Una explicación de una inyección SQL en Ivanti Endpoint Manager (EPM) que puede llevar a una ejecución remota de código sin autenticación. Cubre qué ocurre, a quién afecta y cómo responder, desde el punto de vista del defensor y sin pasos de ataque.
- CVE
- CVE-2026-121653 (Ivanti Endpoint Manager; inyección SQL en el Core)
- Gravedad
- CVSS 9.8 (crítica; vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; asignado por Ivanti. El aviso escribe 3.0, el registro CVE y NVD escriben 3.1)
- Tipo
- Inyección SQL (CWE-89)
- Impacto
- Ejecución remota de código por un atacante remoto sin autenticación
- Afectado
- Ivanti Endpoint Manager 2024 SU7 y anteriores (el registro CVE dice «antes de 2024 SU8»)
- Solución
- 2024 SU8 (desde el portal de descargas de Ivanti, ILS)
- Publicado
- 10 de noviembre de 2026
- Explotación
- Ivanti afirma que no tiene constancia de clientes explotados en el momento de la divulgación. No está en KEV a 12 de noviembre de 2026
Riesgo de esperar
Es otro producto, pero dos vulnerabilidades de Ivanti Connect Secure se añadieron a KEV el 30 de octubre de 2026 (véase nuestro artículo sobre Ivanti Connect Secure). No se conoce explotación de este fallo de EPM, pero los fallos sin autenticación, accesibles por la red y de baja complejidad son del tipo que se examina una vez que son públicos.
Qué tipo de vulnerabilidad es
El aviso de Ivanti dice que una inyección SQL en el Core de EPM permite a un atacante remoto sin autenticación lograr una ejecución remota de código. Está clasificada como CWE-89.
- No se requiere autenticación (PR:N), funciona por la red y no hace falta interacción del usuario (UI:N). La complejidad del ataque es baja (AC:L).
- La evaluación SSVC de CISA es explotación ninguna, automatizable sí, impacto técnico total.
- El aviso no describe el punto de entrada ni cómo se manipula la entrada, y este sitio tampoco.
- Ivanti dice que el fallo se divulgó mediante su programa de divulgación responsable.
Alcance afectado
| Elemento | Detalle |
|---|---|
| Producto | Core de Ivanti Endpoint Manager (EPM) |
| Versiones afectadas | 2024 SU7 y anteriores (aviso). El registro CVE dice «antes de 2024 SU8» |
| Versión corregida | 2024 SU8 (desde ILS) |
| Soluciones provisionales / mitigaciones | Ninguna hallada en el aviso |
| Otro CVE en el mismo aviso | CVE-2026-18128 (transmisión en texto claro en el Agent, CVSS 6.8, para un atacante en posición de intermediario); también corregido en 2024 SU8 |
| Aviso separado | Cloud Services Application (CSA) 5.0.8, CVE-2026-121683 (autenticación ausente, CVSS 9.4). Corregido en CSA 5.0.8.1; CSA 5.0.7 y anteriores no están afectados |
- Las líneas de versiones anteriores a 2024 (como 2022) no se mencionan en el aviso. Si usa una, consulte a Ivanti.
- Para CSA, Ivanti dice que con una configuración Dual NIC (práctica recomendada por Ivanti) la exposición se limita a la interfaz interna y no puede explotarse desde fuera.
Cómo comprobar si está afectado
Compruebe la versión de EPM
En la consola de EPM, compruebe la versión actual y el número de Service Update (SU). 2024 SU7 o anterior está afectado. Si ejecuta varios Core, compruebe cada uno. Para un parque mayor, enumérelos como se describe en la lista de comprobación del inventario de activos.
Compruebe hasta dónde está expuesto el Core de EPM
Busque cualquier ruta que llegue al Core de EPM desde el lado de internet (puertos abiertos, proxies inversos, ajustes de exposición en la nube). Si gestiona dispositivos remotos con él, mapee qué rutas usan.
Compruebe si usa CSA
Si usa Cloud Services Application, compruebe si es la 5.0.8. En ese caso, actualice a 5.0.8.1.
Qué hacer hoy
Actualice EPM a 2024 SU8 (máxima prioridad)
Obtenga 2024 SU8 en el portal de descargas de Ivanti (ILS) y aplíquela. Haga antes una copia de seguridad de la base de datos y de la configuración del Core.
Limite el acceso al Core hasta que actualice
El aviso no enumera ninguna solución provisional. Como añadido de este sitio, limite el acceso al Core a la red de gestión y a los dispositivos que lo necesiten, y no lo exponga directamente a internet. Compruebe el impacto en la gestión de dispositivos remotos antes de cerrar rutas.
Revise los registros anteriores a la actualización
Busque en los registros del servidor web y de la base de datos errores inesperados o rastros de operaciones sospechosas. Ivanti dice que por ahora no hay indicadores de compromiso conocidos públicamente. Si halla algo, siga la guía de corrección de vulnerabilidades.
Actualice CSA a 5.0.8.1 si lo usa
Si ejecuta CSA 5.0.8, actualice a 5.0.8.1 y confirme que está en configuración Dual NIC.
Suscríbase a las notificaciones de Ivanti
Ivanti publica avisos con un calendario regular. Asegúrese de que alguien los vea el mismo día de su publicación, para que la próxima respuesta sea más rápida.
Estado de la explotación
- El aviso de Ivanti afirma que no tiene constancia de clientes explotados por esta vulnerabilidad antes de la divulgación pública.
- El CVE no está en el catálogo KEV de CISA (versión de KEV 2026.11.10, comprobada el 12 de noviembre de 2026).
- La evaluación SSVC de CISA es explotación ninguna.
- NVD muestra «Received» y no lo ha analizado. El 9.8 es el valor de Ivanti.
- No se pudo hallar información pública sobre la escala, las técnicas ni los actores de ningún ataque.
Fuentes
- Ivanti — Security Advisory Ivanti Endpoint Manager (EPM) November 2026 (publicado el 10 de noviembre de 2026; versiones afectadas y corregidas, declaración sobre explotación)
- Ivanti — Security Advisory Ivanti CSA (CVE-2026-121683) (el aviso de CSA, con una mitigación)
- CVE.org — CVE-2026-121653 (publicado el 10 de noviembre de 2026; incluye la evaluación SSVC de CISA)
- NVD — CVE-2026-121653 (Received; CVSS 9.8)
- CISA — Known Exploited Vulnerabilities Catalog (este CVE no figura)
Limitar el acceso al Core a la red de gestión es una defensa general sugerida por este sitio, no una solución provisional del aviso de Ivanti. Última verificación: 12 de noviembre de 2026.
Lectura recomendada
- Mismo fabricante: Vulnerabilidades de Ivanti Connect Secure / Vulnerabilidades explotadas en dispositivos perimetrales
- Práctica: Guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Criterio: Priorizar con CVSS, EPSS y KEV
- Términos: Qué es la inyección SQL / Qué es el RCE