Ein nicht authentifizierter Angreifer aus dem Internet kann über eine präparierte HTTP-Anfrage an das EPMM-Portal beliebige Betriebssystem-Befehle ausführen – ohne Anmeldung, ohne Nutzerinteraktion. Ivanti bestätigt eine Ausnutzung als Zero-Day bereits vor der Veröffentlichung; seit dem 30.01.2026 ist ein funktionierender Exploit öffentlich.
Advisory als PDF herunterladenÄltere Bash-Skripte, die der Apache-Webserver von EPMM zum URL-Rewriting nutzt, werten Teile der URL ungeprüft in einer Bash-Umgebung aus. Über die Arithmetik-Expansion von Bash lässt sich in den Hash-Parameter einer Download-URL Code einschleusen (z. B. gPath[`<befehl>`]). Der eingebettete Befehl wird bei der Auswertung des Ausdrucks mit den Rechten des Webdienstes ausgeführt – ohne jede Authentifizierung.
sleep) verrät die Verwundbarkeit an der Antwortzeit/mifs/c/appstore/fob/-URL| EPMM-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 12.x.0.x | ≤ 12.7.0.0 | RPM 12.x.0.x |
| 12.x.1.x | ≤ 12.6.1.0 | RPM 12.x.1.x |
| 12.8.0.0 | geplant Q1 2026 | permanenter Fix |
Ivanti liefert versionsspezifische RPM-Patches (kein Downtime) – je nach installiertem Zweig 12.x.0.x oder 12.x.1.x. Wichtig: Die RPMs überleben ein Versions-Upgrade nicht und müssen danach erneut eingespielt werden. Erst die für Q1 2026 geplante Version 12.8.0.0 enthält den dauerhaften Fix. Build-Ranges gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf gerätebezogene personenbezogene Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition prüfen, patchen, Kompromittierung ausschließen.
12.7.0.0 (bzw. 12.6.1.0 im .1.x-Zweig) sind angreifbar. Prüfen, ob die EPMM-Verwaltungsoberfläche aus dem Internet erreichbar ist – das ist die Voraussetzung für die beobachtete Ausnutzung.RPM 12.x.0.x bzw. RPM 12.x.1.x). Der Patch erfordert keine Ausfallzeit. Nach einem späteren Versions-Upgrade muss das RPM erneut aufgespielt werden, bis 12.8.0.0 (Q1 2026) den dauerhaften Fix bringt./mifs/c/appstore/fob/ und /mifs/c/aftstore/fob/ mit Bash-Mustern im Hash-Parameter durchsuchen. Auf abgelegte Web-Shells unter /mi/tomcat/webapps/mifs/ prüfen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff./mifs/c/appstore/fob/ (CVE-2026-1281)
/mifs/c/aftstore/fob/ (CVE-2026-1340)gPath[`<befehl>`] · sleep-Testaufrufe401.jsp · 403.jsp · 1.jsp/mi/tomcat/webapps/mifs/23.227.199.80 · 64.7.199.177Zur Einordnung: Die Endpunkte sind reguläre EPMM-Aufrufe – auffällig erst durch Bash-Muster im Hash-Parameter oder ungewöhnlich lange Antwortzeiten (sleep-Tests). IPs und Dateinamen sind eine Momentaufnahme der beobachteten Kampagne und flüchtig – kein Ersatz für die Analyse Ihrer Webserver- und Zugriffslogs.
Wichtig: Ivanti bestätigt die Ausnutzung als Zero-Day vor der Veröffentlichung; ein öffentlicher PoC treibt seit dem 30.01.2026 Massen-Scans. Erfolgreiche Angriffe hinterlassen zunächst nur unauffällige Web-Requests – ohne Log-Auswertung bleibt ein bereits erfolgter Zugriff unsichtbar.
Ivanti Security Advisory CVE-2026-1281 / CVE-2026-1340 · NVD (CVSS 3.1: 9,8) · CISA Known Exploited Vulnerabilities Catalog (hinzugefügt 29.01.2026, Frist 01.02.2026) · Rapid7 Emergent Threat Report · Palo Alto Unit 42 · watchTowr Labs · Tenable. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Bash-Muster in fob-Anfragen und neu abgelegte JSP-Dateien im mifs-Webroot. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.