CVE-2026-106042: Vulnerabilidad crítica en Ivanti Xtraction

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-106042 es un fallo de tipo External Control of File Name or Path, clasificado bajo la debilidad CWE-73. Esta categoría de vulnerabilidad se produce cuando una aplicación permite que un actor externo controle total o parcialmente el nombre o la ruta de un archivo que se utiliza en una operación del sistema, sin la debida validación o saneamiento.

En el caso concreto de Ivanti Xtraction, la vulnerabilidad permite a un atacante remoto autenticado redirigir las solicitudes generadas por la propia aplicación hacia un endpoint controlado por el atacante. El objetivo final de esta redirección es la obtención de las credenciales del conector EPMM (Enterprise Mobility Management) que la aplicación transmite durante su funcionamiento.

La causa raíz reside en un control inadecuado de las rutas o nombres de archivo utilizados por la aplicación para generar o procesar solicitudes. Al poder influir en estos parámetros, el atacante puede hacer que la aplicación envíe información sensible, en este caso credenciales, a un destino no autorizado.

La severidad de este fallo se ha evaluado como CRÍTICA con una puntuación CVSS de 9.9. El vector de ataque es remoto (AV:N), la complejidad del ataque es baja (AC:L) y se requiere un nivel de autenticación bajo (PR:L). El impacto se extiende más allá del componente vulnerable (S:C), afectando a la confidencialidad, integridad y disponibilidad con un alto grado de severidad (C:H/I:H/A:H).

Es importante destacar que la versión afectada es anterior a la 2026.4. La versión 2026.4 de Ivanti Xtraction no está afectada por esta vulnerabilidad, según la información publicada por CVE.org.

La vulnerabilidad fue publicada inicialmente por NVD el 13 de octubre de 2026 y posteriormente actualizada. Ivanti ha publicado un aviso de seguridad oficial en su portal de asistencia, que se referencia en las fuentes de este artículo.

Dado el alto nivel de criticidad, la facilidad de explotación y el impacto potencial sobre las credenciales del conector EPMM, se recomienda encarecidamente a los administradores de sistemas que ejecuten Ivanti Xtraction que revisen la configuración de sus instalaciones y apliquen las actualizaciones o mitigaciones proporcionadas por el fabricante lo antes posible.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-106042 afecta al producto Ivanti Xtraction. Según la información publicada por CVE.org, la versión 2026.4 se considera no afectada, lo que implica que todas las versiones anteriores a este release son potencialmente vulnerables.

Las fuentes consultadas no publican una lista exhaustiva de builds o versiones específicas afectadas más allá de la indicación genérica «anterior a 2026.4». Se recomienda consultar el aviso oficial de Ivanti para confirmar la afectación exacta de tu entorno.

Impacto y riesgo

La vulnerabilidad, clasificada como CRITICAL con una puntuación CVSS v3.1 de 9.9, corresponde a la debilidad CWE-73: External Control of File Name or Path. El vector asociado es CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, lo que indica:

• Acceso de red: el atacante no requiere acceso físico ni local.
• Complejidad baja: no se requieren condiciones especiales para explotar la falla.
• Privilegios bajos: basta con una cuenta autenticada en la aplicación.
• Sin interacción del usuario: la víctima no necesita realizar ninguna acción.
• Alcance cambiado (Scope: Changed): el impacto trasciende el componente vulnerable.
• Impacto alto en confidencialidad, integridad y disponibilidad.

El impacto práctico descrito en la propia CVE es especialmente relevante: un atacante remoto autenticado puede redirigir solicitudes generadas por la aplicación hacia un endpoint controlado por el atacante y, de esta forma, obtener las credenciales del conector EPMM que la aplicación transmite. Esto compromete no solo Xtraction, sino potencialmente la infraestructura de gestión de dispositivos móviles (EPMM) asociada, con un riesgo elevado de movimiento lateral y compromiso adicional en el entorno.

Dado el alcance cambiado y el impacto alto en los tres ejes de seguridad, la exposición de una instancia vulnerable debe tratarse con prioridad máxima.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se mencionan ataques observados, ni se referencia el uso en campañas de ransomware o grupos de amenaza persistentes. El campo ransomware del contexto indica expresamente «No usado como criterio».

Por tanto, en el momento de la publicación de este análisis, no se puede afirmar que exista explotación conocida. No obstante, la criticidad de la CVE y la facilidad de explotación (privilegios bajos, sin interacción) hacen recomendable aplicar la actualización sin demora, incluso sin evidencia de explotación activa.

Indicadores de compromiso (IOC)

El campo enrichment.ioc del contexto no contiene indicadores estructurados. Las fuentes consultadas (NVD, CVE.org y el aviso de Ivanti) no publican IOC específicos para esta vulnerabilidad. No se deben inventar indicadores ni direcciones IP, dominios o hashes que no estén respaldados por fuentes oficiales.

En ausencia de IOC publicados, se recomienda monitorizar los registros de autenticación de Xtraction y las conexiones salientes inusuales hacia endpoints externos, especialmente aquellas que involucren el conector EPMM, como medida de detección complementaria mientras se aplica el parche oficial.

Cómo comprobar si estás afectado

Para determinar si tu instalación de Ivanti Xtraction es vulnerable a CVE-2026-106042, debes verificar la versión exacta del producto que tienes desplegada. Según los datos publicados por CVE.org, la versión 2026.4 es la única que se ha confirmado como no afectada. Por tanto, cualquier versión anterior a la 2026.4 debe considerarse potencialmente vulnerable.

El fabricante no ha publicado en las fuentes consultadas un listado de versiones afectadas específicas, ni ha proporcionado un mecanismo de autocomprobación automática. Por ello, la verificación debe realizarse de forma manual, siguiendo estos pasos generales:

1. Identifica la versión instalada: Accede a la consola de administración de Xtraction o al panel de configuración del sistema. Busca la sección «Acerca de» o «Información del sistema», donde normalmente se indica el número de build o versión completa.
2. Compara con la versión corregida: Contrasta el número de versión obtenido con la referencia publicada (2026.4). Si tu versión es inferior, asume que eres vulnerable.
3. Consulta el aviso oficial de Ivanti: El fabricante ha publicado un boletín de seguridad que agrupa múltiples CVEs, incluido este. Revisa el aviso en el portal de seguridad de Ivanti para obtener instrucciones específicas y cualquier detalle adicional sobre la identificación de sistemas afectados.

Nota importante: No se han publicado en las fuentes consultadas indicadores de compromiso (IOC) ni métodos de detección basados en tráfico de red o artefactos en disco. La única vía fiable para conocer tu exposición es la verificación de la versión.

Mitigación y actualización

La acción principal para resolver esta vulnerabilidad es aplicar la actualización proporcionada por Ivanti. Según la información disponible, la versión 2026.4 de Xtraction corrige el problema. No se han publicado en las fuentes consultadas parches intermedios, hotfixes o actualizaciones de seguridad alternativas.

Mientras se planifica e implementa la actualización, se recomienda adoptar las siguientes medidas de contención:

• Limitar el acceso a la aplicación: Restringe el acceso a Xtraction únicamente a usuarios autenticados y desde direcciones IP o redes confiables. La vulnerabilidad requiere autenticación previa, por lo que reducir la superficie de acceso disminuye el riesgo de explotación.
• Revisar los conectores EPMM: Dado que el objetivo del atacante es obtener las credenciales del conector EPMM, revisa los registros de auditoría de la aplicación para detectar solicitudes inusuales o intentos de acceso a recursos externos. Si se sospecha de una posible exposición, rota las credenciales de los conectores EPMM como medida preventiva.
• Monitorizar el tráfico saliente: Presta atención a las conexiones salientes desde el servidor de Xtraction hacia destinos no habituales o no autorizados. Un atacante podría redirigir las solicitudes a un endpoint controlado por él.

No se han publicado en las fuentes consultadas workarounds o configuraciones alternativas que mitiguen la vulnerabilidad sin aplicar la actualización. La actualización a la versión 2026.4 es la única solución confirmada.

Checklist para administradores

Utiliza esta lista para asegurar que tu organización está protegida frente a CVE-2026-106042:

• ☐ He identificado la versión exacta de Ivanti Xtraction instalada en mi entorno.
• ☐ He comparado mi versión con la versión corregida (2026.4) publicada por el fabricante.
• ☐ He consultado el aviso oficial de Ivanti en su portal de seguridad para obtener detalles adicionales.
• ☐ He planificado la actualización a la versión 2026.4 o posterior en un entorno de pruebas antes de producción.
• ☐ He restringido el acceso a Xtraction a usuarios autenticados y redes confiables mientras se aplica la actualización.
• ☐ He revisado los registros de auditoría en busca de actividad sospechosa relacionada con conectores EPMM.
• ☐ He considerado la rotación de credenciales de los conectores EPMM como medida preventiva.
• ☐ He monitorizado el tráfico saliente del servidor de Xtraction hacia destinos no autorizados.

Preguntas frecuentes

¿Qué es CVE-2026-106042?

Es una vulnerabilidad de tipo «External Control of File Name or Path» (CWE-73) en Ivanti Xtraction. Permite a un atacante autenticado redirigir solicitudes generadas por la aplicación a un endpoint controlado por él y obtener las credenciales del conector EPMM que la aplicación transmite.

¿Qué versión de Xtraction corrige esta vulnerabilidad?

Según los datos publicados por CVE.org, la versión 2026.4 de Ivanti Xtraction es la que se ha confirmado como no afectada. Las versiones anteriores deben considerarse vulnerables.

¿Se requiere autenticación para explotar esta vulnerabilidad?

Sí. El vector CVSS indica que se necesita privilegio bajo (PR:L) y la descripción confirma que el atacante debe ser un usuario autenticado remoto. Esto reduce ligeramente el riesgo, pero no lo elimina, ya que cualquier usuario con acceso a la aplicación podría intentar explotarla.

¿Cuál es la puntuación CVSS de esta vulnerabilidad?

La puntuación CVSS v3.1 es de 9.9 (Crítico), con el vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Esto indica un impacto alto en confidencialidad, integridad y disponibilidad, con un alcance cambiado.

¿Existen indicadores de compromiso (IOC) publicados para esta vulnerabilidad?

No. Las fuentes consultadas (NVD y CVE.org) no han publicado IOC estructurados para este CVE. No se deben inventar indicadores que no estén respaldados por fuentes oficiales.

¿Dónde puedo encontrar más información sobre esta vulnerabilidad?

La referencia principal es el aviso de seguridad de Ivanti, disponible en hub.ivanti.com. También puedes consultar la entrada en el NVD y el portal de avisos de seguridad de Ivanti.