Ciberseguridad

Se ha descubierto una vulnerabilidad crítica de escalada de privilegios en OpenVPN Connect para macOS, que permite a atacantes locales ejecutar comandos arbitrarios con privilegios elevados a través del componente del servicio en segundo plano de la aplicación.

Identificada como CVE-2026-9560, el fallo afecta a todas las versiones desde la 3.5.1 hasta la 3.8.1 y ha recibido una puntuación base CVSS 4.0 de 9.4 (Crítica).

El fallo de seguridad reside en el componente de ayuda privilegiado de OpenVPN Connect para macOS, un servicio en segundo plano responsable de gestionar las conexiones VPN con privilegios elevados del sistema.

La vulnerabilidad está clasificada bajo CWE-78 (Inyección de Comandos del SO) y es explotable a través de un canal local de IPC (Comunicación Entre Procesos).

Al comunicarse directamente con este servicio en segundo plano a través del canal IPC local, un actor de amenazas que ya esté presente en el sistema puede inyectar y ejecutar comandos arbitrarios del SO como root sin requerir la interacción del usuario.

El fallo fue divulgado de manera responsable y se atribuye a los investigadores de seguridad Ismael Esquilichi, Pablo Redondo y Lê Duc Ninh. Hasta el momento de la publicación, no existen exploits públicos de prueba de concepto ni casos confirmados de explotación activa en el entorno real.

Junto con la corrección crítica de CVE, OpenVPN también solucionó otros dos errores en la misma versión:

Pasos de mitigación

Los equipos de seguridad y los usuarios de macOS que utilicen OpenVPN Connect deben actuar inmediatamente:

• Actualiza inmediatamente a la última versión de OpenVPN Connect superior a la 3.8.1.
• Restringe el acceso local a todos los sistemas que ejecuten las versiones afectadas.
• Monitoriza cualquier comunicación IPC inusual con los procesos en segundo plano de OpenVPN.
• Audita los controles de acceso a los endpoints para minimizar la superficie de ataque local en los dispositivos gestionados.

Dado que se trata de un fallo de escalada de privilegios local, debes tratar cualquier endpoint no parcheado como un riesgo potencial de movimiento lateral, especialmente en entornos donde varios usuarios comparten el acceso a sistemas macOS.