Mitel corrige dos fallas de alto riesgo en OpenScape Endpoint Management

Mitel divulgó el 28 de octubre de 2026 el aviso MISA-2026-0009 sobre dos vulnerabilidades en el componente Node-RED de OpenScape Endpoint Management. El proveedor asignó identificadores internos MTLVULN-1788 y MTLVULN-1789, y pidió actualizar el producto. CERT-FR también publicó un aviso para las dos fallas y recoge la misma versión de corrección.

La primera vulnerabilidad es un bypass de autenticación relacionado con validación insuficiente de URLs de redirección y controles de autenticación impropios. Mitel indica que requiere interacción de usuario y podría permitir a un atacante no autenticado obtener acceso administrativo no autorizado a Node-RED. La segunda es una escalada de privilegios que requiere una cuenta autenticada con privilegios administrativos y podría permitir ejecutar comandos con privilegios elevados.

Mitel asignó a la falla de bypass una puntuación CVSS 3.1 de 8,8 y a la escalada una puntuación de 7,2; ambas están clasificadas como altas. El aviso identifica como afectadas las versiones V1 R2.4.0 y anteriores de OpenScape Endpoint Management. El proveedor indica que las versiones no soportadas están fuera del alcance de sus declaraciones de producto.

Aunque el primer vector no exige privilegios previos, sí requiere interacción de usuario y explotación exitosa; la segunda vulnerabilidad requiere que el atacante ya tenga permisos administrativos. Esa diferencia importa para priorizar. La combinación tampoco prueba que una intrusión haya ocurrido ni permite concluir que ambas fallas formen una cadena de ataque confirmada.

Mitel indica que ambas fallas se corrigen en OpenScape Endpoint Management V1 R2.5.1 y versiones posteriores. Las organizaciones que operan el producto deberían inventariar sus instalaciones, identificar versiones expuestas y coordinar la actualización con su socio autorizado o soporte si no tienen acceso a las instrucciones de seguridad detalladas.

Tras aplicar la corrección, los equipos pueden revisar registros de acceso y cambios administrativos en Node-RED, enfocándose en sistemas accesibles desde redes no confiables y eventos previos a la actualización. La revisión es una recomendación defensiva; el aviso no atribuye actividad maliciosa ni proporciona indicadores de compromiso. Si hay evidencia local de comandos no autorizados, debe tratarse como una investigación de incidente separada.

Las plataformas de administración de endpoints pueden centralizar configuración y despliegue de dispositivos de comunicaciones. Una interfaz de automatización expuesta en ese entorno merece atención porque puede ofrecer funciones de administración con impacto más amplio que una aplicación de usuario final. El efecto concreto depende de qué nodos, credenciales e integraciones estén disponibles en cada instalación.

El caso también muestra por qué un flujo de redirección debe mantener validación estricta de destino y controles de sesión consistentes. Si una interfaz administrativa se puede alcanzar desde Internet o desde redes compartidas, el riesgo de exposición es mayor. Las organizaciones pueden reducir el área de ataque aislando paneles administrativos, limitando acceso por VPN o redes de gestión y usando autenticación fuerte, aunque esas medidas no sustituyen la instalación de la versión corregida.

La fuente primaria de Mitel aporta los identificadores, puntuaciones, versiones afectadas y solución. CERT-FR confirma la divulgación y describe el impacto como bypass de política de seguridad y elevación de privilegios. No se encontró en esos avisos una asignación CVE: Mitel dice que solicitó identificadores CVE, por lo que no corresponde inventar uno ni confundir estas fallas con el CVE-2026-111497 publicado en el aviso separado MISA-2026-0010.

Tampoco hay confirmación pública de explotación activa en los avisos consultados. La prioridad de actualización se justifica por la gravedad y la posibilidad de acceso remoto al componente, pero el estado de riesgo de cada organización requiere conocer su versión, exposición y configuración reales.

Actualice a V1 R2.5.1 o posterior, confirme que el producto terminó el proceso de actualización y documente las instancias corregidas. Si una instalación está sin soporte, determine con Mitel o su integrador una ruta de migración segura, ya que el aviso limita sus afirmaciones a versiones soportadas.

Mantenga Node-RED y las consolas de gestión fuera de Internet cuando no sea indispensable, restrinja el acceso a administradores autorizados y revise las cuentas con privilegios elevados. En caso de sospecha, preserve logs y evidencias antes de realizar cambios que puedan borrar información útil para la investigación.