7 Min. Tiempo de lectura<\/p>\n
Dos vulnerabilidades de d\u00eda cero en Ivanti EPMM fueron explotadas en serie a finales de abril de 2026 – 130 direcciones IP \u00fanicas hab\u00edan probado activamente las debilidades en un plazo de 24 horas despu\u00e9s de la divulgaci\u00f3n. BSI, CISA y NHS England han advertido en paralelo. Para los operadores de KRITIS, las autoridades y las organizaciones con entornos MDM productivos basados en Ivanti, la acci\u00f3n inmediata es obligatoria.<\/strong><\/p>\n Lo m\u00e1s importante en resumen<\/p>\n \u00bfQu\u00e9 es Ivanti EPMM?<\/strong> Ivanti Enterprise Mobility Management (EPMM) es una plataforma MDM local que las organizaciones utilizan centralmente para la administraci\u00f3n, configuraci\u00f3n y seguridad de los dispositivos m\u00f3viles. EPMM controla el acceso a dispositivos, la implementaci\u00f3n de aplicaciones, los perfiles VPN y la distribuci\u00f3n de certificados para todos los tel\u00e9fonos inteligentes, tabletas y port\u00e1tiles conectados de una organizaci\u00f3n.<\/p>\n Relacionado: CISA KEV abril 2026: Samsung MagicINFO, SimpleHelp y D-Link bajo explotaci\u00f3n activa<\/a><\/p>\n CVE-2025-4427 es un Authentication Bypass en la API REST de Ivanti EPMM. La vulnerabilidad permite a los atacantes acceder a los puntos finales de la API que normalmente requieren autenticaci\u00f3n, sin credenciales v\u00e1lidas. Puntuaci\u00f3n CVSS de 9.8, clasificada como cr\u00edtica. Todas las versiones de EPMM anteriores al parche del 30 de abril de 2026 est\u00e1n afectadas.<\/p>\n CVE-2025-4428 es una vulnerabilidad de Remote Code Execution que se puede explotar a trav\u00e9s de la API REST. Por s\u00ed sola tiene un impacto limitado, pero en combinaci\u00f3n con CVE-2025-4427, la cadena de ataque est\u00e1 completa: bypass de autenticaci\u00f3n y luego RCE en el servidor EPMM. La combinaci\u00f3n permite la ejecuci\u00f3n de c\u00f3digo no autenticada en el servidor MDM sin interacci\u00f3n del usuario.<\/p>\n Lo que hace que la situaci\u00f3n sea especialmente peligrosa es que Ivanti ha publicado los parches el 30 de abril. Seg\u00fan Shadowserver Foundation, el c\u00f3digo de explotaci\u00f3n estuvo disponible p\u00fablicamente en cuesti\u00f3n de horas<\/a>. 130 direcciones IP \u00fanicas han realizado intentos de explotaci\u00f3n activa en las primeras 24 horas despu\u00e9s de la divulgaci\u00f3n.<\/p>\n Cadena de ataque en tres pasos<\/p>\n Paso 1<\/p>\n Authentication Bypass a trav\u00e9s de CVE-2025-4427 – no se necesita cuenta<\/p>\n<\/div>\n Paso 2<\/p>\n RCE a trav\u00e9s de CVE-2025-4428 sobre la API REST como usuario autenticado<\/p>\n<\/div>\n Paso 3<\/p>\n Acceso total al servidor MDM – todos los dispositivos gestionados son accesibles<\/p>\n<\/div>\n<\/div>\n<\/div>\n No es el primer incidente cr\u00edtico de Ivanti. Ya en 2024, Ivanti Connect Secure y Policy Secure estuvieron masivamente afectados, con varios Zero-Days explotados activamente antes de que estuvieran disponibles los parches. La CISA de EE. UU. tuvo que emitir una Directiva de Emergencia y solicit\u00f3 a las agencias federales que desconectaran inmediatamente los sistemas de la red.<\/p>\n En EPMM 2026 se repite el patr\u00f3n, con una diferencia crucial: la velocidad de explotaci\u00f3n se ha incrementado. 24 horas desde la divulgaci\u00f3n hasta 130 direcciones IP de atacantes documentadas es excepcionalmente r\u00e1pido y sugiere kits de explotaci\u00f3n preparados o actores de amenazas coordinados. El cat\u00e1logo KEV de CISA<\/a> ha incluido ambas CVE de inmediato.<\/p>\n El BSI ha se\u00f1alado expl\u00edcitamente en su advertencia 2026-221601-1032 la relevancia para los operadores KRITIS alemanes. La advertencia se considera una advertencia de prioridad 1 independiente y no es solo una reenv\u00edo de la recomendaci\u00f3n de CISA, lo que indica que el BSI tiene sus propios conocimientos sobre sistemas alemanes potencialmente afectados.<\/p>\n Ivanti EPMM est\u00e1 muy extendido en Alemania como soluci\u00f3n de gesti\u00f3n de dispositivos m\u00f3viles para administraciones p\u00fablicas, instituciones de salud y operadores KRITIS. Un servidor MDM comprometido no es un problema aislado, es el sistema de control central para todos los dispositivos m\u00f3viles gestionados de una organizaci\u00f3n.<\/p>\n Lo que los atacantes pueden lograr con acceso al servidor MDM: enviar perfiles de configuraci\u00f3n para dispositivos (VPN, correo electr\u00f3nico, certificados), administrar aplicaciones en todos los dispositivos, eliminar o bloquear dispositivos de forma remota, extraer datos de acceso a la red configurados en los dispositivos. Para los operadores KRITIS, esto significa que un servidor MDM comprometido es un acceso a todos los dispositivos gestionados y potencialmente a la red detr\u00e1s de ellos.<\/p>\n\n
Los puntos d\u00e9biles en detalle: Authentication Bypass se combina con RCE<\/h2>\n
Ivanti EPMM como reincidente: La historia de vulnerabilidades<\/h2>\n
Relevancia KRITIS: Por qu\u00e9 la infraestructura MDM es cr\u00edtica<\/h2>\n