Ivanti Endpoint Manager: SQL-Injection ermöglicht Codeausführung ohne Anmeldung

Ivanti hat am 10. November 2026 zwei kritische Lücken in seiner Endpoint-Management-Plattform geschlossen. In Ivanti Endpoint Manager (EPM) erlaubt eine SQL-Injection im Core-Server Codeausführung ohne Anmeldung (CVE-2026-121653, CVSS 9.8), behoben in EPM 2024 SU8. In der Cloud Services Application (CSA) 5.0.8 können Angreifer ohne Anmeldung vertrauenswürdige Zertifikatseinträge des EPM-Core anlegen und löschen (CVE-2026-121683, CVSS 9.4), behoben in CSA 5.0.8.1.

Betroffen sind alle Installationen mit EPM 2024 SU7 oder älter sowie CSA in genau der Version 5.0.8. CSA 5.0.7 und älter ist laut Ivanti nicht betroffen. Eine Ausnutzung ist dem Hersteller nicht bekannt. Eigene Einschätzung: Da EPM zur Verwaltung und Softwareverteilung im ganzen Netz dient, gehört das Update in das nächste kurzfristige Wartungsfenster.

Was ist passiert?

Ivanti veröffentlicht Sicherheitsupdates regelmäßig am zweiten Dienstag des Monats. Im November betreffen die Hinweise User Workspace Manager, Sentry, Endpoint Manager Mobile, Cloud Services Application und Endpoint Manager. Die beiden kritischen Fälle beschreibt Ivanti so:

• CVE-2026-121653 (EPM, CVSS 9.8): SQL-Injection im Core von EPM vor 2024 SU8, über die ein nicht angemeldeter Angreifer aus dem Netz Code ausführen kann.
• CVE-2026-121683 (CSA, CVSS 9.4): Fehlende Authentifizierung in CSA 5.0.8, über die ein nicht angemeldeter Angreifer beliebige vertrauenswürdige Zertifikatseinträge des EPM-Core anlegen und löschen kann.

Mit EPM 2024 SU8 schließt Ivanti außerdem CVE-2026-18128 (CVSS 6.8): Der EPM-Agent überträgt sensible Daten im Klartext, ein Angreifer in einer Man-in-the-Middle-Position kann HTTP-Verkehr mitlesen und verändern. Ivanti gibt an, bei der Fehlersuche inzwischen auch große Sprachmodelle einzusetzen, und rechnet deshalb mit mehr Meldungen.

Wer ist betroffen?

• Ivanti Endpoint Manager 2024 SU7 und älter. Abhilfe: EPM 2024 SU8, erhältlich über ILS.
• Ivanti Cloud Services Application 5.0.8. Abhilfe: CSA 5.0.8.1. Ältere Versionen bis 5.0.7 sind nicht betroffen.

Die CSA ist eine Komponente von Ivanti EPM. Läuft sie wie von Ivanti empfohlen mit zwei Netzwerkkarten, ist die Lücke laut Hersteller nur über die interne Schnittstelle erreichbar und nicht von außen ausnutzbar.

Wie kritisch ist das?

Die EPM-Lücke ist eine Codeausführung ohne Anmeldung auf dem zentralen Verwaltungsserver. Eigene Einschätzung: Wer diesen Server übernimmt, hat potenziell Zugriff auf die verwalteten Rechner. Bei der CSA-Lücke hängt das Risiko an der Konfiguration. Ivanti nennt als Folge nur, dass Angreifer vertrauenswürdige Zertifikatseinträge des EPM-Core anlegen und löschen können. Was sich daraus konkret machen lässt, beschreibt der Hersteller nicht. Indikatoren für eine Kompromittierung gibt es laut Ivanti noch nicht, weil keine Ausnutzung bekannt ist.

Was sollten Admins jetzt tun?

Ivanti nennt als Lösung nur das Update, dazu kommen eigene Empfehlungen:

• Inventar: Version des EPM-Core und, falls vorhanden, der CSA feststellen.
• EPM auf 2024 SU8 aktualisieren, CSA 5.0.8 auf 5.0.8.1 heben.
• Prüfen, ob die CSA mit getrennter interner und externer Netzwerkkarte betrieben wird.
• Den Zugriff auf den EPM-Core auf Admin-Netze und verwaltete Geräte beschränken, der Core gehört nicht ins Internet.
• Logs von Core und CSA auf ungewöhnliche Anfragen und Änderungen an Zertifikatseinträgen prüfen, die übrigen November-Hinweise von Ivanti zu Sentry, EPMM und UWM gegen das eigene Inventar abgleichen.

Einordnung für Unternehmen

Ivanti-Produkte waren in der Vergangenheit wiederholt Ziel von Angriffen, zuletzt über Lücken in Connect Secure. Für die neuen EPM- und CSA-Fehler sind zwar noch keine Angriffe bekannt, Systeme zur Softwareverteilung sind aber ein lohnendes Ziel. Eigene Einschätzung: Wer EPM betreibt, sollte SU8 nicht bis zum nächsten Quartalsupdate aufschieben.

Passende Anleitungen auf S-EDV

• Ivanti Connect Secure: Zwei weitere ausgenutzte Lücken gepatcht
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi

Quellen

• Ivanti: Sicherheitshinweis Endpoint Manager November 2026
• Ivanti: Sicherheitshinweis CSA zu CVE-2026-121683
• Ivanti: Blog zum November-Update
• SecurityWeek: Citrix und Ivanti schließen kritische Lücken