Ivanti Endpoint Manager Mobile (EPMM) enthält eine Schwachstelle durch unzureichende Eingabevalidierung, über die ein bereits authentifizierter Nutzer mit Administrationsrechten aus der Ferne beliebigen Code auf dem Server ausführen kann. Die Lücke wird laut Ivanti bereits bei einer sehr begrenzten Zahl von Kunden aktiv ausgenutzt und steht seit dem 7. Mai 2026 auf der CISA-KEV-Liste. Fixversionen liegen vor; ungepatchte, exponierte Systeme sind akut gefährdet.
Advisory als PDF herunterladenUrsache ist eine unzureichende Eingabevalidierung (CWE-20) in einer administrativen Funktion von EPMM. Ein aus der Ferne authentifizierter Nutzer mit Admin-Rolle kann manipulierte Eingaben so gestalten, dass sie in eine Codeausführung münden. Die erforderliche Admin-Authentifizierung senkt die Einstiegshürde, verhindert die Ausnutzung aber nicht — kompromittierte oder schwache Admin-Zugänge genügen.
| EPMM-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 12.6.x und älter | < 12.6.1.1 | 12.6.1.1 |
| 12.7.x | 12.7.0.0 | 12.7.0.1 |
| 12.8.x | 12.8.0.0 | 12.8.0.1 |
Die Ausnutzung setzt einen authentifizierten Admin-Zugang voraus. Laut Ivanti reduziert eine bereits erfolgte Rotation der Admin-Credentials (gemäß der Januar-Empfehlung zu CVE-2026-1281/-1340) das Risiko deutlich — sie ersetzt den Patch jedoch nicht.
Regulatorischer Hinweis: NIS-2: EPMM steuert Mobilgeräte-Flotte und Zertifikate — eine erfolgreiche RCE ist ein meldepflichtiger erheblicher Sicherheitsvorfall (Frühwarnung an das BSI binnen 24 Stunden). DSGVO: Bei Zugriff auf verwaltete Geräte bzw. personenbezogene Daten greift zusätzlich die 72-Stunden-Meldepflicht nach Art. 33.
Betroffenheit prüfen, Admin-Zugänge härten, patchen und Kompromittierung ausschließen.
EPMM: System Manager → Version / Software Updates12.6.x → 12.6.1.1 · 12.7.x → 12.7.0.1 · 12.8.x → 12.8.0.1Wichtig: Der Patch allein genügt nicht: Da die Lücke einen Admin-Zugang voraussetzt und bereits ausgenutzt wird, gehören Credential-Rotation, MFA und eine Kompromittierungsprüfung zwingend zur Behebung.
NVD (nvd.nist.gov/vuln/detail/CVE-2026-6973); Ivanti Security Advisory (hub.ivanti.com, CVE-2026-6973 & CVE-2026-10727); CISA KEV-Katalog (Aufnahme 07.05.2026); Help Net Security (08.05.2026); SOCRadar Threat-Intel-Blog.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Auffällig im SOC wären ungewöhnliche Admin-Aktivität auf dem EPMM-Server (neue oder geänderte Richtlinien), unerwartete Prozess- oder Shell-Ausführung, atypische ausgehende Verbindungen vom Management-Host sowie Admin-Anmeldungen von untypischen Quell-IPs. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.