⏱️ Lectura: 11 min
Tenable, la empresa detrás del popular escáner de vulnerabilidades Nessus, corrigió un fallo de alta gravedad en su Nessus Agent para Windows que permitía a un atacante local escalar privilegios hasta NT AUTHORITY\SYSTEM, el nivel más alto del sistema operativo. La ironía es difícil de ignorar: la herramienta diseñada para encontrar y reportar vulnerabilidades se convirtió, ella misma, en la vía de escalada.
📑 En este artículo
El fallo, identificado como CVE-2026-33694, fue resuelto en la versión 11.1.3 del agente. No es un desbordamiento de memoria exótico, sino un patrón clásico de Windows: el abuso de junctions para engañar a un proceso privilegiado y hacerle borrar archivos que no debería tocar.
TL;DR
- Tenable corrigió CVE-2026-33694 en Nessus Agent para Windows, una escalada de privilegios local a SYSTEM.
- El fallo es un caso de ‘link following’ (CWE-59): un usuario crea una junction que engaña al agente.
- El agente, que corre como SYSTEM, borra archivos arbitrarios siguiendo el enlace manipulado.
- CVSSv3 base 8.2 (alto); CVSSv4 7.4. Vector local, baja complejidad, pocos privilegios previos.
- Versiones afectadas: Nessus Agent 11.1.2 y anteriores. Corregido en 11.1.3.
- Cronología: reportado el 29 dic 2025, aceptado el 18 feb 2026, parche el 23 abr 2026.
- El irónico riesgo: la herramienta que escanea vulnerabilidades se volvió la vía de escalada.
Qué pasó
El 23 de abril de 2026, Tenable publicó el aviso de seguridad TNS-2026-12 y liberó Nessus Agent 11.1.3. El aviso describe una vulnerabilidad de improper link resolution before file access, catalogada bajo CWE-59 (“Link Following”). En cristiano: el agente, al hacer su trabajo normal, accede y elimina ciertos archivos en disco, y un atacante local puede manipular esas rutas para apuntarlas a destinos arbitrarios.
Como el Nessus Agent se ejecuta como un servicio de Windows con privilegios de SYSTEM, cualquier operación de borrado que realice hereda ese poder. Un usuario sin privilegios especiales que ya tenga acceso local a la máquina puede, sembrando una junction en el momento justo, lograr que el agente elimine archivos protegidos del sistema. Y un borrado arbitrario como SYSTEM, en Windows moderno, es una primitiva conocida que se puede encadenar hasta llegar a la ejecución de código completa.
Tenable calificó el fallo con un CVSSv3 base de 8.2 (alto) y un CVSSv4 de 7.4. El vector es local, la complejidad de ataque es baja y solo se requieren privilegios bajos previos, con impacto alto en confidencialidad, integridad y disponibilidad. Las versiones 11.1.2 y anteriores están afectadas; la 11.1.3 es la única segura.
Cómo funciona el ataque con junctions
Para entender la mecánica hay que conocer las junctions de Windows. Una junction es un tipo de enlace del sistema de archivos NTFS que redirige un directorio hacia otro. Cuando un proceso intenta acceder a C:\ruta\carpeta y esa carpeta es en realidad una junction hacia C:\Windows\System32, el sistema sigue el enlace de forma transparente. El proceso cree que trabaja en un sitio cuando en realidad opera en otro.
Aquí está el problema central: un proceso privilegiado debe verificar que la ruta que va a tocar es realmente la que espera, justo antes de operar sobre ella. Si el Nessus Agent calcula una ruta, asume que es segura y luego la borra sin re-validar, deja una ventana abierta. El atacante explota esa ventana: planta su junction maliciosa en el instante entre la verificación (si existe) y el acceso real. Es la clásica condición de carrera TOCTOU (Time-Of-Check to Time-Of-Use) aplicada al sistema de archivos.
sequenceDiagram
participant U as Usuario local
participant FS as Sistema de archivos
participant A as Nessus Agent (SYSTEM)
U->>FS: Crea junction carpeta_temp -> C:\\Windows\\objetivo
A->>FS: "Voy a limpiar carpeta_temp"
FS-->>A: Resuelve junction silenciosamente
A->>FS: Borra C:\\Windows\\objetivo como SYSTEM
Note over A,FS: Borrado arbitrario con privilegios maximosUna vez que un atacante consigue borrar archivos arbitrarios como SYSTEM, el siguiente paso para llegar a ejecución de código es territorio bien documentado. La técnica más conocida abusa del mecanismo de rollback del Windows Installer (MSI): se fuerza una instalación, se provoca un fallo controlado y, durante la reversión, se aprovecha el borrado para colocar un archivo malicioso (por ejemplo, una DLL) en una ruta que un proceso privilegiado cargará después. El resultado es código corriendo con el token de SYSTEM.
💭 Clave: El bug no está en “qué” borra el agente, sino en “dónde” termina borrando. Un enlace del sistema de archivos redirige la operación legítima hacia un objetivo elegido por el atacante.
Contexto: cuando el guardián es la puerta
Esta clase de fallos en software de seguridad no es nueva ni anecdótica. Antivirus, EDRs, agentes de backup y, sí, escáneres de vulnerabilidades comparten un rasgo peligroso: necesitan privilegios elevados para inspeccionar todo el sistema, y por eso corren como SYSTEM o root. Cada operación de archivo que realizan es una oportunidad potencial de abuso si no se valida con cuidado.
Los abusos de junction y de enlaces simbólicos en Windows han sido un terreno fértil para investigadores como James Forshaw de Google Project Zero, quien documentó durante años cómo los servicios privilegiados que tocan rutas controlables por el usuario terminan en escaladas locales. El patrón se repite: borrado arbitrario, escritura arbitraria o lectura arbitraria, todos potenciados por SYSTEM, todos disparados por un usuario sin privilegios.
El Nessus Agent es la versión ligera del escáner de Tenable: se instala en endpoints y servidores para reportar su postura de seguridad a un Nessus Manager o a Tenable.io central, en lugar de escanear la red desde fuera. Está pensado para desplegarse masivamente, en cientos o miles de máquinas dentro de una organización. Eso amplía la superficie: un único fallo de escalada local se multiplica por cada host donde el agente esté instalado.
Datos y cifras: la cronología del parche
La línea de tiempo del caso ilustra cómo funciona la divulgación coordinada en un proveedor grande, y también por qué a veces frustra a los investigadores:
- 29 de diciembre de 2025 — Reporte inicial del investigador a Tenable.
- 18 de febrero de 2026 — Tenable acepta formalmente el reporte.
- 23 de marzo de 2026 — Se solicita el identificador CVE y se completa el cálculo CVSS.
- 23 de abril de 2026 — Se publica el aviso TNS-2026-12 y la versión corregida 11.1.3.
Entre el reporte y el parche transcurrieron aproximadamente cuatro meses. Para una escalada de privilegios local de gravedad alta, ese plazo está dentro de lo habitual en la industria (el estándar de facto ronda los 90 días), aunque algo por encima. La buena noticia para los defensores: por ser un vector estrictamente local, el riesgo de explotación masiva remota es nulo; el atacante necesita ya tener acceso a la máquina.
⚠️ Ojo: “Solo local” no significa “poco importante”. En cadenas de ataque reales, conseguir un punto de apoyo con bajos privilegios es lo fácil; escalar a SYSTEM es lo que convierte una intrusión menor en compromiso total del host.
Impacto y análisis
El impacto práctico depende del contexto de cada despliegue. En un servidor compartido, una estación de trabajo multiusuario o cualquier entorno donde un atacante haya logrado ejecución con privilegios limitados (vía phishing, una credencial robada o una segunda vulnerabilidad), CVE-2026-33694 ofrece el salto final hasta el control total del sistema. SYSTEM puede desactivar defensas, instalar persistencia, leer cualquier archivo y pivotar dentro de la red.
Hay una capa adicional de incomodidad: el agente comprometido es, precisamente, el sensor de seguridad. Un atacante con SYSTEM en el host donde corre el Nessus Agent podría manipular o silenciar los reportes que ese agente envía a la consola central, ocultando su propia presencia ante el equipo de seguridad que confía en esos datos. El guardián deja de ser confiable.
Para las organizaciones, la lección operativa es clara: el software de seguridad también es software, y también necesita gestión de parches disciplinada. Es frecuente que los agentes de seguridad se desplieguen una vez y se olviden, asumiendo que “se actualizan solos” o que “son seguros por definición”. Ninguna de las dos cosas es garantía.
💡 Tip: Trata a tus agentes de seguridad (EDR, antivirus, escáneres) como activos críticos en tu inventario de parches. Son los que corren con más privilegios en todos tus hosts.
Qué sigue: cómo protegerse
La acción es directa y no admite demora: actualizar a Nessus Agent 11.1.3 o posterior en todos los endpoints Windows. Los pasos recomendados:
- Inventariar — Identificar todos los hosts Windows con Nessus Agent y su versión actual. Cualquier 11.1.2 o anterior es vulnerable.
- Actualizar — Descargar la versión 11.1.3 desde el portal oficial de Tenable y desplegarla. Si usás actualizaciones gestionadas vía Nessus Manager o Tenable.io, verificá que el plan de actualización del agente esté apuntando a la versión parcheada.
- Verificar — Confirmar la versión efectiva en los endpoints tras el despliegue, no asumir que la política se aplicó sola.
- Monitorear — Vigilar la creación inusual de junctions y borrados de archivos de sistema por procesos privilegiados, una señal genérica de este tipo de abuso.
A nivel de diseño, este caso es un recordatorio para cualquier desarrollador de software privilegiado en Windows: nunca confíes en que una ruta es la que crees. Usá APIs que abren handles de forma segura, validá que el archivo no sea un reparse point cuando no debería serlo, y operá sobre handles ya abiertos en lugar de re-resolver rutas por nombre justo antes de un borrado o escritura sensibles.
📖 Resumen en Telegram: Ver resumen
Preguntas frecuentes
¿Qué es exactamente CVE-2026-33694?
Es una vulnerabilidad de escalada de privilegios local en Nessus Agent para Windows, del tipo “link following” (CWE-59). Permite que un usuario con pocos privilegios abuse de junctions del sistema de archivos para que el agente, que corre como SYSTEM, borre archivos arbitrarios, lo que puede encadenarse hasta ejecución de código con privilegios máximos.
¿Puede explotarse de forma remota?
No. El vector es estrictamente local: el atacante necesita ya tener acceso y la capacidad de ejecutar código con privilegios bajos en la máquina afectada. No es una vulnerabilidad explotable directamente a través de la red.
¿Qué versiones de Nessus Agent están afectadas?
Todas las versiones 11.1.2 y anteriores en Windows. La versión 11.1.3 contiene la corrección. El aviso oficial de Tenable es el TNS-2026-12.
¿Qué gravedad tiene el fallo?
Tenable lo califica como alto, con un CVSSv3 base de 8.2 y un CVSSv4 de 7.4. La complejidad de ataque es baja y el impacto en confidencialidad, integridad y disponibilidad es alto.
¿Qué es una junction y por qué es peligrosa aquí?
Una junction es un enlace de directorio de NTFS que redirige el acceso de una carpeta hacia otra ubicación. Es peligrosa cuando un proceso privilegiado resuelve una ruta y opera sobre ella sin revalidar, porque un atacante puede plantar la junction para redirigir esa operación (en este caso, un borrado) hacia un objetivo protegido.
¿Hay evidencia de explotación activa?
Al momento de la publicación del aviso, Tenable no reportó explotación activa conocida. Aun así, dado que las técnicas de abuso de junction están bien documentadas, parchear sin demora es la recomendación estándar.
Referencias
- Tenable — Aviso oficial TNS-2026-12 — Detalle de versiones afectadas y la corrección en Nessus Agent 11.1.3.
- NVD — CVE-2026-33694 — Ficha oficial con puntuación CVSS y clasificación CWE-59.
- GBHackers — Nessus Agent Windows Flaw Enables SYSTEM-Level Code Execution — Cobertura técnica del fallo y su mecánica.
- eSecurity Planet — Nessus Agent Flaw Grants SYSTEM-Level Access on Windows — Análisis de impacto y cronología.
📱 ¿Te gusta este contenido? Únete a nuestro canal de Telegram @programacion donde publicamos a diario lo más relevante de tecnología, IA y desarrollo. Resúmenes rápidos, contenido fresco todos los días.
0 Comentarios