Fortinet, Ivanti y SAP han lanzado actualizaciones críticas para corregir vulnerabilidades que permiten la ejecución de código arbitrario y la filtración de datos. Los fallos afectan a productos como FortiSandbox, Ivanti Sentry y diversas plataformas de SAP, incluyendo errores graves de inyección de comandos y saltos de autenticación. Aunque no hay evidencia de ataques activos, se recomienda actualizar los sistemas inmediatamente para garantizar la protección.

Fortinet, Ivanti y SAP han lanzado actualizaciones de seguridad para solucionar múltiples vulnerabilidades críticas que podrían resultar en la ejecución de código arbitrario y la divulgación de información.

El fallo de seguridad parcheado por Fortinet se relaciona con una vulnerabilidad de inyección de comandos en FortiSandbox, FortiSandbox Cloud y la interfaz web de FortiSandbox PaaS. Está registrada como
CVE-2026-25089 (puntuación CVSS: 9.1).

"Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comandos de SO [CWE-78] en FortiSandbox, FortiSandbox Cloud y FortiSandbox PaaS WEB UI puede permitir que un atacante no autenticado ejecute comandos no autorizados a través de solicitudes HTTP específicamente diseñadas", afirmó Fortinet [aquí].

El problema afecta a los siguientes productos y versiones:

* FortiSandbox 5.0.0 hasta 5.0.5 (Actualiza a 5.0.6 o superior)
* FortiSandbox 4.4.0 hasta 4.4.8 (Actualiza a 4.4.9 o superior)
* FortiSandbox Cloud 5.0.4 hasta 5.0.5 (Actualiza a 5.0.6 o superior)
* FortiSandbox PaaS 5.0.4 hasta 5.0.5 (Actualiza a 5.0.6 o superior)

El martes, Ivanti también publicó [correcciones] para dos fallos de seguridad críticos que afectan a Ivanti Sentry (anteriormente MobileIron Sentry):

* CVE-2026-10520 (puntuación CVSS: 10.0): Una vulnerabilidad de inyección de comandos del sistema operativo antes de las versiones R10.5.2, R10.6.2 y R10.7.1 que permite a un usuario remoto no autenticado lograr la ejecución de código remoto a nivel de root.
* CVE-2026-10523 (puntuación CVSS: 9.9): Una vulnerabilidad de omisión de autenticación antes de las versiones R10.5.2, R10.6.2 y R10.7.1 que permite a un atacante remoto no autenticado crear cuentas administrativas arbitrarias y obtener acceso administrativo completo.

watchTowr Labs, que publicó detalles adicionales sobre CVE-2026-10520, señaló que un atacante podría explotar la vulnerabilidad mediante el envío de una solicitud HTTP especialmente diseñada al endpoint "/mics/api/v2/sentry/mics-config/handleMessage", que luego es interpretada como un comando de configuración MICS y ejecutada por un componente de backend llamado "handleExecute()."

El parche distribuido por Ivanti incorpora controles adicionales que bloquean el acceso al endpoint vulnerable, provocando que las solicitudes no autenticadas sean redirigidas a la página de inicio de sesión.

"Ivanti no se limitó a eliminar el control del atacante sobre la ruta de ejecución vulnerable", dijo el investigador de seguridad Sonny Macdonald [aquí]. "También añadieron una capa de protección delante para hacer que llegar al endpoint sea significativamente más difícil. En otras palabras: añadieron autenticación".

Completando la lista de actualizaciones se encuentra SAP, que lanzó correcciones [aquí] para cuatro vulnerabilidades críticas en NetWeaver AS ABAP y ABAP Platform, así como en SAP Commerce Cloud y SAP Data Hub:

• * CVE-2026-44748 (puntuación CVSS: 9.9): Vulnerabilidad de envoltorio de firma XML en la autenticación SAML en SAP NetWeaver AS ABAP y ABAP Platform.
• * CVE-2026-27671 (puntuación CVSS: 9.8): Vulnerabilidad de corrupción de memoria en Application Server ABAP de SAP NetWeaver y ABAP Platform.
• * CVE-2026-22732 (puntuación CVSS: 9.1): Potencial vulnerabilidad de seguridad Spring dentro de SAP Commerce Cloud y SAP Data Hub.
• * CVE-2026-40128 (puntuación CVSS: 9.0): Vulnerabilidad de salto de directorio en SAP NetWeaver Application Server Java (Web Container).

"La aplicación permite que un atacante autenticado con privilegios normales obtenga un mensaje firmado válido y envíe documentos XML firmados modificados con información de identidad manipulada al verificador", afirmó la empresa de seguridad de SAP, Onapsis [aquí].

"Debido a una verificación de firma XML inadecuada, la información de identidad manipulada es aceptada, lo que conduce al acceso no autorizado a datos sensibles del usuario y a la posible interrupción del uso normal del sistema".

En cuanto a CVE-2026-27671, el defecto permite que un atacante no autenticado envíe una solicitud RFC diseñada que explota la forma en que el núcleo de SAP valida el protocolo RFC para lograr la corrupción de la memoria.

No hay pruebas de que cualquiera de los fallos mencionados haya sido explotado en la naturaleza. Sin embargo, siempre es una práctica segura que actualices a la última versión para obtener una protección óptima.

Fuente:
THN