Se ha detectado una vulnerabilidad de gravedad alta, identificada como CVE-2026-6973, en Ivanti Endpoint Manager Mobile (EPMM). Este fallo, con una puntuación CVSS de 7.2, podría permitir que atacantes autenticados logren la ejecución remota de código mediante la inyección de directivas maliciosas de configuración de Apache. El problema afecta a múltiples versiones del software, incluyendo las 12.9.0, 12.8.0.2 y 12.7.0.1.

Una vulnerabilidad de severidad alta, CVE-2026-6973, en Ivanti Endpoint Manager Mobile (EPMM) podría permitir que atacantes autenticados logren la ejecución remota de código mediante la inyección de directivas maliciosas de configuración de Apache.

El fallo, al que se le ha asignado una puntuación CVSS de 7.2, está clasificado como una vulnerabilidad de control de configuración (CWE-15) y afecta a múltiples versiones de Ivanti EPMM. Específicamente, las versiones impactadas incluyen la 12.9.0, 12.8.0.2, 12.7.0.1 y versiones anteriores.

Según el aviso de seguridad de Ivanti, la vulnerabilidad surge de un manejo inadecuado de las entradas de configuración dentro de la aplicación.

Un atacante autenticado con privilegios suficientes puede explotar esta debilidad para inyectar directivas arbitrarias de Apache en la configuración del servidor.

Esta manipulación puede alterar la forma en que el servidor web procesa las solicitudes, permitiendo finalmente la ejecución remota de código.

Vulnerabilidad de Ivanti Endpoint Manager Mobile

El ataque no requiere interacción del usuario y puede ejecutarse a través de la red, lo que lo hace particularmente peligroso en entornos empresariales donde EPMM se utiliza ampliamente para gestionar dispositivos móviles y aplicar políticas de seguridad.

Una vez explotada, los atacantes podrían desplegar web shells, ejecutar scripts maliciosos o pivotar más profundamente hacia la red interna.

El vector CVSS para CVE-2026-6973 indica que, aunque se requieren privilegios altos, la complejidad del ataque es baja y el impacto en la confidencialidad, integridad y disponibilidad es severo.

Ivanti ha solucionado esta vulnerabilidad en las siguientes versiones parcheadas: 12.9.0.1, 12.8.0.3 y 12.7.0.2. Se insta encarecidamente a las organizaciones que utilicen versiones vulnerables a actualizar inmediatamente.

Retrasar el parcheo podría exponer tus sistemas a la explotación, especialmente cuando los atacantes ya hayan obtenido acceso autenticado mediante phishing, robo de credenciales u otras técnicas de acceso inicial.

En el momento de la divulgación, Ivanti afirmó que no hay evidencia de explotación activa en el entorno real.

Además, no se han publicado indicadores de compromiso (IOC), por lo que el parcheo proactivo es la principal estrategia de mitigación.

Tus equipos de seguridad también deberían revisar los controles de acceso y auditar las cuentas privilegiadas, ya que la vulnerabilidad requiere autenticación.

Monitorear cambios de configuración inusuales o comportamientos inesperados de Apache puede ayudarte a detectar posibles intentos de explotación.

CVE-2026-6973 resalta los riesgos asociados con los fallos de inyección de configuración en las plataformas de gestión empresarial.

A medida que los atacantes se centran cada vez más en la infraestructura de gestión para maximizar el impacto, asegurar actualizaciones oportunas y un control de acceso estricto sigue siendo esencial para reducir la superficie de ataque.

Se recomienda a los clientes de Ivanti que apliquen los parches inmediatamente y sigan la guía oficial para asegurar sus despliegues contra posibles amenazas.

Fuentes:
https://cybersecuritynews.com/ivanti-endpoint-manager-mobile-vulnerability/