CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2026-1340

Code injection w Ivanti EPMM umożliwiający nieuwierzytelniony RCE

CVSS 9.8v3.1pub. 2026-01-29upd. 2026-04-09

Podatność typu code injection w Ivanti Endpoint Manager Mobile (EPMM) pozwala atakującemu na zdalne wykonanie kodu bez uwierzytelnienia. Ze względu na brak wymagań dotyczących autoryzacji oraz pełen wpływ na poufność, integralność i dostępność systemu, podatność otrzymała ocenę CVSS 9.8 (CRITICAL).

▸ Pokaż oryginał (EN)

A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie sieciowe do podatnego komponentu Ivanti EPMM bez konieczności posiadania jakichkolwiek poświadczeń. Luka klasy code injection (CWE-94) pozwala na wstrzyknięcie i wykonanie dowolnego kodu po stronie serwera. Wektor ataku jest sieciowy (AV:N), nie wymaga interakcji użytkownika ani wysokich uprawnień, co czyni go trivialnym do przeprowadzenia z dowolnego miejsca w sieci.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem Ivanti EPMM, w tym odczytać lub zmodyfikować dane oraz zakłócić działanie systemu zarządzania urządzeniami mobilnymi. W konsekwencji możliwy jest dostęp do zarządzanych urządzeń końcowych, danych użytkowników i infrastruktury organizacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły w oficjalnym advisory Ivanti dostępnym pod adresem podanym w referencjach. Ze względu na aktywne eksploatowanie podatności w środowisku produkcyjnym aktualizacja powinna zostać przeprowadzona bezzwłocznie.

Kogo dotyczy

Ivanti Endpoint Manager Mobile (EPMM) — wersje wskazane w referencjach producenta (advisory Ivanti: CVE-2026-1281 / CVE-2026-1340)

Uwagi

Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities, co potwierdza aktywne wykorzystywanie jej w środowiskach produkcyjnych. Advisory producenta obejmuje również powiązaną podatność CVE-2026-1281.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ivanti Endpoint Manager Mobile
APP
Ivanti
≤ 12.7.0.0

CISA KEV — szczegółyi

Dostawcai: Ivanti ↗
Produkti: Endpoint Manager Mobile (EPMM)
Data dodania do KEVi: 8 kwietnia 2026
Termin remediation (USA)i: 11 kwietnia 2026(po terminie)

🔧Advisory Ivanti↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług chmurowych lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Ivanti Endpoint Manager Mobile (EPMM) zawiera lukę podatności code injection, która umożliwia atakującym uzyskanie niezaakceptowanego remote code execution.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Ivanti Endpoint Manager Mobile (EPMM) contains a code injection vulnerability that could allow attackers to achieve unauthenticated remote code execution.

🔴