Alertas

Vulnerabilidades críticas en Ivanti 2026

16 Feb 2026

Vulnerabilidad - 10/02

Introducción

CVE-2026-1281 y CVE-2026-1340 son dos vulnerabilidades críticas de ejecución remota de código (RCE) que afectan a Ivanti Endpoint Manager Mobile (EPMM). Ambas vulnerabilidades permiten a un atacante remoto ejecutar comandos arbitarios en el servidor vulnerable sin necesidad de credenciales, se explotan a través de parámetros maliciosos en solicitudes HTTP, aprovechando la falla en el manejo de entradas y pueden dar lugar a web shells, reverse shells o cargas útiles que mantienen persistencia y control.

Varias instituciones han confirmado haber sufrido incidentes de seguridad relacionados con estas vulnerabilidades. La Autoridad de Protección de Datos de los Países Bajos y el Consejo Judicial holandés notificaron al parlamento que sus sistemas fueron comprometidos. Los atacantes accedieron a datos de empleados, como nombres, correos electrónicos profesionales y números de teléfono. La Comisión Europea también detectó un ataque a la infraestructura que gestiona dispositivos móviles de su personal. Aunque los dispositivos móviles no fueron comprometidos, pudo haber acceso a nombres y números de teléfonos de algunos empleados.

Análisis

CVE-2026-1281 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9,8

La vulnerabilidad radica en un manejo inadecuado de entradas en componentes del servidor web de EPMM. Un atacante remoto puede enviar solicitudes especialmente creadas a endpoints vulnerables que procesan ciertos parámetros sin sanitizarlos correctamente. Esto permite que código arbitrario sea ejecutado en el servidor sin requerir credenciales ni interacción de un usuario legítimo. La vulnerabilidad afecta a varias versiones de EPMM anteriores a la 12.8.0.0.

CVE-2026-1340 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9,8

La falla se produce por manejo incorrecto de entradas de usuario en componentes expuestos del servidor EPMM, lo que permite a un atacante inyectar código directamente. Un atacante puede enviar solicitudes HTTP especialmente diseñadas contra el sistema y hacer que el servidor ejecute comandos arbitrarios con los mismos privilegios con los que corre el proceso EPMM. La vulnerabilidad afecta a las mismas ramas que CVE‑2026‑1281.

Workarounds

No hay workarounds para estas vulnerabilidades.

Referencias

https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340?language=en_US

https://open.overheid.nl/documenten/3ea80b7e-deca-41cc-82f6-3a1b9ab84120/file

https://therecord.media/eu-dutch-government-announce-hacks-ivanti-zero-days

https://www.helpnetsecurity.com/2026/02/09/european-commission-ivanti-epmm-vulnerabilities/

Vulnerabilidad - 14/10

Introducción

CVE-2026-104935 es una vulnerabilidad por omisión de autenticación por suplantación (spoofing) en Ivanti Connect Secure (ICS) anterior a la versión 25.1.3.0, con una puntuación CVSS 3.1 de 8.6 (Alto), que permite a un atacante remoto no autenticado ejecutar comandos arbitrarios. Connect Secure es la pasarela VPN SSL empresarial de Ivanti, expuesta por defecto a Internet.

El vector indica que la explotación es remota (AV:N), de baja complejidad (AC:L), sin privilegios previos (PR:N) y sin interacción del usuario (UI:N). El ámbito permanece inalterado (S:U), es decir, el impacto queda dentro del propio componente vulnerable. Sobre la tríada CIA, la confidencialidad se ve muy afectada (C:H), mientras que integridad y disponibilidad sufren un impacto limitado (I:L/A:L). En la práctica supone ejecución remota de comandos en el appliance y exposición de las credenciales y la configuración que almacena.

Ivanti advierte de que tiene constancia de explotación en un número limitado de clientes, y Volexity descubrió la explotación durante la investigación de un incidente. CISA incluyó la vulnerabilidad en su catálogo KEV, con fecha límite de remediación para agencias federales el 16 de octubre de 2026. La corrección está descrita en el advisory oficial de Ivanti (ver Referencias). No consta PoC pública en las fuentes consultadas.

Análisis

El fallo se clasifica como CWE-290 (omisión de autenticación por suplantación). Según Volexity, CVE-2026-104935 cubre dos de los tres fallos de una cadena de explotación: una omisión de autenticación y un fallo de ejecución remota de código. Fuentes secundarias indican que esta combinación permite ejecutar comandos como la cuenta de bajo privilegio cgi-server. El tercer fallo de la cadena, una escalada de privilegios que otorga acceso root, sigue sin parchear, y Ivanti prevé corregirlo en las próximas semanas. Dicho fallo carece por ahora de CVE propio, por lo que parchear CVE-2026-104935 no cierra por completo la cadena.

En cuanto a explotabilidad, el atacante solo necesita acceso de red a la interfaz del appliance, sin cuenta ni interacción. Volexity observó explotación desde el 3 de octubre de 2026 por parte de un actor no documentado previamente, UTA0576, contra un ICS completamente actualizado. La versión afectada en ese incidente era la 22.8R2.4, la última publicada en ese momento.

El radio de acción es amplio. Los atacantes robaron credenciales de dominio almacenadas en el appliance, exfiltraron metadatos limitados de Active Directory y buscaron contraseñas LAPS y claves de recuperación BitLocker con una herramienta propia. También realizaron password spraying, escaneo de red, recopilación de la configuración y análisis de los registros de autenticación. Volexity no encontró backdoor ni web shell en el dispositivo, y valora con confianza alta que la actividad preparaba movimiento lateral y un compromiso más amplio de la red. Un concentrador VPN es un objetivo de alto valor porque concentra credenciales, secretos y acceso privilegiado a la red interna.

LAB52 recomienda actualizar de inmediato a una de las versiones corregidas como medida prioritaria, sin esperar a ventanas de mantenimiento ordinarias. Dado que existe un tercer fallo sin parche y que la explotación comenzó antes de la divulgación, LAB52 recomienda además restringir la exposición de la interfaz de gestión y de acceso de ICS, ejecutar la herramienta de verificación de integridad (Integrity Checker Tool) de Ivanti antes y después de actualizar, rotar las credenciales y secretos almacenados en el appliance o accesibles desde él (incluidas cuentas de servicio de dominio) y reforzar la monitorización de autenticaciones anómalas, consultas masivas a Active Directory y manipulación de registros.

Versiones afectadas

Consultar el advisory del fabricante para conocer el detalle de las versiones vulnerables. Según las fuentes consultadas:

Afectadas: 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores.

Corregidas: 22.8R2.5, 25.1.1.2, 25.1.3.0 y 25.1.3.1.

No afectada: 22.7R2.14 y anteriores.

Recomendaciones

Aplicar con carácter urgente la actualización oficial que corrige CVE-2026-104935 (22.8R2.5, 25.1.1.2, 25.1.3.0 o 25.1.3.1, según la rama).

Consultar el advisory de Ivanti y la alerta de CISA para verificar versiones, mitigaciones y la publicación del parche del tercer fallo (escalada a root), y aplicarlo en cuanto esté disponible.

Como control compensatorio mientras no se parchee, limitar el acceso de red al appliance y a su interfaz de administración, y vigilar la evolución del fallo sin parche.

Revisar el inventario de activos para identificar todos los ICS desplegados, en especial los expuestos a Internet, y confirmar su versión.

Ejecutar la Integrity Checker Tool antes y después de actualizar, y monitorizar registros y eventos en busca de autenticaciones anómalas, consultas masivas a AD, password spraying, uso de Kerberos inusual y borrado o manipulación de logs.

Dado que CISA confirma explotación activa y esta empezó el 3 de octubre, tratar las instancias expuestas desde esa fecha como posibles incidentes: rotar credenciales y secretos del appliance y de las cuentas de dominio asociadas, incluidas contraseñas LAPS y claves BitLocker si pudieron ser consultadas.

Workarounds

Consultar el advisory oficial del fabricante. Las medidas parciales (restricción de exposición, verificación de integridad) no sustituyen al parche oficial.