Ein nicht authentifizierter Angreifer aus dem Netz kann über einen undokumentierten Login-Parameter die Anmeldung des Endpoint Managers umgehen und gespeicherte Zugangsdaten auslesen – bis hin zu Passwort-Hashes von Domänen-Administratoren und Dienstkonten aus dem EPM-Credential-Vault. Der technische Mechanismus ist seit Februar 2026 öffentlich, die Lücke steht seit dem 9. März 2026 im CISA-KEV-Katalog als aktiv ausgenutzt.
Advisory als PDF herunterladenDer Anmelde-Endpunkt des Endpoint Managers akzeptiert einen undokumentierten Parameter logintype mit dem Wert 64. Dieser aktiviert einen alternativen, fest verdrahteten Authentifizierungspfad, der die reguläre Prüfung von Anmeldedaten umgeht (CWE-288 · CWE-306). Wer den Parameter kennt, erhält ohne gültige Zugangsdaten privilegierten Zugriff und kann gespeicherte Credentials des EPM auslesen.
logintype=64| EPM-Version | Verwundbar | Fixversion |
|---|---|---|
| EPM 2024 | < 2024 SU5 (inkl. SU1–SU4 & Security Releases) | 2024 SU5 |
| Ältere Zweige (EPM 2022 & früher) | End-of-Life – kein Sicherheitsupdate | Migration auf 2024 SU5 |
Fix ausschließlich in EPM 2024 SU5 (Ivanti-Update Februar 2026). Alle Stände davor sind verwundbar. Ältere, nicht mehr unterstützte Zweige erhalten kein Update – hier ist eine Migration erforderlich. Exakten Patch-Stand gegen das Ivanti-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf gespeicherte Zugangsdaten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit einschränken vor Patch, Patch vor Entwarnung.
2024 SU5 sowie ältere, nicht mehr unterstützte Zweige sind verwundbar. Prüfen, ob der Managementdienst aus nicht vertrauenswürdigen Netzen erreichbar ist.EPM 2024 SU5 aktualisieren (Ivanti-Update Februar 2026) – die einzige Version, in der die Lücke geschlossen ist. Ältere Zweige erfordern eine Migration auf 2024 SU5.logintype=64 am Auth-Endpunkt durchsuchen sowie auf unerwartete Administrator-/Kontenanlagen und anomale ausgehende Verbindungen des EPM-Servers.logintype=64/RemoteControlAuth/api/AuthZur Einordnung: Ivanti hat keine belastbaren Netz-IoCs (Angreifer-IPs) veröffentlicht. Ohne WAF-/Reverse-Proxy-Logs, die den Parameter logintype erfassen, ist eine Kompromittierung schwer nachzuweisen. Die genannten Marker sind Erkennungshinweise, kein abschließender IoC-Satz – maßgeblich ist die Analyse Ihrer eigenen Logs.
Wichtig: Ein erfolgreicher Bypass hinterlässt in Standardprotokollen kaum Spuren und liefert dem Angreifer sofort gespeicherte Zugangsdaten. Ohne Auswertung der Auth-/WAF-Logs und ohne Rotation der im Vault hinterlegten Konten bleibt ein bereits erfolgter Zugriff unsichtbar.
Ivanti Security Advisory EPM February 2026 (Fix in 2024 SU5) · NIST NVD CVE-2026-1603 · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 09.03.2026, Frist 23.03.2026) · WatchTowr Labs / Beazley Security / Horizon3.ai (technische Analyse, logintype=64). Angaben nach bestem Wissen zum Stand 14.07.2026; Patch-Stand und Versionsangaben gegen das Ivanti-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anfragen mit logintype=64 am Auth-Endpunkt und unerwartete privilegierte Aktionen im EPM. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.