Mobile-Menu

EUVD-2026-28396 / CVE-2026-6973 Ivanti EPMM-Schwachstelle in Zero-Day-Angriffen ausgenutzt

Von Melanie Staudacher 2 min Lesedauer

Ivanti patcht fünf Sicherheitslücken in EPMM. Eine davon wird als Zero‑Day bereits aktiv ausgenutzt und erlaubt Codeausführung. Ehemalige Angriffe sowie eine Aufforderung der CISA verdeutlichen das Risiko.

Bei erfolgreicher Ausnutzung einer Zero‑Day‑Schwachstelle in Ivanti EPMM können Cyberangreifer Remote Code ausführen.(Bild: © Creative_Bringer - stock.adobe.com)
Bei erfolgreicher Ausnutzung einer Zero‑Day‑Schwachstelle in Ivanti EPMM können Cyberangreifer Remote Code ausführen.
(Bild: © Creative_Bringer - stock.adobe.com)

Ivanti hat jüngst ein Update für fünf Sicherheitslücken bereitgestellt, die seinen Endpoint Manager Mobile (EPMM) betreffen. Die Schwachstelle EUVD-2026-28396 / CVE-2026-6973 (CVSS-Score 7.2, EPSS-Score* 5.01) wird bereits aktiv in Zero-Day-Angriffen ausgenutzt.

Schnelles Handeln gefragt

Die Schwachstelle beruht auf einer fehlerhaften Eingabevalidierung und ermöglicht es An­greifern, die über Administratorrechte verfügen, beliebigen Code auf anfälligen Instanzen auszuführen.

„Uns ist eine sehr begrenzte Anzahl von Kunden bekannt, die über die Schwachstelle CVE­2026-6973 angegriffen wurden“, erklärte der Hersteller in seiner Sicherheitswarnung. Diese Meldung erschien am 7. Mai 2026. Nachdem die Schwachstelle als aktiv ausgenutzt bestätigt wurde, gab die US-amerikanische Cybersicherheitsbehörde CISA den dortigen Behörden bis zum 10. Mai Zeit, die Sicherheitslücke zu beheben. Diese kurze Frist von nur drei Tage betont das große Risiko.

Neben EUVD-2026-28396 / CVE-2026-6973 musste Ivanti noch weitere Fehler in seiner Software der Versionen 12.8.0.0 und früher beheben. Die gepatchten Versionen sind 12.6.1.1, 12.7.0.1 und 12.8.0.1.

ID Beschreibung Risiko
EUVD-2026-28394 / CVE-2026-5787 Eine fehlerhafte Zertifikatsvalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, sich als registrierte Sentry-Hosts auszugeben und gültige, von einer Certification Authority (CA) signierte Client-Zertifikate zu erhalten. CVSS-Score 8.9, EPSS-Score 0.05
EUVD-2026-28393 / CVE-2026-5786 Eine unzureichende Zugriffskontrolle in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem entfernten, authentifizierten Angreifer, administrativen Zugriff zu erlangen. CVSS-Score 8.8, EPSS-Score 0.35
EUVD-2026-28397 / CVE-2026-7821 Eine fehlerhafte Zertifikatsvalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, ein Gerät aus einer eingeschränkten Menge nicht registrierter Geräte zu registrieren. Dies führt zur Offenlegung von Informationen über die EPMM-Appliance und beeinträchtigt die Integrität der Identität des neu registrierten Geräts. CVSS-Score 7.4, EPSS-Score 0.05
EUVD-2026-28396 / CVE-2026-6973 Eine unzureichende Eingabevalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem aus der Ferne authentifizierten Benutzer mit administrativen Rechten, eine Remotecodeausführung zu erreichen. (CVSS-Score 7.2, EPSS-Score 5.01)
EUVD-2026-28395 / CVE-2026-5788 Eine unzureichende Zugriffskontrolle in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, beliebige Methoden aufzurufen. CVSS-Score 7.0, EPSS-Score 0.19

„Sollten Kunden der im Januar von Ivanti ausgesprochenen Empfehlung gefolgt sein, ihre Zu­gangsdaten zu erneuern, falls sie von den Schwachstellen CVE-2026-1281 und CVE-2026-1340 betroffen waren, so ist ihr Risiko, über CVE-2026-6973 angegriffen zu werden, deutlich ver­ringert“, ergänzt Ivanti in seinem Hinweis. Die im Januar-Hinweis behandelten Schwach­stellen beschreiben Code Injections. Auch diese wurden bei Zero-Day-Attacken ausgenutzt, bevor Ivanti Kenntnis davon erlangte. Spätere Berichte enthüllten, dass die Europäische Kom­mission, die niederländische Datenschutzbehörde sowie Finnlands zentrales ICT-Dienst­leis­tungs­zentrum der Regierung unter den damaligen Opfern waren.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50841275)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte