Se ha detectado un aumento sin precedentes en intentos de explotación dirigidos a la vulnerabilidad crítica CVE-2026-1281 en Ivanti Endpoint Manager Mobile (EPMM). El 9 de febrero de 2026, los escaneos de Shadowserver revelaron más de 28.300 direcciones IP únicas intentando explotar la falla, lo que marca una de las campañas de ataque coordinadas más grandes observadas este año contra la infraestructura de gestión móvil empresarial. La CVE-2026-1281 es una vulnerabilidad de pre-autenticación 

Un aumento sin precedentes en intentos de explotación dirigidos a CVE-2026-1281, una vulnerabilidad crítica en Ivanti Endpoint Manager Mobile (EPMM).

El 9 de febrero de 2026, los escaneos de Shadowserver revelaron más de 28,300 direcciones IP únicas intentando explotar la falla, marcando una de las campañas de ataque coordinadas más grandes observadas contra la infraestructura de gestión móvil empresarial este año.

CVE-2026-1281 es una vulnerabilidad de inyección de código pre-autenticación con una puntuación CVSS de 9.8 que permite a los atacantes lograr ejecución remota de código sin autenticación en instancias vulnerables de EPMM.

La vulnerabilidad surge de una sanitización incorrecta de entradas en un manejador Bash en el endpoint /mifs/c/appstore/fob/, lo que permite a los atacantes inyectar payloads maliciosos a través de parámetros en la URL y ejecutar comandos arbitrarios como el usuario del servidor web.

El análisis de la infraestructura de ataque revela una distribución geográfica altamente concentrada, con Estados Unidos representando aproximadamente 20,400 direcciones IP, lo que equivale al 72% de todas las fuentes de ataque observadas.

El Reino Unido ocupa el segundo lugar con 3,800 IPs, seguido de Rusia con 1,900 direcciones. También se registró actividad significativa de ataques desde redes en Irak, España, Polonia, Francia, Italia, Alemania y Ucrania, aunque en volúmenes sustancialmente menores.

Campaña de Ciberataque Coordinada

Investigadores de seguridad de GreyNoise y Defused han identificado un componente sofisticado en esta ola de explotación: se sospecha que un broker de acceso inicial ha estado desplegando webshells "durmientes" en instancias comprometidas de EPMM.

Más del 80% de la actividad de explotación ha sido rastreada a una sola dirección IP operando detrás de una infraestructura de hosting a prueba de balas, lo que sugiere una operación altamente coordinada diseñada para establecer acceso persistente para explotación posterior por otros actores de amenazas.

Este enfoque de activación retardada difiere significativamente de los ataques oportunistas típicos, ya que los backdoors permanecen inactivos hasta que se activan para operaciones específicas.

Dado que EPMM gestiona dispositivos móviles, aplicaciones y contenido en entornos empresariales, la explotación exitosa proporciona a los atacantes un control extenso sobre la infraestructura móvil corporativa, incluyendo la capacidad de desplegar payloads adicionales en dispositivos gestionados y facilitar el movimiento lateral dentro de redes objetivo.

Ivanti reveló por primera vez CVE-2026-1281 junto con CVE-2026-1340 el 29 de enero de 2026, reconociendo una explotación limitada en entornos de clientes.

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) agregó inmediatamente CVE-2026-1281 a su catálogo de Vulnerabilidades Explotadas Conocidas con un plazo de remediación sin precedentes de tres días, subrayando la gravedad de la amenaza.

La Fundación Shadowserver está compartiendo activamente datos de IPs atacantes a través de su sistema de informes de eventos de escáner HTTP honeypot, con el vulnerability_id filtrado a CVE-2026-1281.

Las organizaciones pueden acceder a esta inteligencia de amenazas en shadowserver.org para identificar y bloquear direcciones de origen maliciosas que intenten explotar su infraestructura. Ivanti ha lanzado parches RPM temporales para las versiones afectadas, con una solución permanente programada para la versión 12.8.0.0 en el primer trimestre de 2026.

Los equipos de seguridad que gestionan implementaciones de EPMM deben aplicar inmediatamente los parches disponibles, monitorear indicadores de compromiso (incluyendo artefactos inesperados de webshells) y revisar los registros de acceso en busca de solicitudes sospechosas al endpoint vulnerable.