Ein nicht authentifizierter Angreifer aus dem Internet kann über einen einzigen präparierten HTTP-Aufruf beliebige Betriebssystembefehle mit Root-Rechten auf dem EPMM-Server ausführen – ohne Zugangsdaten und ohne Nutzerinteraktion. Die Lücke wurde als Zero-Day ausgenutzt, bevor Ivanti sie am 29. Januar 2026 öffentlich machte; CISA führt sie seit dem 8. April 2026 als aktiv ausgenutzt.
Advisory als PDF herunterladenDie verwundbaren EPMM-Versionen verarbeiten die von Apache über RewriteMap aufgerufenen Bash-Skripte map-appstore-url und map-aft-store-url unsicher. Ein von außen steuerbarer Wert (Parameter h) landet in einem arithmetischen Auswertungskontext. Bash expandiert dabei einen Array-Index mit Kommando-Substitution – ein in Backticks oder Klammern verpackter Befehl wird mit Root-Rechten ausgeführt. Authentifizierung ist nicht erforderlich, der Endpunkt ist vorauthentifiziert erreichbar.
/mifs) ist aus dem Internet erreichbar/mifs/c/appstore/fob/… mit präpariertem h-Parameter| EPMM-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 12.5.0.0 | ≤ 12.5.0.0 | RPM 12.x.0.x |
| 12.6.0.0 | ≤ 12.6.0.0 | RPM 12.x.0.x |
| 12.7.0.0 | ≤ 12.7.0.0 | RPM 12.x.0.x |
| 12.5.1.0 | ≤ 12.5.1.0 | RPM 12.x.1.x |
| 12.6.1.0 | ≤ 12.6.1.0 | RPM 12.x.1.x |
| Permanenter Fix | alle Zweige | 12.8.0.0 (angekündigt) |
Ivanti stellt zunächst temporäre RPM-Hotfixes bereit: Zweige mit Endung .0.0 erhalten RPM 12.x.0.x, Zweige mit Endung .1.0 erhalten RPM 12.x.1.x. Der permanente Fix 12.8.0.0 ist angekündigt (Q1 2026), der Release-Stand ließ sich zum Redaktionsschluss nicht abschließend verifizieren. Exakte Patch-Zuordnung gegen das Ivanti-Advisory des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Die Übernahme des MDM-Servers bedeutet potenziellen Zugriff auf personenbezogene Daten der verwalteten Endgeräte. Ein bestätigter Zugriff kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Patch vor Entwarnung, Threat Hunting parallel.
12.7.0.0 (beide Zweig-Familien .0.0 und .1.0). Prüfen, ob der Dienst (/mifs) aus dem Internet erreichbar ist – exponierte Instanzen sind höchste Priorität.RPM 12.x.0.x für .0.0-Zweige, RPM 12.x.1.x für .1.0-Zweige. Da bereits aktiv ausgenutzt wird, ist die Ausnutzung trivial – kein Aufschub./mifs/c/appstore und /mifs/c/aftstore filtern bzw. sperren, sofern diese Funktionen nicht benötigt werden./mifs-Endpunkte mit auffälliger h-Parameter-Syntax (Backticks, Klammern) durchsuchen und das Dateisystem, insbesondere /mi/, auf untergeschobene Dateien prüfen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.12.8.0.0 einplanen, sobald für Ihre Umgebung freigegeben, und den Release-/Support-Status direkt mit Ivanti abstimmen. Herstellerseitige Erkennungs-/IPS-Signaturen einspielen, sofern verfügbar./mifs/c/appstore/fob/…
/mifs/c/aftstore/fob/…h-Parameter mit Backticks/Klammern, z. B. gPath[`…`]/mi//mifs/c/(app|aft)store mit theValue??-MusterZur Einordnung: Belastbare öffentliche Angreifer-IPs lagen zum Redaktionsschluss nicht vor – die Endpunkte sind reguläre EPMM-Aufrufe, auffällig ist allein die injizierte Parameter-Syntax. Kein Ersatz für die Analyse Ihrer eigenen HTTP-Zugriffs-Logs und des Dateisystems.
Wichtig: Erfolgreiche Ausnutzung erscheint als regulärer HTTP-GET in den Zugriffs-Logs – ohne Alarm. Der Angreifer erlangt Root-Rechte und kann Persistenz einrichten; ohne Log- und Dateisystem-Analyse bleibt ein bereits erfolgter Zugriff unsichtbar.
Ivanti Security Advisory EPMM CVE-2026-1281 und CVE-2026-1340 · NVD (NIST) CVE-2026-1340 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 08.04.2026, Frist 11.04.2026) · Rapid7 Emergent Threat Report · watchTowr Labs Analyse · Tenable Research. Angaben nach bestem Wissen zum Stand 14.07.2026; Fix-/Patch-Zuordnung gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale GET-Requests auf die /mifs-Appstore-Endpunkte sowie neue Root-Prozesse oder -Dateien auf dem EPMM-Server. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.