Ivanti Endpoint Manager quedó expuesto por CVE-2026-121653, una inyección SQL en el Core que deja a un atacante remoto, sin autenticarse, ejecutar código dentro del servidor que administra las computadoras de una empresa.
Este 10 de noviembre, Ivanti publicó cinco avisos de seguridad con 13 vulnerabilidades repartidas en cinco productos. SecurityOnline recopiló el lote completo: dos fallos críticos, uno alto y diez medios, con Endpoint Manager y Cloud Services Application al frente de la urgencia.
La empresa afirmó que no conoce clientes explotados por estos fallos al momento de divulgarlos. Ninguno de los 13 identificadores figura todavía en el catálogo de vulnerabilidades explotadas de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos, conocida como CISA.
Endpoint Manager, abreviado EPM, es la consola central con la que un departamento de sistemas instala programas, aplica parches e inventaria computadoras y servidores. Tomar esa consola equivale a heredar el mando de cada equipo administrado desde ella. Por eso un 9,8 ahí pesa distinto.
Antes de parchear toca un inventario rápido. Una misma empresa puede tener dos o tres de estos cinco productos en ramas de versión distintas, y EPMM y Sentry corrigen cada rama por separado, con números de versión diferentes para un mismo fallo.
El 9,8 del Core y el 9,4 de los certificados
El registro CVE publicado hoy describe CVE-2026-121653 con precisión corta: inyección SQL en el Core de Ivanti Endpoint Manager antes de la versión 2024 SU8, con ejecución remota de código para un atacante sin credenciales. Quedan afectadas la 2024 SU7 y todas las anteriores.
Parche directo: la 2024 SU8 ya está publicada y cierra el agujero. No hace falta contraseña robada ni un clic de la víctima; el ataque entra por la red contra el propio servidor de gestión, el equipo que en muchas empresas queda encendido y conectado todo el día.
Cloud Services Application, abreviada CSA, guarda el segundo crítico, con un detalle tramposo. CVE-2026-121683, con nota 9,4, nace de una autenticación ausente y afecta solo a la versión 5.0.8: la 5.0.7 y las anteriores quedan fuera del aviso.
Con esa puerta, un atacante sin autenticarse puede agregar y borrar entradas de certificados de confianza del Core de EPM. Ivanti anota que una instalación con doble tarjeta de red limita la exposición a la interfaz interna; la corrección directa es actualizar CSA a la 5.0.8.1.
La consecuencia práctica sale sola: tras parchear CSA conviene revisar la lista de certificados de confianza del Core, porque la falla permitía tocar justo esa lista. Un certificado agregado por un extraño dejaría una puerta de confianza abierta con el parche ya puesto.
EPM suma un tercer problema propio, CVE-2026-18128, con nota 6,8. Un atacante situado en el medio de la conexión puede leer y modificar el tráfico HTTP de los agentes, los programas pequeños que EPM instala en cada equipo administrado.
EPMM, Sentry y Workspace Manager completan el lote
Endpoint Manager Mobile, abreviado EPMM, y Sentry comparten CVE-2026-105425, con nota 7,2: una inyección de comandos del sistema operativo que exige privilegios de administrador. Ivanti acredita el reporte a btaol, del laboratorio Aquila Sec Lab.
EPMM queda afectado en las versiones 12.10.0.0 y anteriores, y 12.9.0.2 y anteriores; los arreglos son 12.11.0.0, 12.10.0.1 y 12.9.0.3. El mismo aviso agrega cinco fallos medios en EPMM, entre ellos cambios en parámetros del núcleo del sistema y borrado de archivos.
Sentry, la pasarela que mueve el tráfico de los móviles hacia los sistemas internos, suma inyección de argumentos, recorrido de rutas y una denegación de servicio en su componente Tomcat. Afecta a las versiones 10.8.2 y 10.7.3 y anteriores; los arreglos son 11.0.0, 10.8.3 y 10.7.4.
User Workspace Manager cierra la lista con CVE-2026-105813: guarda datos en texto claro y un usuario local puede robar el token de sesión de otra persona. Quedan afectadas la 2026.2 y las anteriores, y la versión que corrige es la 2026.4.
El lote llega semanas después de la cadena de fallos de Connect Secure que dejó acceso root sin contraseña en las puertas de acceso remoto de la misma marca. Son productos distintos, con el mismo patrón de fondo.
Conviene no mezclar los casos. Lo de hoy no es la puerta VPN ni el par de EPMM explotado en enero: el agujero sin credenciales de este lote está en la gestión de computadoras y servidores, el panel desde donde se ordena el resto de la red.
Para quien administra sistemas en una empresa pequeña, la pregunta útil es corta: ¿qué versión exacta corre hoy cada consola de Ivanti? La respuesta decide el riesgo, porque en CSA la versión vulnerable es una sola y en EPM el corte queda en la SU7.
CISA cuenta 38 vulnerabilidades de Ivanti ya explotadas dentro de su catálogo, ocho sumadas solo en 2026 entre EPM, EPMM, Sentry y Connect Secure. El orden de trabajo queda claro: primero EPM a 2024 SU8 y CSA a 5.0.8.1, y después el resto del lote.
Fuente: SecurityOnline
