CVE-2026-1281
Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability
Beschreibung
CVE-2026-1281 ist eine kritische Code-Injection-Schwachstelle in Ivanti Endpoint Manager Mobile (EPMM), die einem nicht authentifizierten Angreifer die Ausfuehrung von Remote Code ermoeglicht. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 9.8 (CRITICAL) und betrifft EPMM Versionen bis einschliesslich 12.5.0.0, 12.5.1.0, 12.6.0.0, 12.6.1.0 und 12.7.0.0.
Die CISA hat CVE-2026-1281 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 57.41 % (98.1. Perzentil) positioniert diese Schwachstelle unter den am haeufigsten ausgenutzten weltweit. Ivanti EPMM ist eine weit verbreitete Mobile Device Management (MDM) Loesung, deren Kompromittierung den Zugriff auf saemtliche verwalteten Mobilgeraete eines Unternehmens ermoeglichen kann.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager mobile | <= 12.5.0.0; 12.5.1.0; 12.6.0.0; 12.6.1.0; 12.7.0.0 |
Referenzen
Schwachstellentyp
CWE-94: Code Injection
CVE-2026-1281 basiert auf CWE-94 (Code Injection), einer Schwachstellenklasse, bei der ein Angreifer eigenen Code in den Ausfuehrungskontext einer Anwendung einschleusen kann. Im Unterschied zur OS Command Injection (CWE-78) wird bei Code Injection der eingeschleuste Code von der Laufzeitumgebung der Anwendung selbst interpretiert und ausgefuehrt, nicht direkt von einer Betriebssystem-Shell.
Im Fall von Ivanti EPMM ermoeglicht die Code-Injection einem nicht authentifizierten Angreifer, beliebigen Code im Kontext der EPMM-Anwendung auszufuehren. Da EPMM als privilegierter Dienst laeuft, der Mobilgeraete verwaltet, fuehrt die erfolgreiche Ausnutzung nicht nur zur Kompromittierung des EPMM-Servers, sondern potenziell aller verwalteten Mobilgeraete. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-1281 sind aufgrund der zentralen Rolle von EPMM als Mobile Device Management System katastrophal. Vertraulichkeit: Ein kompromittierter EPMM-Server gibt dem Angreifer Zugriff auf die Konfigurationen, Zugangsdaten und Verwaltungsdaten aller verwalteten Mobilgeraete. Dies umfasst E-Mail-Konfigurationen, VPN-Profile, Wi-Fi-Zugangsdaten, Zertifikate und moeglicherweise unternehmensinterne Dokumente, die ueber die MDM-Loesung verteilt wurden (C:H).
Integritaet: Mit der Kontrolle ueber den EPMM-Server kann der Angreifer schadhafte Profile und Konfigurationen auf verwaltete Geraete verteilen, Sicherheitsrichtlinien aendern, Apps installieren oder entfernen und die Geraeteverwaltung fuer weitere Angriffe missbrauchen (I:H). Verfuegbarkeit: Der Angreifer kann die MDM-Infrastruktur deaktivieren, Geraete aus der Verwaltung entfernen oder zuruecksetzen und den gesamten mobilen Arbeitsbetrieb stoeren. Ein Remote-Wipe aller verwalteten Geraete waere ein katastrophaler Verfuegbarkeitsverlust (A:H). Der EPSS-Score von 57.41 % bestaetigt die massive aktive Ausnutzung. Ivanti-Produkte waren in juengster Zeit wiederholt Ziel fortgeschrittener Angriffe, was die Dringlichkeit erhoehrt.
Exploit-Reifegrad
CVE-2026-1281 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 57.41 % (98.1. Perzentil) zeigt massive aktive Ausnutzung.
Ivanti hat ein Security Advisory veroeffentlicht, das Patches und Mitigationsmassnahmen beschreibt. Die CISA KEV-Listung bestaetigt die aktive Ausnutzung. Ivanti-Produkte, insbesondere EPMM (frueher MobileIron), waren in den vergangenen Jahren wiederholt Ziel von APT-Gruppen und staatlich gestuetzten Angreifern. Die Kombination aus fehlender Authentifizierung und der Moeglichkeit zur Remote Code Execution macht diese Schwachstelle zu einem bevorzugten Einfallstor fuer hochentwickelte Angriffe.
Behebung
-
Ivanti EPMM-Patch sofort installieren: Wenden Sie den von Ivanti bereitgestellten Sicherheitspatch umgehend an. Konsultieren Sie das offizielle Security Advisory fuer spezifische Patch-Informationen und Installationsanweisungen. Das Advisory adressiert sowohl CVE-2026-1281 als auch die verwandte Schwachstelle CVE-2026-1340.
-
Netzwerkzugriff auf EPMM sofort einschraenken: Beschraenken Sie den Zugriff auf den EPMM-Server auf autorisierte Geraete und Netzwerke. Implementieren Sie eine Web Application Firewall (WAF) und stellen Sie sicher, dass der EPMM-Administrationsport nicht oeffentlich erreichbar ist.
-
Forensische Analyse durchfuehren: Angesichts des extrem hohen EPSS-Scores von 57.41 % sollte davon ausgegangen werden, dass exponierte Installationen angegriffen wurden. Pruefen Sie Server-Logs auf verdaechtige Anfragen, unbekannte Benutzerkonten, ungewoehnliche Geraeteregistrierungen und nicht autorisierte Profilaenderungen.
-
MDM-Konfigurationen und -Profile ueberpruefen: Pruefen Sie alle auf verwaltete Geraete verteilten Profile und Konfigurationen auf unautorisierte Aenderungen. Achten Sie insbesondere auf neue oder veraenderte E-Mail-Konfigurationen, VPN-Profile und installierte Zertifikate.
-
Zugangsdaten und Zertifikate rotieren: Erneuern Sie alle Zertifikate, die vom EPMM-Server verwaltet werden, sowie saemtliche Administrator-Zugangsdaten. Wenn der EPMM-Server Zugang zu Active Directory oder LDAP hat, pruefen Sie auch diese Zugangsdaten auf moegliche Kompromittierung.
Technische Details
CVE-2026-1281 betrifft Ivanti Endpoint Manager Mobile (EPMM) in den Versionen bis einschliesslich 12.5.0.0, 12.5.1.0, 12.6.0.0, 12.6.1.0 und 12.7.0.0. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den hoechstmoeglichen Angriffsvektor: Netzwerkzugriff (AV:N), geringe Komplexitaet (AC:L), keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N).
Die zugrunde liegende Code Injection (CWE-94) ermoeglicht es einem nicht authentifizierten Angreifer, Code in den Ausfuehrungskontext der EPMM-Anwendung einzuschleusen. Ivanti EPMM (frueher MobileIron Core) ist eine Java-basierte Enterprise-MDM-Loesung, die auf Apache Tomcat laeuft. Die Code-Injection-Schwachstelle wird ueber einen oeffentlich erreichbaren API-Endpunkt ausgeloest, der eingehende Daten ohne ausreichende Validierung verarbeitet.
Die erfolgreiche Ausnutzung gibt dem Angreifer die Kontrolle ueber den EPMM-Server und damit potenziell ueber alle verwalteten Mobilgeraete. EPMM verwaltet typischerweise Tausende von Geraeten in Unternehmen und Behoerden und hat Zugriff auf E-Mail-Systeme, VPN-Infrastruktur und interne Ressourcen. Das Advisory erwaehnt auch CVE-2026-1340 als verwandte Schwachstelle, was auf mehrere Angriffspfade hindeutet. Betroffene Versionen umfassen EPMM 12.5.0.0 bis einschliesslich 12.7.0.0.
Häufig gestellte Fragen
Was ist Ivanti EPMM und warum ist die Schwachstelle so kritisch?
Ivanti Endpoint Manager Mobile (EPMM, frueher MobileIron Core) ist eine Enterprise-Loesung zur Verwaltung von Mobilgeraeten (MDM). Sie kontrolliert Sicherheitsrichtlinien, App-Verteilung, E-Mail-Konfiguration und Geraetezugriff fuer Tausende von Smartphones und Tablets. Eine Kompromittierung gibt dem Angreifer potenziell Kontrolle ueber alle verwalteten Mobilgeraete.
Kann CVE-2026-1281 ohne Authentifizierung ausgenutzt werden?
Ja, die Schwachstelle erfordert keine Authentifizierung (PR:N). Ein Angreifer, der Netzwerkzugriff auf den EPMM-Server hat, kann die Code Injection ohne jegliche Zugangsdaten ausfuehren. Dies macht die Schwachstelle besonders gefaehrlich fuer EPMM-Installationen, die oeffentlich erreichbar sind.
Welche EPMM-Versionen sind betroffen?
Betroffen sind EPMM Versionen bis einschliesslich 12.5.0.0, 12.5.1.0, 12.6.0.0, 12.6.1.0 und 12.7.0.0. Ivanti hat Patches bereitgestellt, die ueber das offizielle Security Advisory verfuegbar sind. Ein sofortiges Update wird dringend empfohlen.
Wurden Ivanti-Produkte bereits frueher angegriffen?
Ja, Ivanti-Produkte waren in den vergangenen Jahren wiederholt Ziel hochentwickelter Angriffe. Insbesondere EPMM und Ivanti Connect Secure VPN wurden von APT-Gruppen ausgenutzt. Die CISA hat bereits mehrere Ivanti-Schwachstellen in den KEV-Katalog aufgenommen, was die anhaltende Bedrohung unterstreicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.