número de CVE nuevo cerró una brecha que señalé hace dos semanas, y otro número de CVE nuevo abrió una pregunta que el propio catálogo de CISA no responde. Ambas cosas son ciertas a la vez, y ninguna anula a la otra.

Esto es exactamente el tipo de brecha que busco cuando verifico un parche para un cliente: no si la CVE del ticket quedó cerrada, sino si de verdad quedó corregido cada mecanismo que alguien ha atribuido a una cadena, incluidos los que todavía nadie ha descrito por completo. Si tiene un equipo Ivanti Connect Secure y quiere que alguien compruebe eso contra lo que realmente está corriendo, ese es el trabajo.