La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido una vulnerabilidad crítica en Trend Micro Apex One a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), advirtiendo a las organizaciones sobre los riesgos de explotación activa.

El fallo, rastreado como CVE-2026-34926, afecta a las implementaciones locales (on-premise) de Trend Micro Apex One y podría permitir que los atacantes manipulen los sistemas de seguridad de los endpoints.

CVE-2026-34926 está clasificado como una vulnerabilidad de salto de directorio (CWE-23). Permite que un atacante local pre-autenticado manipule las rutas de archivos y obtenga acceso no autorizado a directorios restringidos dentro del servidor de Apex One.

Según CISA y los avisos del proveedor, el fallo puede ser explotado para modificar una tabla de base de datos clave en el servidor.

Esta modificación permite a los atacantes inyectar código malicioso en el sistema, que luego puede distribuirse a todos los agentes de endpoint conectados.

Explotación de la Vulnerabilidad de Trend Micro Apex One

La vulnerabilidad plantea un riesgo de alto impacto al comprometer la infraestructura de seguridad centralizada.

Los riesgos clave incluyen:

• Modificación no autorizada de los componentes del servidor Apex One.
• Inyección de cargas maliciosas en los agentes de endpoint.
• Posible movimiento lateral dentro de entornos empresariales.
• Compromiso de los mecanismos de detección y respuesta de endpoints (EDR).

Debido a que Apex One sirve como plataforma de gestión centralizada, un ataque exitoso podría resultar en un compromiso generalizado de los endpoints en toda una organización.

CISA confirmó que CVE-2026-34926 se encuentra actualmente bajo explotación activa. Sin embargo, no hay evidencia pública actual que vincule esta vulnerabilidad con campañas específicas de ransomware o grupos de actores de amenazas.

La inclusión en el catálogo KEV indica una alta probabilidad de explotación continua, especialmente en entornos sin parches o mal asegurados.

CISA ha emitido una directiva que requiere que las agencias federales remedien la vulnerabilidad antes del 4 de junio de 2026.

Si usas Trend Micro Apex One (on-premise), debes tomar medidas inmediatas:

• Aplica los parches y actualizaciones proporcionados por el proveedor sin demora.
• Sigue la guía de mitigación oficial de Trend Micro.
• Restringe el acceso local a los servidores de Apex One siempre que sea posible.
• Monitoriza tus sistemas en busca de actividad sospechosa o cambios no autorizados.
• Considera dejar de usarlo si no se pueden aplicar los parches.

Además, debes alinearte con la Directiva Operativa Vinculante (BOD) 22-01 para las prácticas de remediación de vulnerabilidades.

Se recomienda a los equipos de seguridad realizar una revisión exhaustiva de sus implementaciones de Apex One y validar la integridad del sistema. El registro y la monitorización deben mejorarse para detectar anomalías relacionadas con cambios en la base de datos o el comportamiento de los agentes.

Implementar controles de acceso de mínimo privilegio e aislar los servidores de gestión de seguridad puede reducir aún más la superficie de ataque. La explotación activa de CVE-2026-34926 subraya el creciente enfoque de los atacantes en las plataformas de seguridad de endpoints.

Las organizaciones que dependen de Trend Micro Apex One deben priorizar los esfuerzos de parcheo y monitorización para evitar un compromiso a gran escala y mantener la confianza en su infraestructura de seguridad.