Una grave falla de seguridad en Ivanti Endpoint Manager ha llamado la atención federal después de que la Cybersecurity and Infrastructure Security Agency (CISA) la añadiera al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 9 de marzo de 2026.

Registrada como CVE-2026-1603, esta vulnerabilidad de bypass de autenticación afecta a todas las versiones de Ivanti Endpoint Manager anteriores a la versión 2024 SU5 y permite a un atacante remoto y no autenticado robar datos sensibles de credenciales almacenadas sin necesidad de credenciales de inicio de sesión válidas.

Ivanti Endpoint Manager, comúnmente conocido como EPM, es una plataforma de gestión de endpoints basada en clientes ampliamente desplegada que las organizaciones utilizan para gestionar y proteger grandes flotas de dispositivos en sus redes.

Dado que la plataforma se encuentra en el centro mismo de la infraestructura de gestión de dispositivos de una organización, cualquier falla que exponga sus credenciales almacenadas puede tener consecuencias de gran alcance.

La vulnerabilidad está clasificada bajo CWE-288, que describe un bypass de autenticación a través de una ruta o canal alternativo, lo que significa que el producto proporciona una vía de acceso secundaria que omite por completo el proceso normal de autenticación y verificación.

Los analistas de CISA identificaron esta vulnerabilidad como activamente explotada en la naturaleza, confirmando que representa una amenaza inmediata y grave tanto para agencias federales como para entornos empresariales privados.

La falla fue reportada originalmente a Ivanti en noviembre de 2024 y posteriormente fue divulgada públicamente a través de Trend Micro’s Zero Day Initiative, un programa que investiga y reporta vulnerabilidades de software a proveedores y a la comunidad de seguridad en general.

En respuesta a la inclusión en el catálogo KEV, las agencias del Federal Civilian Executive Branch (FCEB) han recibido una directiva formal bajo la Binding Operational Directive BOD 22-01, que exige que todos los sistemas afectados estén completamente parcheados a más tardar el 23 de marzo de 2026.

El impacto completo de CVE-2026-1603 va mucho más allá de una simple exposición de datos. Los investigadores confirmaron que una explotación exitosa otorga a un atacante acceso directo al EPM Credential Vault, permitiendo el robo de hashes de contraseñas de Administrador de Dominio y credenciales de cuentas de servicio almacenadas en el sistema de gestión.

Con estas credenciales, un atacante puede moverse lateralmente a través de la red objetivo, acceder a sistemas adicionales y escalar privilegios con un esfuerzo mínimo.

La vulnerabilidad es particularmente alarmante porque no requiere autenticación previa alguna: cualquier atacante con acceso a nivel de red al servidor de gestión de EPM puede llevar a cabo el ataque.

Cómo los atacantes explotan el bypass de autenticación

La fuente técnica de CVE-2026-1603 es una falla de concatenación de encabezados malformados dentro de un endpoint específico de la aplicación EPM.

Ciertas llamadas a la API en Ivanti EPM nunca estuvieron sujetas a los mismos controles de autenticación que rigen el resto del software, dejando una ruta de acceso desprotegida que los atacantes pueden usar sin enviar credenciales válidas.

La investigación reveló que el exploit es sorprendentemente fácil de llevar a cabo: al enviar una solicitud HTTP manipulada que incluye un valor numérico específico conocido como número mágico, el entero 64, un atacante puede alcanzar directamente endpoints protegidos de EPM y extraer blobs de credenciales cifradas asociadas con cuentas de alto privilegio.

Esto destruye efectivamente el modelo de confianza de gestión de endpoints del que dependen las empresas para mantener sus ecosistemas de dispositivos seguros.

Además, CVE-2026-1603 puede encadenarse con una vulnerabilidad de inyección SQL complementaria, CVE-2026-1602, que permite a un atacante autenticado por separado leer registros arbitrarios de la base de datos de EPM, haciendo que la explotación combinada sea un escenario de amenaza particularmente grave y realista.

Las organizaciones que utilizan Ivanti EPM deben actualizar inmediatamente a la versión 2024 SU5, la única versión en la que se ha solucionado esta falla.

Para los equipos que no puedan aplicar el parche de inmediato, CISA recomienda bloquear el acceso a Internet externo a los puertos de gestión de EPM 80 y 443 y aplicar una lista blanca de IPs estricta para que solo los hosts administrativos de confianza puedan comunicarse con el servidor.

Los equipos de seguridad también deben monitorear los registros de autenticación en busca de accesos inesperados a recursos protegidos y vigilar solicitudes inusuales a la API desde direcciones externas desconocidas.

Las organizaciones que utilizan implementaciones en la nube deben seguir la guía aplicable de BOD 22-01. Cuando no sean viables las mitigaciones, CISA aconseja discontinuar el uso del producto hasta que se pueda implementar un parche.