Ivanti ha publicado actualizaciones de seguridad que abordan dos vulnerabilidades de gravedad media en Ivanti Neurons for ITSM (N-ITSM), su plataforma de gestión de servicios de TI on-premise.

Estas fallas, si son explotadas, podrían permitir a atacantes autenticados de forma remota mantener acceso no autorizado o recolectar datos de sesión de otros usuarios.

La compañía confirmó que no tiene conocimiento de ninguna explotación activa de estas vulnerabilidades en el momento de su divulgación pública. Ambos problemas fueron reportados a través del programa de divulgación responsable de Ivanti y están parcheados en la versión recién lanzada 2025.4.

CVE-2026-4913: Falla de protección incorrecta de rutas permite persistencia

La primera vulnerabilidad, CVE-2026-4913, tiene una puntuación CVSS de 5.7 (Media) y está clasificada bajo CWE-424 (Fallo en el Mecanismo de Protección). La falla surge de una protección incorrecta de una ruta alternativa en versiones de Ivanti N-ITSM anteriores a 2025.4.

Un atacante autenticado de forma remota podría explotar esta vulnerabilidad para mantener acceso al sistema incluso después de que su cuenta haya sido deshabilitada por un administrador.

Este tipo de bypass es particularmente peligroso en entornos empresariales donde revocar el acceso de manera oportuna, especialmente durante incidentes de amenazas internas o el proceso de desvinculación de empleados, es un control de seguridad crítico.

La vulnerabilidad es accesible a través de la red, requiere privilegios bajos y necesita interacción del usuario para activarse, lo que contribuye a su calificación de gravedad media.

CVE-2026-4914: XSS almacenado permite robo de datos entre sesiones

La segunda falla, CVE-2026-4914, es una vulnerabilidad de cross-site scripting (XSS) almacenado con una puntuación CVSS de 5.4 (Media), clasificada bajo CWE-79. En versiones de Ivanti N-ITSM anteriores a 2025.4, la vulnerabilidad permite a un atacante autenticado de forma remota inyectar scripts maliciosos que se ejecutan en el contexto de las sesiones de otros usuarios.

Al explotar esta falla, un atacante podría obtener información limitada de las sesiones de otros usuarios, capturando potencialmente tokens de sesión, credenciales o datos sensibles de ITSM.

El ataque requiere interacción del usuario, lo que significa que una víctima debe acceder al contenido maliciosamente creado para que el exploit tenga éxito. El impacto de alcance cruzado de la vulnerabilidad (S:C en el vector CVSS) indica que los efectos pueden extenderse más allá de la sesión inmediata.

Ambas vulnerabilidades afectan a Ivanti Neurons for ITSM versión 2025.3 y todas las versiones anteriores, tanto en implementaciones on-premise como en la nube.

• Los clientes on-premise deben actualizar manualmente a la versión 2025.4, disponible a través del Ivanti License System (ILS).
• Los clientes en la nube no requieren acción, ya que Ivanti aplicó la corrección en todos los entornos cloud el 12 de diciembre de 2025.

Ivanti insta a todos los clientes on-premise a aplicar la actualización 2025.4 de inmediato. No hay indicadores de compromiso disponibles actualmente, ya que no se ha observado explotación pública.

Las organizaciones que ejecutan versiones anteriores deben tratar la actualización como una prioridad, especialmente considerando el riesgo de retención de acceso que plantea CVE-2026-4913 en entornos con políticas estrictas de control de acceso.