Ivanti ha publicado actualizaciones de seguridad críticas para su plataforma Endpoint Manager (EPM), abordando dos vulnerabilidades recién descubiertas que podrían permitir el acceso no autorizado a información sensible de la base de datos y comprometer las credenciales de los usuarios.

Las actualizaciones, lanzadas en la versión 2024 SU5, también resuelven 11 vulnerabilidades de gravedad media previamente divulgadas en octubre de 2025.

El aviso de seguridad destaca dos vulnerabilidades principales de gran preocupación. CVE-2026-1603, con una puntuación CVSS de 8.6 (Alta), representa un fallo de omisión de autenticación que permite a atacantes remotos no autenticados filtrar datos específicos de credenciales almacenadas.

Esta vulnerabilidad, clasificada bajo CWE-288, supone un riesgo sustancial, ya que no requiere interacción del usuario y puede ser explotada a través de la red sin autenticación.

La segunda vulnerabilidad, CVE-2026-1602, tiene una puntuación CVSS de 6.5 (Media) e implica un fallo de inyección SQL. Los atacantes remotos autenticados pueden explotar esta debilidad para leer datos arbitrarios de la base de datos, lo que podría exponer información sensible de la organización. La vulnerabilidad afecta a la confidencialidad de los datos, pero no a la integridad o disponibilidad del sistema.

Las organizaciones que ejecutan Ivanti Endpoint Manager versión 2024 SU4 SR1 y anteriores son vulnerables a estos exploits. Las vulnerabilidades afectan a los mecanismos centrales de autenticación y consulta de bases de datos, lo que las hace especialmente preocupantes para entornos empresariales que gestionan múltiples endpoints.

Ivanti ha puesto a disposición la versión parcheada, EPM 2024 SU5, a través de su Ivanti License System (ILS). Se recomienda encarecidamente a los administradores que apliquen la actualización de inmediato para mitigar los riesgos potenciales.

La empresa ha confirmado que no se observó explotación activa antes de la divulgación pública, ya que ambas vulnerabilidades fueron reportadas a través del programa de divulgación responsable de Ivanti.

Las vulnerabilidades fueron descubiertas por el investigador de seguridad 06fe5fd2bc53027c4a3b7e395af0b850e7b8a044, en colaboración con Trend Zero Day Initiative.

Ivanti ha reconocido públicamente la contribución del investigador en la identificación de estas brechas de seguridad y ha enfatizado su compromiso de trabajar con la comunidad de seguridad para mantener la integridad de sus productos.

Estas vulnerabilidades subrayan los desafíos continuos en la seguridad del software empresarial, especialmente en soluciones de gestión de endpoints que manejan acceso privilegiado y datos sensibles de la organización.

La vulnerabilidad de omisión de autenticación es especialmente preocupante, ya que no requiere autenticación previa, lo que podría permitir a los atacantes obtener acceso inicial a los almacenes de credenciales.

Actualmente, no hay indicadores conocidos de compromiso asociados con estas vulnerabilidades, e Ivanti informa que no hay evidencia de explotación en la naturaleza. Sin embargo, la divulgación pública de los detalles técnicos aumenta la urgencia para que las organizaciones desplieguen los parches disponibles.

Las organizaciones que utilizan Ivanti Endpoint Manager deben priorizar la actualización a la versión 2024 SU5 y realizar auditorías de seguridad para asegurarse de que no se haya producido acceso no autorizado antes de aplicar el parche. Ivanti sigue animando a los investigadores de seguridad a reportar vulnerabilidades a través de sus canales oficiales de divulgación.