Kritieke kwetsbaarheden in Ivanti EPMM actief misbruikt

De kwetsbaarheden, geregistreerd onder de nummers CVE-2026-1281 en CVE-2026-1340, hebben beide een zogeheten CVSS-score van 9.8 gekregen op een schaal van 10. Dit onderstreept de ernst van de situatie: kwaadwillenden kunnen zonder inloggegevens ("unauthenticated") eigen code uitvoeren op de server ("remote code execution").

Impact en risico

De lekken bevinden zich in de 'code injection'-categorie. Hierdoor kan een hacker van buitenaf commando's naar de EPMM-server sturen die door het systeem worden uitgevoerd alsof ze legitiem zijn. Hoewel Ivanti spreekt over een "zeer beperkt aantal slachtoffers" tot nu toe, is het risico voor organisaties die de software nog niet hebben gepatcht aanzienlijk.

Ivanti benadrukt dat andere producten, zoals Ivanti Neurons for MDM en de cloud-oplossingen, niet door dit lek worden getroffen. Ook de Sentry-gateway is veilig, mits deze niet in combinatie met een kwetsbare lokale EPMM-omgeving wordt gebruikt.

Directe actie vereist

Voor beheerders van EPMM is er een tijdelijke oplossing beschikbaar in de vorm van een RPM-patch. Ivanti heeft twee verschillende scripts beschikbaar gesteld, afhankelijk van de versie die een organisatie draait:

RPM 12.x.0.x: Voor versies 12.5.0.x, 12.6.0.x en 12.7.0.x.

RPM 12.x.1.x: Voor versies 12.5.1.0 en 12.6.1.0.

Beheerders hoeven de systemen niet te herstarten om de patch toe te passen. Er is echter een belangrijk aandachtspunt: de huidige patch "overleeft" een software-upgrade niet. Wie nu de patch installeert en later deze maand upgradet naar een hogere versie, moet de patch opnieuw installeren. Een definitieve oplossing wordt pas verwacht in versie 12.8.0.0, die later in het eerste kwartaal van 2026 verschijnt.

Forensisch onderzoek

Ivanti heeft naast de patches ook technische analyses beschikbaar gesteld voor security-teams. Hiermee kunnen zij in hun logbestanden zoeken naar aanwijzingen of hun systemen al gecompromitteerd zijn.

Voor organisaties met een zeer laag risicoprofiel adviseert Ivanti zelfs de meest conservatieve route: het volledig opnieuw opbouwen van de EPMM-server en het migreren van de data naar het nieuwe, schone apparaat. Dit proces vereist geen hernieuwde aanmelding van de eindgebruikers (re-enrollment), maar sluit wel uit dat er eventuele 'backdoors' achterblijven na een eerdere inbraak.

Klanten kunnen voor ondersteuning en de benodigde inloggegevens voor de updates terecht in het Ivanti Success Portal.