Ein nicht authentifizierter Angreifer kann über eine SQL-Injection im Core-Server von Ivanti Endpoint Manager eigenen Code ausführen. Der Core-Server verteilt Software und Einstellungen auf alle verwalteten Endgeräte – wer ihn übernimmt, hat einen zentralen Hebel ins Unternehmensnetz. Ivanti hat die Lücke am 10.11.2026 mit Version 2024 SU8 geschlossen; eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenDer Core-Server von Ivanti Endpoint Manager verarbeitet Eingaben aus dem Netz, ohne Sonderzeichen in SQL-Befehlen ausreichend zu neutralisieren (CWE-89, SQL-Injection). Ein Angreifer ohne Anmeldung kann dadurch eigene Datenbankbefehle einschleusen und laut Ivanti bis zur Ausführung von Code auf dem Server gelangen. Technische Details zum betroffenen Endpunkt hat Ivanti nicht veröffentlicht.
| EPM-Version | Verwundbar | Fixversion |
|---|---|---|
| EPM 2024 | bis 2024 SU7 | 2024 SU8 |
| Ältere Releases | vor 2024 SU8 | Upgrade auf 2024 SU8 |
Betroffen ist laut Ivanti (CVE-Eintrag, Ivanti als CNA) jede Endpoint-Manager-Version vor 2024 SU8, konkret die Core-Komponente. Ivanti nennt keinen Workaround. Am selben Tag hat Ivanti mit SU8 eine weitere EPM-Lücke geschlossen (CVE-2026-18128, CVSS 6,8, Klartext-Übertragung beim Agent).
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die Endgeräteverwaltung kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition vor Patch, Patch vor Entwarnung.
2024 SU8 ist betroffen. Prüfen, aus welchen Netzen der Core erreichbar ist – insbesondere, ob er aus dem Internet oder aus Gast- und Partnernetzen angesprochen werden kann.2024 SU8 aktualisieren. Damit ist auch die zweite November-Lücke (CVE-2026-18128) geschlossen.Zur Einordnung: Es liegen keine CVE-spezifischen Indikatoren vor. Die genannten Muster sind Ansatzpunkte für eine Auswertung, keine bestätigten Signaturen.
Wichtig: Wer den Core-Server kontrolliert, kann über die reguläre Softwareverteilung Code auf alle verwalteten Geräte bringen – das sieht aus wie normaler Betrieb. Ohne Überwachung des Core fällt ein Missbrauch erst spät auf.
CVE-Eintrag CVE-2026-121653 (Ivanti als CNA, CVSS 3.1 9,8, CWE-89, Fix 2024 SU8) · NVD (Status „Received“) · Ivanti Security Advisory EPM November 2026 · CISA KEV (Stand 10.11.2026: nicht gelistet) · ergänzend SecurityOnline. Stand 10.11.2026. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind noch keine Kompromittierungs-Indikatoren veröffentlicht. Besteht Verdacht auf einen Angriff, prüfen wir, ob ein System bereits betroffen ist. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Ein unerwarteter Prozess oder eine neue Verteilaufgabe auf dem EPM-Core. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.