Ivanti hat Aktualisierungen für Endpoint Manager (EPM) sowie Neurons for MDM angekündigt und damit mehrere Schwachstellen geschlossen. Im Fokus stehen dabei mehrere hochriskante Fehler in EPM, darunter zwei, die sich laut Hersteller von außen auch ohne Authentifizierung ausnutzen lassen. Damit rückt das Thema Ivanti EPM-Updates für IT-Teams, die das Produkt im Betrieb haben, einmal mehr in den Mittelpunkt.
Ivanti erklärte außerdem, dass zum Zeitpunkt der Veröffentlichung keine Fälle bekannt seien, in denen Kunden aktiv von diesen Lücken betroffen gewesen wären. Trotzdem ist schnelles Handeln sinnvoll, denn die beschriebenen Angriffswege zielen auf sensible Daten, Abstürze und in einem Fall auf weitreichende Schreibrechte ab.
Was Ivanti bei den Ivanti EPM-Updates patcht
Für Endpoint Manager (EPM) meldet Ivanti Patches für vier verschiedene Schwachstellen. Drei davon werden als High Severity eingeordnet. Besonders relevant sind die zwei Remote-Szenarien, bei denen ein Angreifer die Lücke ausnutzen kann, ohne zuvor selbst eine Benutzer- oder Systemanmeldung zu besitzen.
MitM und Credential-Leak bei externer SQL-Verbindung (CVE-2026-18129)
Die Schwachstelle CVE-2026-18129 betrifft eine unzureichend geschützte Weiterleitung sensibler Informationen in Klartext. Ivanti beschreibt, dass ein Angreifer in einer Man-in-the-Middle-Position (MitM) dadurch Anmeldeinformationen für externe SQL-Verbindungen abgreifen kann.
Praktisch heißt das: Wenn ein Angreifer Netzwerkverkehr zwischen Komponenten beeinflussen oder umleiten kann, steigt das Risiko, dass Zugangsdaten offengelegt werden. Für Betreiber ist das ein klarer Hinweis, sich nicht nur auf Firewall-Regeln zu verlassen, sondern auch die Transportabsicherung und die Netzwerksegmentierung kritisch zu prüfen.
Out-of-bounds read im EPM-Agent (CVE-2026-18125)
Die zweite Remote-fähige Lücke heißt CVE-2026-18125. Sie wurde als Out-of-bounds read beschrieben und soll sich so anstoßen lassen, dass der EPM-Agent-Service abstürzt.
Auch wenn ein Crash nicht automatisch bedeutet, dass Angreifer beliebigen Code ausführen können, kann ein solcher Fehler den Betrieb stören und potenziell weitere Angriffsschritte ermöglichen. Für Security-Teams zählt daher weniger die Einordnung “nur” als Denial-of-Service, sondern vor allem der Umstand, dass die Schwachstelle gezielt von außen triggerbar sein kann.
Input Validation: Dateinamen kontrollierbar (CVE-2026-18127)
Zusätzlich schließt die EPM-Aktualisierung eine weitere High Severity-Schwachstelle: CVE-2026-18127. Laut Ivanti handelt es sich um eine Schwäche in der Input-Validierung, die entfernte Angreifer in die Lage versetzen kann, Dateinamen zu steuern.
In diesem Zusammenhang nennt Ivanti einen Angriff durch einen authentifizierten Akteur: Er könnte dadurch einen vollständigen Write-Control-Zugriff auf einen S3-Bucket erhalten, der für die Session-Aufzeichnung konfiguriert ist.
Das unterstreicht, wie eng Fehler in der Validierung mit Daten- und Rechtekonzepten zusammenhängen: Schon scheinbar “nur” manipulierte Metadaten wie Dateinamen können in Kombination mit Speicher- und Berechtigungslogik zu schwerwiegenden Folgen führen.
Welche EPM-Version das Problem löst
Ivanti gibt an, dass die beiden Sicherheitslücken CVE-2026-18129 und CVE-2026-18125 in EPM 2024 SU7 behoben wurden. Diese Version adressiert außerdem CVE-2026-18127, also die Input-Validationsschwäche, die die Kontrolle über Dateinamen ermöglichen kann.
Für Administratoren bedeutet das: Wer EPM im Einsatz hat, sollte die Wartungs- oder Update-Roadmap so planen, dass EPM 2024 SU7 zeitnah ausgerollt wird. So reduziert sich das Risiko, dass Angriffe die genannten Schwachstellen ausnutzen.
Neurons for MDM: Fix für Command-Injection
Neben dem EPM-Update betrifft Ivanti auch Neurons for MDM. Dort geht es um genau eine Schwachstelle, die als Medium Severity eingestuft wird.
Remote Command Injection mit Informationsabfluss
Ivantis Beschreibung lautet: Es handelt sich um eine Command-Injection-Schwachstelle, die sich remote ausnutzen lässt, um sensibles Informationen offenzulegen.
Die Korrektur wurde bereits in der Cloud-basierten SaaS-Plattform umgesetzt: Laut Hersteller erfolgte das Patchen in Version R124 in der zweiten Junihälfte. Ivanti betont dabei, dass keine Aktion der Kunden erforderlich ist.
Zusätzlich nennt Ivanti, dass die Lücke nicht die Kriterien erfüllte, um eine eigene CVE-Nummer zu erhalten. Außerdem gibt es nach Angaben des Unternehmens keine Hinweise, dass der Fehler in freier Wildbahn ausgenutzt wurde.
Betroffenheit: Keine weiteren Produkte im Zusammenhang
Ivanti stellt klar, dass keine weiteren Produkte von diesen konkreten Schwachstellen betroffen sind. Für Betreiber ist das wichtig, um die Priorisierung im Patch-Management zu stützen: Die Aufmerksamkeit kann auf die genannten Bereiche fokussiert werden.
Weitere technische Details sollen in der Security-Update-Ankündigung von August 2026 zu finden sein. Wer einen strukturierten Prozess für Security-Mitteilungen nutzt, kann diese Informationen dort gezielt für Change-Entscheidungen ergänzen.
Warum die Ivanti EPM-Updates jetzt relevant sind
Mehrere Punkte sprechen dafür, die Ivanti EPM-Updates nicht “auf später” zu verschieben. Erstens sind zwei der beschriebenen EPM-Schwachstellen laut Angaben des Herstellers remote und ohne Authentifizierung ausnutzbar. Zweitens zielt mindestens eine Lücke auf Credential-Leaks über Klartextübertragung in einer MitM-Position.
Ein dritter Aspekt ist der mögliche Einfluss auf die Verfügbarkeit und Integrität: Ein Out-of-bounds read kann Dienste zum Absturz bringen, während die Input-Validationsschwäche in Kombination mit Session-Aufzeichnungsdaten zu unerwünschten Schreibzugriffen auf Cloud-Speicher führen kann.
Auch wenn Ivanti keine aktiven Ausnutzungen bei Kunden zum Zeitpunkt der Veröffentlichung gemeldet hat, entspricht es guter Sicherheitsroutine, Patches zeitnah zu planen und nach dem Update die relevanten Systeme zu verifizieren.
Empfehlungen für IT-Teams beim Patchen
- Update-Zeitfenster festlegen: Priorisieren Sie EPM 2024 SU7 und planen Sie die Umsetzung inklusive Testphase.
- Netzwerkpfade prüfen: Da CVE-2026-18129 auf eine MitM-Konstellation und Klartextübertragung abzielt, lohnt sich eine Überprüfung von Transportabsicherung und Routing.
- Service-Stabilität beobachten: Bei CVE-2026-18125 sollte nach der Aktualisierung die Stabilität des EPM-Agent-Service engmaschig überwacht werden.
- Cloud-Komponenten absichern: Da S3-Bucket-Zugriffe eine Rolle spielen, prüfen Sie Berechtigungen und Grenzen der Session-Aufzeichnung.
- Neurons for MDM ohne Aufwand einplanen: Für R124 weist Ivanti darauf hin, dass keine Kundenaktion notwendig ist—trotzdem sollten Sie den Stand im Betrieb verifizieren.
Fazit
Mit den angekündigten Ivanti EPM-Updates schließt Ivanti mehrere hochriskante Schwachstellen in Endpoint Manager. Dazu zählen ein mögliches Credential-Leak über MitM und Klartextübertragung (CVE-2026-18129) sowie ein Out-of-bounds read, der den Agent-Service zum Absturz bringen kann (CVE-2026-18125). Ergänzend adressiert EPM 2024 SU7 auch die Input-Validationslücke (CVE-2026-18127), die zu kontrollierbaren Dateinamen und problematischen Schreibrechten im Kontext der Session-Aufzeichnung führen kann.
Für Neurons for MDM liefert Ivanti zudem eine bereits umgesetzte Korrektur in R124 gegen eine Command-Injection mit potenziellem Informationsabfluss—ohne dass Kunden selbst Hand anlegen müssen. Wer diese Informationen in Patch- und Sicherheitsprozesse überführt, reduziert das Risiko spürbar und verbessert die Widerstandsfähigkeit der eingesetzten Systeme.
Quelle: https://www.securityweek.com/ivanti-epm-update-patches-remotely-exploitable-flaws/
