Ciberseguridad · Aviso

Ivanti Endpoint Manager (EPM) e Ivanti Cloud Services Appliance (CSA) · Ejecución remota de código sin autenticación

Ivanti ha corregido dos fallos críticos en sus herramientas de gestión de equipos que permitirían a un atacante sin credenciales ejecutar código en el servidor o manipular certificados de confianza.

Publicado 12 noviembre 2026 Lectura 5 min Ref. CVE-2026-121653, CVE-2026-121683 CVSS 9.8 (Ivanti como CNA, según el registro oficial en CVE.org/MITRE (CVE-2026-121653). El segundo fallo, CVE-2026-121683, tiene CVSS 9.8… corregido: 9.4 según la misma fuente.)

Resumen

Ivanti ha publicado sendos boletines de seguridad para dos vulnerabilidades críticas que afectan a Ivanti Endpoint Manager (EPM) y a Ivanti Cloud Services Appliance (CSA), productos usados por las empresas para administrar de forma centralizada los ordenadores y dispositivos de su red. La más grave (CVE-2026-121653, CVSS 9,8) es una inyección SQL que permitiría a un atacante remoto y sin autenticar ejecutar código en el servidor central de EPM. La segunda (CVE-2026-121683, CVSS 9,4) permite manipular sin autorización el registro de certificados de confianza del CSA. No consta que ninguna de las dos se esté explotando de forma activa. Existen actualizaciones que las corrigen.

Materias: Vulnerabilidades, Ivanti, Inyección SQL, Ejecución remota de código, Autenticación, Gestión de dispositivos (endpoints), Actualización de software, Comunicaciones y redes

El fabricante estadounidense Ivanti ha corregido dos vulnerabilidades de gravedad crítica en dos de sus productos de gestión de equipos corporativos. La primera permitiría a un atacante sin credenciales tomar el control del servidor central de administración; la segunda, alterar a voluntad qué certificados considera «de confianza» ese servidor. Ambas pueden explotarse a través de la red y no requieren que el atacante se haya autenticado previamente, de ahí su máxima puntuación de riesgo. Por el momento no hay constancia de que se estén utilizando en ataques reales, pero las organizaciones afectadas deberían actualizar cuanto antes.

Descripción

El 10 y 11 de noviembre de 2026, Ivanti publicó dos avisos de seguridad que el centro de respuesta español INCIBE-CERT recogió en su alerta INCIBE-2026-855, calificándola de importancia «crítica». Los fallos afectan a dos herramientas de administración de parque informático:

Ivanti Endpoint Manager (EPM) es un software de gestión de endpoints, es decir, de los equipos finales de una organización (ordenadores, portátiles, servidores). Permite inventariarlos, distribuir parches y software, y controlarlos de forma remota desde un servidor central (el «Core»). Están afectadas las versiones 2024 SU7 y anteriores («SU» significa Service Update, los paquetes de actualización acumulativos de Ivanti).
Ivanti Cloud Services Appliance (CSA) es un dispositivo (una máquina virtual o física) que hace de pasarela segura entre internet y la red interna, para que los equipos que están fuera de la oficina puedan comunicarse con el servidor de gestión. Está afectada exclusivamente la versión 5.0.8.

Las dos vulnerabilidades reseñadas tienen asignados los identificadores CVE-2026-121653 (en EPM) y CVE-2026-121683 (en CSA). Un CVE es el código único con el que se cataloga internacionalmente cada vulnerabilidad conocida. El aviso de INCIBE menciona que Ivanti publicó en total tres fallos (dos críticos y uno de severidad media), pero solo detalla estos dos; del tercero no se facilita identificador ni descripción concreta.

Mecánica

CVE-2026-121653: inyección SQL que lleva a ejecución de código

El servidor central de EPM utiliza una base de datos. Una inyección SQL (en inglés SQL injection; catalogada como CWE-89) es un fallo en el que la aplicación construye las consultas a esa base de datos mezclando sin filtrar datos que envía el usuario; así, un atacante puede «colar» instrucciones propias dentro de la consulta y hacer que la base de datos las ejecute. En este caso, según el registro oficial del CVE, el fallo permite a un atacante remoto y sin autenticar (sin usuario ni contraseña) ir más allá de leer datos y llegar a la ejecución remota de código (RCE): ejecutar programas de su elección en el servidor Core de EPM. Como ese servidor controla todos los equipos gestionados, comprometerlo equivale a comprometer el parque informático. Su puntuación es la máxima de este aviso: CVSS 9,8 sobre 10, con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (atacable por red, baja complejidad, sin privilegios ni interacción del usuario, e impacto alto en confidencialidad, integridad y disponibilidad).

CVE-2026-121683: falta de autenticación sobre los certificados de confianza

El CSA expone una función que, por diseño, debería estar protegida pero no comprueba la identidad de quien la invoca (lo que se conoce como falta de autenticación, CWE-306). Gracias a ello, un atacante remoto sin credenciales puede añadir o eliminar entradas del registro de certificados de confianza de los servidores Core de EPM. Un certificado de confianza es la pieza que permite a los sistemas reconocerse mutuamente como legítimos; manipular esa lista abre la puerta a suplantar servidores o a romper las comunicaciones de gestión. La puntuación oficial es CVSS 9,4, con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H (impacto alto en integridad y disponibilidad, y bajo en confidencialidad).

Respuesta del creador

Ivanti, que actúa como CNA (la entidad autorizada a asignar identificadores CVE para sus propios productos), publicó los dos registros el 10 de noviembre de 2026 junto con sus boletines de seguridad, y asignó las puntuaciones CVSS de 9,8 y 9,4. En España, INCIBE-CERT replicó el aviso el 11 de noviembre de 2026 como INCIBE-2026-855 con importancia «crítica».

Respecto a la explotación, la agencia estadounidense CISA, dentro de su programa de enriquecimiento de datos (Vulnrichment), clasifica CVE-2026-121653 con el indicador Exploitation: none; es decir, no consta explotación conocida en el momento de la publicación. Ninguno de los dos fallos figuraba en el catálogo de vulnerabilidades explotadas de CISA (KEV) en esa fecha. Conviene no bajar la guardia: Ivanti ha sido objetivo recurrente de ataques en años anteriores, por lo que la ausencia de explotación actual no garantiza que no la haya en el futuro.

Parches y mitigaciones

Existen actualizaciones que corrigen ambos fallos. Son la vía de solución recomendada:

Ivanti Endpoint Manager (EPM): actualizar a 2024 SU8, disponible a través del portal de descargas ILS de Ivanti, siguiendo el boletín del fabricante para EPM de noviembre de 2026.
Ivanti Cloud Services Appliance (CSA): actualizar a 5.0.8.1, disponible según el boletín del fabricante para CSA.

Mitigación provisional para CSA

Si no es posible aplicar de inmediato la actualización del CSA, Ivanti indica que una configuración de doble interfaz de red (dual-NIC), montada conforme a sus instrucciones, limita el acceso a la función vulnerable únicamente a la interfaz interna, reduciendo la exposición. Es una medida temporal: no sustituye a la actualización.

Qué hacer hoy

Identificar si se utiliza EPM (versión 2024 SU7 o anterior) o CSA 5.0.8 en la organización.
Planificar y aplicar las actualizaciones a 2024 SU8 y 5.0.8.1 con prioridad alta, dada la criticidad.
En CSA, si la actualización se aplaza, aplicar la configuración dual-NIC como medida transitoria.
Revisar los registros (logs) del servidor Core y del CSA en busca de accesos o actividad anómala.