Vulnerabilidad en Nessus Agent para Windows permite ejecución de código arbitrario con privilegios SYSTEM
Una grave falla de seguridad en el Nessus Agent de Tenable, utilizado en entornos empresariales para escaneos continuos de vulnerabilidades, ha sido identificada. Esta vulnerabilidad, registrada bajo el código CVE-2026-33694 y con una puntuación CVSSv3 de 8.2, permite a atacantes con acceso local eliminar archivos arbitrarios y potencialmente ejecutar código malicioso con privilegios SYSTEM en sistemas Windows.
¿Cómo funciona la vulnerabilidad?
El fallo se basa en un ataque de tipo «junction» (enlace simbólico en NTFS), una técnica que explota la forma en que Windows maneja las rutas de archivos. Los atacantes pueden crear un enlace malicioso en un directorio utilizado por el Nessus Agent, engañando al software para que siga esa ruta durante operaciones rutinarias, como la eliminación de archivos temporales.
Al hacerlo, el agente —que opera con privilegios elevados— puede eliminar archivos críticos del sistema o, en escenarios más graves, permitir la ejecución de código arbitrario con los máximos privilegios disponibles en Windows: SYSTEM. Esto otorgaría a un atacante control total sobre el equipo afectado.
¿Quiénes están en riesgo?
La vulnerabilidad afecta específicamente a las instalaciones de Nessus Agent en sistemas Windows. Dado que este software se despliega en entornos empresariales para monitorear vulnerabilidades en servidores y estaciones de trabajo críticas, el impacto potencial es significativo. Empresas que dependen de Nessus Agent para la seguridad de sus infraestructuras podrían enfrentar riesgos de:
- Escalada de privilegios: Un atacante con acceso local podría elevar sus permisos a SYSTEM.
- Compromiso total del sistema: La ejecución de código malicioso con privilegios máximos permitiría instalar malware, robar datos o deshabilitar defensas.
- Movimiento lateral: Desde un equipo comprometido, el atacante podría propagarse a otros sistemas en la red.
Solución disponible: Actualización a Nessus Agent 11.1.3
Tenable ha lanzado la versión 11.1.3 del Nessus Agent para corregir esta vulnerabilidad. La compañía insta a todos los usuarios a actualizar inmediatamente sus instalaciones a través del Portal de Descargas de Tenable.
En su aviso de seguridad TNS-2026-12, Tenable enfatizó:
«Esta condición potencialmente facilita la ejecución de código arbitrario, mediante la cual un atacante podría explotar la vulnerabilidad para ejecutar código malicioso con privilegios elevados SYSTEM».
La empresa también recordó su compromiso con la seguridad de sus productos y alentó a los investigadores a reportar vulnerabilidades a través de sus pautas de reporte.
Recomendaciones para administradores de TI
Para mitigar el riesgo mientras se implementa la actualización, los equipos de seguridad pueden considerar las siguientes medidas:
- Restringir el acceso local: Limitar los permisos de usuarios no administrativos en sistemas donde se ejecute Nessus Agent.
- Monitorear actividad sospechosa: Revisar logs en busca de intentos de creación de enlaces simbólicos o eliminación de archivos críticos.
- Segmentar redes: Aislar sistemas críticos para reducir el impacto en caso de un compromiso.
- Verificar versiones: Confirmar que todos los agentes Nessus estén actualizados a la versión 11.1.3 o superior.
Contexto: ¿Por qué son peligrosos los ataques de tipo «junction»?
Los ataques que aprovechan enlaces simbólicos (como los junctions en NTFS) no son nuevos, pero siguen siendo efectivos debido a la complejidad de validar rutas en sistemas operativos. En el pasado, vulnerabilidades similares han afectado a otros software con privilegios elevados, como:
- Drivers de impresoras: Fallos en controladores permitieron escalar privilegios en Windows.
- Antivirus: Algunos productos con permisos SYSTEM fueron explotados para desactivar protecciones.
- Herramientas de monitoreo: Software como Nessus, que requiere acceso profundo al sistema, es un objetivo atractivo para atacantes.
La clave para prevenir estos ataques radica en que los desarrolladores implementen validaciones estrictas de rutas y eviten operaciones de archivos sin verificar la integridad de los enlaces simbólicos.
Conclusión
La vulnerabilidad CVE-2026-33694 en Nessus Agent subraya los riesgos inherentes a los software con privilegios elevados. Aunque Tenable ha respondido rápidamente con un parche, el incidente sirve como recordatorio para las organizaciones sobre la importancia de:
- Mantener actualizados todos los sistemas y agentes de seguridad.
- Adoptar un enfoque de mínimos privilegios para reducir superficies de ataque.
- Monitorear proactivamente comportamientos anómalos en servicios críticos.
Los administradores de TI deben priorizar la actualización a Nessus Agent 11.1.3 y revisar sus políticas de seguridad para minimizar el impacto de posibles explotaciones futuras.
