ConnectWise ha revelado una vulnerabilidad de seguridad de alto impacto en su plataforma Automate que podría permitir a los atacantes eludir controles de seguridad críticos y ejecutar código malicioso bajo condiciones específicas.

El fallo, rastreado como CVE-2026-9089, afecta a las versiones de ConnectWise Automate anteriores a la 2026.5 y ha recibido una puntuación CVSS de 8.8, lo que resalta su severidad potencial en entornos de proveedores de servicios gestionados (MSP).

Vulnerabilidad de ConnectWise Automate

Según el aviso publicado el 21 de mayo de 2026, la vulnerabilidad se origina en una validación de integridad inadecuada durante la carga de complementos del agente y los mecanismos de autounactualización.

Específicamente, los componentes descargados durante estos procesos pueden ejecutarse sin someterse a comprobaciones de integridad completas. Este comportamiento se alinea con el CWE-494, que se refiere a la descarga de código sin una verificación suficiente de su autenticidad o integridad.

En la práctica, esta debilidad crea una oportunidad para que los atacantes dentro de la red, o aquellos capaces de interceptar el tráfico, introduzcan componentes manipulados o maliciosos.

Dado que la vulnerabilidad no requiere interacción del usuario y puede explotarse con una baja complejidad de ataque, aumenta la probabilidad de ejecución de código no autorizado, lo que podría conducir al compromiso total del sistema.

El vector CVSS (AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica que la confidencialidad, la integridad y la disponibilidad podrían verse significativamente afectadas.

Sistemas Afectados y Parche

Todas las implementaciones locales (on-premises) de ConnectWise Automate en versiones anteriores a la 2026.5 están afectadas por esta vulnerabilidad. ConnectWise ha confirmado que las instancias alojadas en la nube ya han sido actualizadas automáticamente, reduciendo la exposición para los clientes que utilizan entornos gestionados.

Para mitigar el riesgo, se recomienda encarecidamente a las organizaciones que ejecutan instalaciones locales que actualicen a la versión 2026.5, la cual introduce mecanismos de verificación de integridad mejorados en todos los componentes del agente.

Esta actualización garantiza que cualquier módulo descargado o cargado dinámicamente se someta a una validación estricta antes de su ejecución, cerrando eficazmente la brecha de seguridad identificada.

ConnectWise categorizó el fallo como "Importante" con una calificación de severidad moderada y recomendó la remediación oportuna, aunque no se han detectado ataques activos.

Se anima a los equipos de seguridad a priorizar esta actualización en un plazo de 30 días para reducir la exposición potencial.

Desde una perspectiva de inteligencia de amenazas, este fallo es particularmente relevante en los ecosistemas de MSP, donde ConnectWise Automate se utiliza ampliamente para la monitorización y gestión remota.

Un exploit exitoso podría permitir el movimiento lateral, la persistencia y el compromiso a gran escala en los entornos de los clientes gestionados. Como medida de precaución, los profesionales de seguridad también deberían revisar los registros de monitorización de red en busca de cualquier actividad anómala de complementos o actualizaciones inesperadas del agente.

Aunque no se han publicado indicadores de compromiso, la detección proactiva sigue siendo crítica dada la naturaleza de la vulnerabilidad.

Mientras las cadenas de suministro de software y los mecanismos de actualización sigan siendo objetivos frecuentes para los atacantes, este incidente subraya la importancia de una validación de integridad robusta en los sistemas automatizados.