Por Canuto  

Ivanti publicó correcciones para una vulnerabilidad de Connect Secure que, según la empresa, tuvo explotación limitada, además de fallos críticos que pueden exponer credenciales en Neurons Patch for Intune y Xtraction. Las medidas recomendadas incluyen actualizar los productos afectados y, en ciertos casos, rotar secretos y credenciales.
***

  • El zero-day CVE-2026-104935 permite ejecutar comandos sin autenticación y afecta varias versiones de Connect Secure.
  • Ivanti corrigió en la nube una falla CVSS 9,9 de Neurons Patch for Intune y recomendó cambiar el client secret de Microsoft Entra ID.
  • Xtraction tiene cinco vulnerabilidades divulgadas; la empresa recomienda actualizar a la versión 2026.4 y rotar credenciales de conectores EPMM.

Ivanti corrige una vulnerabilidad explotada en Connect Secure y fallos que exponen credenciales

Un zero-day permite evadir la autenticación

Ivanti publicó actualizaciones de seguridad para varias fallas en sus productos, entre ellas una vulnerabilidad zero-day de Connect Secure que, según la compañía, había sido explotada de forma limitada al momento de divulgarse. El fallo, identificado como CVE-2026-104935, afecta a puertas de enlace de acceso remoto y permite que un atacante remoto ejecute comandos arbitrarios sin presentar credenciales ni requerir interacción de la víctima. La combinación de acceso remoto y ausencia de autenticación convierte el parche en una medida prioritaria para las organizaciones que usan el producto.

Ivanti atribuye la falla a una elusión de autenticación causada por suplantación. En términos prácticos, el problema permite que un atacante evite el control que debería verificar quién intenta ingresar y alcance la ejecución de comandos, sin que la fuente describa una necesidad de acceso previo a la cuenta o al dispositivo. La empresa indicó que conocía una explotación limitada cuando hizo pública la vulnerabilidad, pero no ofreció en la información disponible detalles sobre víctimas, métodos o alcance de esos ataques.

Las versiones afectadas incluyen Connect Secure 22.8R2.4 y anteriores, 25.1.2.2 y anteriores, y 25.1.1.1 y anteriores. La recomendación de Ivanti es que los administradores consulten el aviso de seguridad correspondiente, instalen la versión corregida adecuada para su entorno y ejecuten regularmente la Integrity Checker Tool. El aviso no debe interpretarse como una confirmación de que todos los equipos vulnerables hayan sido comprometidos, pero sí como una advertencia para revisar las instalaciones expuestas y aplicar las medidas indicadas.

Shadowserver rastreaba más de 5.500 dispositivos Connect Secure accesibles desde internet cuando BleepingComputer informó sobre la vulnerabilidad. Esa cifra describe equipos observados en línea, no una cantidad confirmada de sistemas vulnerados ni necesariamente el total de instalaciones afectadas. Aun así, sirve para dimensionar por qué los administradores deben identificar rápidamente si sus dispositivos pertenecen a las versiones señaladas y priorizar la actualización, sobre todo cuando una falla permite actuar sin autenticación.

Neurons Patch for Intune: exposición de información sensible

Ivanti también divulgó CVE-2026-109412, una vulnerabilidad con puntuación CVSS de 9,9 en Neurons Patch for Intune. El producto es un servicio en la nube utilizado para gestionar actualizaciones de aplicaciones de terceros a través de Microsoft Intune, y la falla permite a un atacante autenticado de forma remota acceder a información sensible de autenticación. Aunque el requisito de estar autenticado diferencia este caso del zero-day de Connect Secure, el tipo de información involucrada hace que la exposición pueda tener consecuencias para las integraciones asociadas.

La compañía informó que implementó la corrección en todos los entornos en la nube el 16 de septiembre. Por esa razón, los clientes no tienen que instalar una actualización del servicio para recibir el arreglo, de acuerdo con la información divulgada. Sin embargo, que el proveedor aplique la corrección no elimina por sí solo la necesidad de revisar los secretos que pudieron estar expuestos, por lo que Ivanti recomendó una acción adicional relacionada con la configuración de publicación en Intune.

En concreto, Ivanti aconsejó rotar el client secret asociado al registro de la aplicación de Microsoft Entra ID que se utiliza para publicar en Intune. Ese secreto participa en la autenticación entre componentes, por lo que cambiarlo reduce el riesgo de que una credencial potencialmente accesible siga siendo válida. La indicación se refiere a ese client secret específico; la información publicada no establece que todos los clientes hayan sufrido un acceso indebido ni que exista una explotación confirmada de esta vulnerabilidad.

La distinción entre corregir el servicio y rotar el secreto resulta importante para los equipos de seguridad: el primer paso resuelve la falla del lado de Ivanti, mientras el segundo atiende el posible riesgo asociado a la credencial. La empresa afirmó que no tenía conocimiento de clientes comprometidos mediante CVE-2026-109412 al divulgar el aviso. Esa declaración describe lo que Ivanti conocía en ese momento y no equivale a una garantía de que la vulnerabilidad nunca haya sido aprovechada.

Cinco vulnerabilidades divulgadas en Xtraction

La tercera área afectada es Xtraction, la plataforma de Ivanti para análisis de datos e informes. La vulnerabilidad más grave, CVE-2026-106042, recibió una puntuación CVSS de 9,9 y permite que un atacante autenticado redirija las solicitudes de la aplicación hacia un servidor bajo su control. Según la descripción divulgada, ese desvío puede facilitar la captura de credenciales del conector EPMM que Xtraction transmite, por lo que el problema no se limita a la lectura de información dentro de la plataforma.

Ivanti identificó otras cuatro fallas en Xtraction con efectos diferentes. CVE-2026-106047 permite a usuarios autenticados leer archivos arbitrarios mediante una vulnerabilidad de recorrido de rutas, mientras CVE-2026-106043 permite a un atacante no autenticado crear o modificar un sitio de confianza. Las dos últimas, CVE-2026-106034 y CVE-2026-106035, pueden permitir respectivamente que usuarios autenticados modifiquen directorios y que contraseñas SQL queden expuestas a través de los registros de la aplicación.

La amplitud de estos fallos hace que la revisión no deba limitarse a la vulnerabilidad con mayor puntuación. En conjunto, los problemas descritos abarcan credenciales de conectores, lectura de archivos, cambios en directorios, sitios de confianza y registros que podrían revelar contraseñas SQL. Ivanti indicó que Xtraction 2026.2.1 y versiones anteriores están afectadas, por lo que los administradores deben comprobar qué versión opera en cada entorno antes de definir las acciones de actualización y revisión de secretos.

La compañía recomendó actualizar Xtraction a la versión 2026.4 y rotar las credenciales de los conectores EPMM utilizados por la aplicación. La rotación es relevante porque la falla CVE-2026-106042 se relaciona precisamente con la captura de esas credenciales cuando las solicitudes se redirigen a un servidor controlado por un atacante. Ivanti no tenía conocimiento de clientes comprometidos mediante las fallas de Xtraction al momento de publicar los avisos, y tampoco se había confirmado públicamente un exploit de prueba de concepto para estas vulnerabilidades.

Qué deben revisar los administradores

Las medidas recomendadas dependen del producto afectado y no consisten en una única actualización aplicable a todos los casos. Para Connect Secure, Ivanti pidió instalar la versión corregida correspondiente y ejecutar regularmente la Integrity Checker Tool; para Neurons Patch for Intune, la corrección ya estaba desplegada en la nube, pero los clientes deben rotar el client secret indicado. En Xtraction, la guía es actualizar a 2026.4 y renovar las credenciales de los conectores EPMM utilizados por la aplicación.

La actualización de seguridad de Ivanti reúne las instrucciones para identificar las versiones vulnerables y seleccionar las correcciones adecuadas. Los equipos técnicos también deben distinguir entre los sistemas que simplemente cumplen los rangos afectados y aquellos cuya exposición requiere una investigación adicional, ya que la información divulgada no afirma que todos hayan sido atacados. En el caso de Connect Secure, la empresa sí reconoció explotación limitada; para Neurons Patch for Intune y Xtraction, dijo no conocer clientes comprometidos.

Las tres familias de vulnerabilidades muestran por qué el parcheo y la gestión de credenciales deben evaluarse juntos. Una actualización puede corregir el defecto del software, pero Ivanti también aconseja sustituir secretos o credenciales específicos cuando la información publicada identifica un posible riesgo de exposición. Esa recomendación no confirma que una clave haya sido robada en cada instalación; funciona como una medida preventiva asociada a las fallas y a los componentes descritos en el aviso.

Ivanti señaló que solo conocía explotación limitada de CVE-2026-104935 y que no tenía constancia de clientes comprometidos a través de los fallos de Neurons Patch for Intune o Xtraction cuando comunicó las vulnerabilidades. Además, no había un exploit de prueba de concepto público confirmado para esas fallas adicionales. Para los administradores, el siguiente paso es contrastar sus versiones con los rangos afectados, aplicar las correcciones indicadas y completar las rotaciones recomendadas, sin confundir la divulgación de un fallo con evidencia de una intrusión en su propia organización.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados