Das Nationaal Cyber Security Centrum (NCSC) warnt vor aktivem Missbrauch einer Sicherheitslücke in Ivanti Endpoint Manager Mobile. Dabei geht es um eine mobile Verwaltungs- und Sicherheitssoftware, die Unternehmen zur Absicherung und Verwaltung von Smartphones und Tablets nutzen. Laut NCSC wird die kritischste Schwachstelle bereits bei einer sehr kleinen Zahl von Kunden ausgenutzt.
Weil die potenzielle Wirkung sehr hoch ist, ist schnelles Handeln gefragt: Die empfohlene Maßnahme besteht darin, die bereitgestellten Updates so bald wie möglich zu installieren. Falls Sie unsicher sind, ob und welche Version Sie einsetzen, sollten Sie Ihr IT-Team oder Ihren Dienstleister gezielt um Prüfung und Unterstützung bitten.
Was ist Ivanti Endpoint Manager Mobile?
Ivanti Endpoint Manager Mobile (auch unter dem Namen MobileIron bekannt) ist eine Lösung, die Organisationen dabei unterstützt, mobile Endgeräte innerhalb ihres Netzwerks zu verwalten und abzusichern. Dazu gehören typischerweise Maßnahmen zur Kontrolle von Geräten im Unternehmensumfeld sowie Einstellungen, die die Nutzung von Mobilgeräten sicherer machen sollen.
Gerade weil diese Software häufig zentrale Funktionen für die mobile Infrastruktur übernimmt, können Schwachstellen in solchen Produkten besonders kritisch sein: Ein erfolgreicher Angriff kann nicht nur einzelne Geräte betreffen, sondern auch Zugriffsmöglichkeiten auf sensible Informationen eröffnen.
Welche Schwachstellen sind betroffen?
Nach den Informationen des NCSC wurden in Ivanti Endpoint Manager Mobile mehrere schwerwiegende Schwachstellen gefunden, darunter eine als am kritischsten eingestufte Lücke. Diese wird mit CVE-2026-6973 bezeichnet. Ivanti habe außerdem weitere Sicherheitsprobleme behoben, insgesamt vier zusätzliche Lücken.
Das NCSC betont, dass insbesondere bei der kritischsten Schwachstelle bereits aktiver Missbrauch beobachtet wurde. Zusätzlich werden mehrere Szenarien genannt, in denen Angreifer über unterschiedliche Wege Zugriff erlangen oder Code ausführen könnten.
CVE-2026-6973: Codeausführung mit Administratorrechten
Die für die höchste Priorität relevante Schwachstelle (CVE-2026-6973) ermöglicht es einem Angreifer mit Administratorrechten, entfernt eigenen Code auszuführen – also aus der Ferne, ohne dass der Angriff direkt auf dem betroffenen Gerät selbst erfolgen müsste. Das NCSC bewertet dieses Risiko als sehr ernst und ordnet die Wahrscheinlichkeit sowie mögliche Schäden als hoch ein.
Weil es um Rechte auf Administratorniveau geht, kann ein erfolgreicher Angriff die Kontrolle über relevante Funktionen deutlich verstärken.
Neben CVE-2026-6973 beschreibt das NCSC weitere behobene Schwachstellen, darunter:
- CVE-2026-5786: Ein Angreifer mit gültigen Zugangsdaten kann entfernt Verwaltungszugriff erhalten.
- CVE-2026-5787: Ein Eindringling kann sich als vertrauenswürdiges System ausgeben und so falsche Zertifikate erlangen.
- CVE-2026-5788: Ein Eindringling kann entfernt beliebigen Code ausführen.
- CVE-2026-7821: Ein Angreifer kann Geräte registrieren und anschließend Zugriff auf sensible Daten erhalten.
In Summe zeigen diese Punkte: Es geht nicht nur um einen einmaligen Zugriff, sondern um mehrere Angriffspfade, die Kontrolle, Authentizität und Datenzugriff betreffen können.
Warum stuft das NCSC das Risiko als hoch ein?
Das NCSC bewertet die Chance auf Missbrauch und die mögliche Schadenshöhe als hoch. Ausschlaggebend ist unter anderem die Möglichkeit, aus der Ferne beliebigen Code auszuführen – im kritischsten Fall mit Administratorrechten. Damit steigt die Wahrscheinlichkeit, dass sich ein Angriff zu einem weitergehenden Vorfall ausweiten kann.
Zusätzlich erwartet das NCSC, dass in kurzer Zeit ein Proof-of-Concept verfügbar sein könnte. Ein solcher Nachweis macht es Angreifern oft leichter, Schwachstellen gezielt auszunutzen und das Risiko für eine breitere Ausnutzung zu erhöhen. Genau deshalb sieht das NCSC die Gefahr eines großflächigeren Missbrauchs als deutlich größer an.
Welche Folgen drohen bei unzureichender Absicherung?
Wenn die betroffenen Schwachstellen nicht zeitnah behoben werden, können Angreifer die Kontrolle über mobile Geräte übernehmen und vertrauliche Informationen stehlen oder verändern. Das kann sowohl zu Datenabflüssen als auch zu Verletzungen der Vertraulichkeit führen.
Darüber hinaus kann es zu Störungen von Geschäftsprozessen kommen. Gerade in Organisationen, in denen Mobilgeräte für Kommunikation, Authentifizierung oder produktive Tätigkeiten genutzt werden, kann ein Sicherheitsvorfall schnell Auswirkungen auf den operativen Betrieb haben.
Weil bereits Missbrauch festgestellt wurde, geht das NCSC davon aus, dass der praktische Schaden bereits möglich ist und das Risiko entsprechend hoch bleibt.
Was Sie jetzt konkret tun sollten
Die wichtigste Empfehlung lautet: Installieren Sie die verfügbaren Sicherheitsupdates so schnell wie möglich. Ivanti habe entsprechende Updates bereitgestellt, um die beschriebenen Schwachstellen zu beheben.
Damit Sie die richtigen Schritte priorisieren, hilft es, strukturiert vorzugehen:
- Prüfen Sie, ob Ivanti Endpoint Manager Mobile in Ihrer Umgebung im Einsatz ist.
- Ermitteln Sie die Version und konfigurierte Komponenten, die für die Verwaltung mobiler Geräte genutzt werden.
- Planen und führen Sie die Updates zeitnah durch, idealerweise koordiniert mit Ihrem Change-Management.
- Validieren Sie anschließend, dass die Updates erfolgreich eingespielt wurden und die relevanten Dienste wieder wie vorgesehen funktionieren.
Falls Sie nicht sicher sind, welche Lösung Sie genau nutzen oder welche Version betroffen sein könnte, empfiehlt das NCSC, den IT-Dienstleister einzubeziehen. Bitten Sie Ihr Team oder den Dienstleister um die Durchführung der erforderlichen Sicherheitsmaßnahmen und um eine nachvollziehbare Dokumentation.
So erkennen Sie Handlungsbedarf im Alltag
Auch wenn das Update selbst die entscheidende Maßnahme ist, lohnt es sich, begleitend auf Indikatoren zu achten, die auf Angriffe oder Fehlkonfigurationen hindeuten könnten. Das NCSC nennt zwar keine konkreten Indicators of Compromise, aber aus der Art der beschriebenen Schwachstellen lassen sich praktische Fragen ableiten.
Beispiele, die Sie intern klären können:
- Gibt es ungewöhnliche Zugriffsversuche oder Anmeldeaktivitäten im Umfeld der mobilen Verwaltung?
- Gab es Änderungen an Konfigurationen, Zertifikaten oder Vertrauensstellungen, die nicht geplant waren?
- Wurden Geräte neu registriert, ohne dass dafür ein nachvollziehbarer Prozess existiert?
- Stimmt Ihre Rechte- und Rollenvergabe mit dem Sicherheitskonzept überein (insbesondere dort, wo Administratorrechte eine Rolle spielen könnten)?
Solche Checks ersetzen keine Updates, helfen aber dabei, den Gesamtkontext schneller zu verstehen und Risiken besser einzuschätzen.
Fazit
Ivanti Endpoint Manager Mobile steht derzeit im Fokus, weil das NCSC aktiven Missbrauch einer sehr ernsten Schwachstelle meldet. Besonders kritisch ist CVE-2026-6973, bei der aus der Ferne Codeausführung mit Administratorrechten möglich ist. Das Risiko ist daher hoch – nicht zuletzt, weil in kurzer Zeit ein Proof-of-Concept das Ausnutzen erleichtern könnte.
Die klare Empfehlung bleibt: Installieren Sie die von Ivanti bereitgestellten Sicherheitsupdates so bald wie möglich. Wenn Sie Unterstützung benötigen, ziehen Sie Ihr IT-Team oder einen Dienstleister hinzu und lassen Sie die betroffenen Systeme inklusive Versionen prüfen. So reduzieren Sie das Risiko, dass Angreifer Kontrolle übernehmen oder sensible Daten kompromittieren.
Quelle: https://www.ncsc.nl/alerts/actief-misbruik-ivanti-endpoint-manager-mobile
