JC Rueda
Ciberseguridad · Aviso

Tenable Identity Exposure · Inyección de comandos como SYSTEM en el controlador de dominio

Tenable ha corregido tres fallos en su herramienta de seguridad para Active Directory. El más grave, de nota 9,9, permite que un usuario con pocos permisos ejecute órdenes con el máximo privilegio en un controlador de dominio.

Publicado Lectura 7 min Ref. CVE-2026-119314, CVE-2026-119315, CVE-2026-119316 CVSS 9.9 (Tenable (fabricante y CNA), aviso TNS-2026-34; CVSS v4.0: 9.4. A 5 de noviembre de 2026 no consta ficha en NVD.)

Resumen

El 30 de octubre de 2026 Tenable publicó el aviso TNS-2026-34, que corrige tres vulnerabilidades en las versiones instaladas en servidores propios (on-premises) de Tenable Identity Exposure. La más grave es CVE-2026-119314 (CVSS 9,9, crítica), una inyección de comandos en el componente Active Directory Events Listener. Un atacante autenticado con pocos privilegios podría usarla para ejecutar órdenes como SYSTEM en el controlador de dominio que tiene el rol PDCe. Las otras dos son de gravedad media, no consta explotación activa y la solución es actualizar a la 3.93.6 o a la 3.77.18.

Materias: Vulnerabilidades, Active Directory, Gestión de identidades, Inyección de comandos, Denegación de servicio, Divulgación de información, Actualizaciones de seguridad, Tenable

Las herramientas que vigilan la seguridad de una red también pueden ser una vía de entrada. Tenable ha corregido en Identity Exposure, su producto para detectar ataques contra Active Directory, un fallo que permitiría a un usuario con permisos mínimos ejecutar órdenes con el máximo privilegio en un controlador de dominio. Ese servidor es el que gestiona las cuentas y contraseñas de toda la organización. El fabricante lo califica de crítico (9,9 sobre 10), aunque no consta que se haya explotado. La solución es actualizar.

Descripción

Qué es Tenable Identity Exposure

Tenable Identity Exposure (antes llamado Tenable.ad) es un programa de seguridad que vigila el Active Directory de una organización. Active Directory es el servicio de Microsoft que actúa como «registro central» de usuarios, equipos, contraseñas y permisos de una red corporativa. Los servidores que lo ejecutan se llaman controladores de dominio. Quien controla un controlador de dominio controla, en la práctica, todas las identidades de la organización.

El producto se ofrece en dos modalidades: como servicio en la nube de Tenable (SaaS) y como software instalado en los servidores del propio cliente (on-premises). Este aviso trata de la segunda.

Versiones afectadas

  • Rama 3.93: 3.93.5 y anteriores (corregida en la 3.93.6).
  • Rama 3.77: 3.77.17 y anteriores (corregida en la 3.77.18).

Las tres vulnerabilidades

  • CVE-2026-119314: crítica, CVSS v3.1 9,9 (v4.0: 9,4). Inyección de comandos del sistema operativo (CWE-78) en el componente Active Directory Events Listener. Investigador: Takumi Ito.
  • CVE-2026-119315: media, CVSS v3.1 4,3 (v4.0: 5,3). Denegación de servicio en la API GraphQL por falta de límites al consumo de recursos (CWE-770).
  • CVE-2026-119316: media, CVSS v3.1 4,1 (v4.0: 5,6). Exposición de información sensible en el componente Windows Secure Relay, que escribe un dato secreto en un fichero de registro (CWE-532).

Las puntuaciones las ha asignado Tenable, que actúa como CNA (la entidad autorizada para asignar identificadores CVE a sus propios productos). A fecha de redacción no hemos encontrado ficha de estos CVE en la base de datos NVD del NIST.

Mecánica

CVE-2026-119314: inyección de comandos en el «escuchador» de eventos

Una inyección de comandos se produce cuando un programa construye una orden para el sistema operativo con datos que puede manipular un tercero y no los filtra bien. El atacante cuela sus propias instrucciones en esos datos y el sistema las ejecuta como si fueran legítimas.

En este caso el fallo está en el Active Directory Events Listener, el componente que recoge eventos del directorio para que el producto detecte indicadores de ataque. Según Tenable, un atacante autenticado y con pocos privilegios podría ejecutar comandos arbitrarios como SYSTEM, la cuenta con más poder en Windows, en el controlador de dominio que tiene el rol PDCe (Primary Domain Controller emulator). El PDCe es una función especial que Active Directory asigna a un único controlador del dominio. Entre otras tareas, se encarga de sincronizar la hora y de procesar con prioridad los cambios de contraseña.

El vector CVSS (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) se lee así:

  • El ataque se lanza por red.
  • Es de baja complejidad.
  • Exige una cuenta con privilegios bajos.
  • No necesita que ningún usuario intervenga.
  • Sus efectos alcanzan a sistemas distintos del componente vulnerable («cambio de ámbito»).
  • El impacto es alto en confidencialidad, integridad y disponibilidad.

El requisito de autenticación limita quién puede explotarlo, pero no mucho. En una red corporativa cualquier cuenta de empleado comprometida, por ejemplo mediante phishing (engaño por correo para robar credenciales), cumpliría la condición. Comprometer el PDCe equivale a poder manipular cuentas, permisos y políticas de todo el dominio.

Tenable no ha publicado más detalles técnicos y no consta que exista un exploit público. El aviso marca la «madurez del exploit» como Proof-of-concept (E:P). Eso indica que hay al menos una prueba de concepto, pero no implica que se esté usando en ataques reales.

CVE-2026-119315: denegación de servicio en la API GraphQL

GraphQL es un lenguaje para consultar datos a través de una API, la interfaz que usan los programas para comunicarse entre sí. Un usuario autenticado con pocos privilegios podría enviar consultas diseñadas para consumir recursos en exceso y degradar o bloquear el servicio. El impacto es solo sobre la disponibilidad y Tenable lo califica de bajo.

CVE-2026-119316: clave de vinculación en un fichero de registro

Si falla la instalación del Secure Relay para Windows (el componente que conecta la plataforma con el directorio), el programa escribe la clave de vinculación en el registro de errores local. Un usuario con acceso a ese equipo podría leerla. Para ello hacen falta acceso local, privilegios altos y que se dé esa circunstancia concreta.

Respuesta del creador

Tenable publicó el 30 de octubre de 2026 el aviso TNS-2026-34 («Tenable Identity Exposure Versions 3.93.6 and 3.77.18 Fix Multiple Vulnerabilities»), con riesgo global crítico. En él atribuye el hallazgo de CVE-2026-119314 al investigador Takumi Ito. El aviso no menciona explotación activa ni ofrece mitigaciones alternativas a la actualización.

INCIBE-CERT recogió el aviso el 3 de noviembre de 2026 (INCIBE-2026-825) con importancia «5 – Crítica» e indica que no consta explotación. CVE-2026-119314 no figura en el catálogo KEV de CISA, la lista estadounidense de vulnerabilidades que se sabe que se están explotando.

Un dato de contexto: el 8 de octubre de 2026 Tenable publicó el aviso TNS-2026-27 para la versión en la nube (SaaS), corregida en la 3.126.0. Ese aviso describe una inyección de comandos con la misma descripción, la misma puntuación y el mismo investigador, pero con otro identificador (CVE-2026-106126). Según su cronología, Tenable recibió el informe el 9 de septiembre y lo confirmó el 24 de septiembre. El fabricante no dice expresamente que se trate del mismo fallo, así que la relación entre ambos CVE no está confirmada.

Parches y mitigaciones

Versiones corregidas

  • Tenable Identity Exposure 3.93.6 para la rama 3.93.
  • Tenable Identity Exposure 3.77.18 para la rama 3.77.

Los instaladores están en el portal de descargas de Tenable. Las notas de versión están en la documentación on-premises de 2026.

Qué hacer ya

  1. Comprobar qué versión se usa. Si es la 3.93.5 o anterior, o la 3.77.17 o anterior, la instalación es vulnerable.
  2. Actualizar cuanto antes a la versión corregida de su rama. No hay mitigaciones provisionales publicadas, así que la actualización es la única medida que ofrece el fabricante.
  3. Revisar el componente del controlador de dominio. Para la versión SaaS, Tenable exige además desinstalar el listener con Register-TenableIOA.ps1 -Uninstall y volver a instalarlo después de actualizar. El aviso de la versión on-premises no menciona ese paso. Conviene confirmar con Tenable o con su documentación si también es necesario en su caso.
  4. Clientes SaaS: la corrección equivalente es la 3.126.0, que incluye el paso de reinstalación del listener descrito en TNS-2026-27.
  5. Medidas de higiene complementarias:
    • Restringir quién puede acceder por red a los componentes de Identity Exposure.
    • Vigilar en los controladores de dominio, sobre todo en el PDCe, procesos inusuales lanzados por la cuenta SYSTEM.
    • Si alguna vez falló la instalación del Secure Relay, revisar y limpiar los registros de error y valorar regenerar la clave de vinculación.

En el plano jurídico, en entidades sujetas a NIS2 o al Esquema Nacional de Seguridad, conviene documentar la evaluación y la fecha de aplicación del parche como parte de la gestión de vulnerabilidades. Si se detectaran indicios de compromiso del directorio con acceso a datos personales, habría que valorar la notificación a la AEPD en 72 horas (art. 33 RGPD).

Fuentes