Un aviso de seguridad aborda una vulnerabilidad significativa de escalada de privilegios que afecta a su cliente Mobile VPN con IPSec para Windows. La falla, identificada como WGSA-2026-00002, permite a atacantes locales ejecutar comandos arbitrarios con privilegios de SYSTEM, lo que podría otorgarles acceso sin restricciones a la máquina host. 

Un aviso de seguridad aborda una vulnerabilidad significativa de escalada de privilegios que afecta a su cliente Mobile VPN con IPSec para Windows.

La falla, identificada como WGSA-2026-00002, permite a atacantes locales ejecutar comandos arbitrarios con privilegios de nivel SYSTEM, lo que podría otorgarles acceso sin restricciones a la máquina anfitriona.

Esta vulnerabilidad afecta a la tecnología de software subyacente de NCP Engineering que WatchGuard utiliza para su cliente IPSec.

El problema radica en el proceso de gestión de la instalación, que crea una ventana de oportunidad para que los atacantes eludan los mecanismos de protección administrativa estándar.

Detalles técnicos y explotación

La vulnerabilidad se manifiesta durante los ciclos de mantenimiento del software, específicamente durante la instalación, actualizaciones o desinstalación. Durante estas acciones, el instalador MSI abre ventanas de línea de comandos (cmd.exe) para ejecutar tareas en segundo plano.

De manera crítica, estos símbolos del sistema se ejecutan con los derechos de la cuenta SYSTEM, el nivel de privilegio más alto en Windows.

En versiones antiguas de Windows, estas ventanas de comandos son interactivas en lugar de estar ocultas o bloqueadas.

Un atacante local o un insider malicioso podría interrumpir este proceso, interactuar con el símbolo del sistema abierto y ejecutar sus propios comandos.

Dado que el proceso padre tiene derechos de SYSTEM, cualquier comando introducido por el atacante hereda esos mismos privilegios elevados.

Aunque el Common Vulnerability Scoring System (CVSS) asigna a esta vulnerabilidad una puntuación base de gravedad "Media" de 6.3, las implicaciones para los endpoints afectados son graves.

Las altas puntuaciones en las métricas de impacto posteriores (Confidencialidad, Integridad y Disponibilidad, todas calificadas como Altas) indican que una explotación exitosa resulta en un compromiso total del sistema afectado.

Versiones afectadas y solución

Esta vulnerabilidad afecta al cliente WatchGuard Mobile VPN con IPSec para Windows hasta la versión 15.19, inclusive.

Los equipos de seguridad que gestionan endpoints con este software instalado deben priorizar la solución, especialmente en sistemas Windows heredados donde el comportamiento interactivo del símbolo del sistema es más frecuente.

Actualmente, no hay soluciones alternativas disponibles para mitigar esta falla sin actualizar el software. WatchGuard y NCP han lanzado una corrección en la última versión.

Se recomienda a los administradores actualizar inmediatamente todos los endpoints afectados a la versión 15.33 o superior del cliente WatchGuard Mobile VPN con IPSec.

Esta actualización modifica el comportamiento del instalador para evitar la exposición de ventanas de comandos interactivas con privilegios elevados.