Producto(s) afectado(s):
| Producto | Versiones afectadas | Versión corregida |
| Tenable Identity Exposure (on-premises), rama 3.93 | 3.93.5 y anteriores | 3.93.6 |
| Tenable Identity Exposure (on-premises), rama 3.77 | 3.77.17 y anteriores | 3.77.18 |
| Tenable Identity Exposure (SaaS), CVE-2026-106126 | 3.125.0 y anteriores | 3.126.0 |
En todos los casos, la actualización no reemplaza el listener de Indicadores de Ataque (IoA) ya instalado en los controladores de dominio, que debe desinstalarse y volver a instalarse.
Descripción
Se ha publicado una vulnerabilidad de severidad crítica (CVSSv3.1 9.9 – CRÍTICO; CVSSv4 9.4) en Tenable Identity Exposure, la solución de Tenable para monitorear la seguridad de Active Directory (antes Tenable.ad), que permite a un atacante autenticado con privilegios bajos ejecutar comandos arbitrarios como SYSTEM en el controlador de dominio que tiene el rol de emulador PDC (PDCe). La vulnerabilidad ha sido etiquetada como CVE-2026-119314 y es del tipo inyección de comandos del sistema operativo (CWE-78).
El fallo se encuentra en el Active Directory Events Listener, el componente del módulo de Indicadores de Ataque (IoA) que se despliega mediante una GPO en los controladores de dominio. Según el proveedor, una cuenta con permiso de escritura sobre la configuración de IoA en la consola de Tenable Identity Exposure puede lograr que el listener ejecute comandos como SYSTEM en el controlador de dominio. Como el PDCe es un controlador de dominio, la explotación equivale a comprometer el dominio de Active Directory.
El mismo fallo afectó a la versión SaaS del producto, donde fue identificado como CVE-2026-106126, con la misma puntuación, y corregido en la versión 3.126.0, liberada el 08/10/2026. El 30/10/2026 el proveedor publicó la corrección para las dos ramas on-premises. Aunque las instancias SaaS se actualizan del lado del proveedor, el listener instalado en los controladores de dominio sigue siendo vulnerable hasta que se reinstala.
La actualización on-premises corrige además dos vulnerabilidades de menor severidad:
| CVE | Tipo | CVSS | Componente |
| CVE-2026-119314 | Inyección de comandos (CWE-78) que permite ejecutar comandos como SYSTEM en el PDCe | CVSSv3.1 9.9 – CRÍTICO (CVSSv4 9.4) | Active Directory Events Listener (IoA) |
| CVE-2026-119315 | Denegación de servicio por consumo excesivo de recursos (CWE-770) mediante consultas manipuladas de un usuario autenticado con privilegios bajos | CVSSv3.1 4.3 (CVSSv4 5.3) | API GraphQL |
| CVE-2026-119316 | Exposición de información sensible en registros (CWE-532): una instalación fallida escribe la clave de vinculación (linking key) en el registro de errores local | CVSSv3.1 4.1 (CVSSv4 5.6) | Secure Relay para Windows |
El proveedor no ha informado explotación activa, ninguna de las vulnerabilidades figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la agencia de ciberseguridad de EE. UU. y no se ha identificado código de explotación público.
Mitigación
No existe una mitigación temporal oficial. Mientras se aplica la actualización, se recomienda limitar al mínimo indispensable las cuentas y roles con permiso para modificar la configuración de IoA y restringir el acceso a la consola de Tenable Identity Exposure.
Detección y verificación de exposición
El proveedor no ha publicado indicadores de compromiso ni reglas de detección. Como recomendaciones generales:
- Identificar la versión de cada instancia on-premises y confirmar que el listener de IoA de los controladores de dominio se haya reinstalado después de la actualización (en SaaS, después del 08/10/2026).
- Revisar qué usuarios y roles de la consola tienen permiso para modificar la configuración de Indicadores de Ataque, y los cambios recientes en esa configuración.
- Revisar en el PDCe la ejecución de procesos inusuales iniciados por el listener de IoA.
- Revisar en Active Directory la creación de cuentas o los cambios en grupos privilegiados que no estén justificados.
Solución
La solución consiste en actualizar cada instancia on-premises a la versión corregida de su rama, disponible en el portal de descargas del proveedor:
- Rama 3.93: 3.93.6.
- Rama 3.77: 3.77.18.
Antes de actualizar, se recomienda verificar que los certificados TLS personalizados y su CA usen claves RSA de al menos 2048 bits, ya que ambas versiones instalan Node.js 24, que rechaza claves más cortas.
Después de actualizar (y, en SaaS, a partir de la versión 3.126.0), se debe desinstalar y volver a instalar el listener de IoA en los controladores de dominio, porque la actualización por sí sola conserva el listener vulnerable:
- Ejecutar
Register-TenableIOA.ps1 -Uninstall. El script crea una GPO de limpieza y espera 4 horas para que se replique en todo el dominio. - Eliminar la GPO de limpieza con
Remove-GPO -Guid <GUID> -Domain "<DOMAIN>". - Descargar desde la consola el nuevo script de instalación de IoA y ejecutarlo para instalar el listener corregido. Ejecutar el nuevo script sin desinstalar antes conserva el listener anterior.
Para info sobre cómo actualizar, visita el siguiente enlace:
https://www.tenable.com/security/tns-2026-34
Información adicional:
- Tenable — aviso TNS-2026-34 (CVE-2026-119314, CVE-2026-119315 y CVE-2026-119316):
https://www.tenable.com/security/tns-2026-34 - Tenable — aviso TNS-2026-27 (CVE-2026-106126, versión SaaS):
https://www.tenable.com/security/tns-2026-27 - Tenable — notas de versión on-premises 2026 (3.93.6 y 3.77.18):
https://docs.tenable.com/release-notes/Content/identity-exposure/onprem/2026.htm - Tenable — notas de versión SaaS 2026 (3.126):
https://docs.tenable.com/release-notes/Content/identity-exposure/saas/2026.htm - Tenable — desinstalación del módulo de Indicadores de Ataque:
https://docs.tenable.com/identity-exposure/on-premises/Content/Admin/IOAs/ioa-deployment/UninstallIoAs.htm - NVD — CVE-2026-106126:
https://nvd.nist.gov/vuln/detail/CVE-2026-106126