CVE-2026-1340
Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability
Beschreibung
CVE-2026-1340 ist eine kritische Code-Injection-Schwachstelle in Ivanti Endpoint Manager Mobile (EPMM), die unauthentifizierten Angreifern die Ausfuehrung beliebigen Codes auf betroffenen Appliances ermoeglicht. Die Schwachstelle befindet sich in den RPM-Skripten map-appstore-url und map-aft-store-url und wird haeufig zusammen mit CVE-2026-1281 in einer Exploit-Kette eingesetzt. Betroffen sind alle EPMM-Versionen bis einschliesslich 12.7.x. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 73.8 % stellt CVE-2026-1340 eine aussergewoehnlich hohe Bedrohung dar.
Die CISA hat CVE-2026-1340 am 8. April 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 11. April 2026 — eine der kuerzesten Fristen, die auf die Dringlichkeit der Bedrohung hinweist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager mobile | <= 12.7.0.0 |
Referenzen
- https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-1340(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code (Code Injection)
CVE-2026-1340 wird unter CWE-94 (Code Injection) klassifiziert. Diese Schwaeche tritt auf, wenn eine Anwendung extern bereitgestellte Eingaben in generierten Code einbezieht, ohne diese ausreichend zu validieren oder zu neutralisieren. Ein Angreifer kann dadurch beliebigen Code in den Ausfuehrungskontext der Anwendung einschleusen.
Bei CVE-2026-1340 akzeptieren die RPM-Skripte des EPMM-Servers unkontrollierte Eingaben, die direkt in ausfuehrbaren Code uebernommen werden. Dies ermoeglicht einem Angreifer ohne vorherige Authentifizierung, beliebige Systembefehle auf der EPMM-Appliance auszufuehren und vollstaendige Kontrolle ueber das System zu erlangen.
Mehr erfahren: CWE-94 — Code Injection
Auswirkungsanalyse
CVE-2026-1340 traegt einen CVSS v3.1-Basisscore von 9.8 (CRITICAL) und ist netzwerkbasiert mit niedriger Angriffskomplexitaet ausnutzbar. Es sind weder Authentifizierung noch Benutzerinteraktion erforderlich.
Vertraulichkeit (High): Ein Angreifer erlangt vollstaendigen Zugriff auf die EPMM-Appliance, einschliesslich aller verwalteten Mobilgeraetedaten, Konfigurationen, Zertifikate und gespeicherten Zugangsdaten. Da EPMM als zentrale Verwaltungsplattform fuer mobile Endgeraete dient, koennen auch sensitive Unternehmensdaten auf verwalteten Geraeten kompromittiert werden.
Integritaet (High): Der Angreifer kann Web-Shells, Reverse Shells, Cryptominer und persistente Backdoors installieren. Die vollstaendige Kontrolle ueber die EPMM-Instanz ermoeglicht die Manipulation von Mobilgeraete-Policies, das Einschleusen schaedlicher Profile und die Kompromittierung der gesamten Mobilgeraeteverwaltung.
Verfuegbarkeit (High): Die Ausfuehrung von Cryptominern und anderen schaedlichen Payloads beeintraechtigt die Systemleistung. Der Angreifer kann den EPMM-Dienst vollstaendig lahmlegen und damit die Verwaltung aller angebundenen Mobilgeraete unterbrechen.
Der EPSS-Score von 73.8 % und die extrem kurze KEV-Behebungsfrist von nur 3 Tagen unterstreichen die akute Bedrohungslage.
Exploit-Reifegrad
CVE-2026-1340 weist eine sehr hohe Exploit-Reife mit bestaetigter aktiver Ausnutzung in freier Wildbahn auf. Die CISA hat die Schwachstelle am 8. April 2026 in den KEV-Katalog aufgenommen, mit einer aussergewoehnlich kurzen Behebungsfrist bis zum 11. April 2026. Der EPSS-Score von 73.8 % bestaetigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Die Schwachstelle wird in der Praxis zusammen mit CVE-2026-1281 in einer Exploit-Kette ausgenutzt. Beobachtete Post-Exploitation-Aktivitaeten umfassen die Installation von Web-Shells fuer persistenten Zugriff, Reverse Shells fuer interaktive Kontrolle, Cryptominer zur Ressourcenausbeutung sowie persistente Backdoors. Die Verkettung beider Schwachstellen ermoeglicht einen vollstaendigen Angriffspfad von der initialen Kompromittierung bis zur dauerhaften Persistenz.
Ivanti EPMM ist ein hochattraktives Ziel, da es als zentrale Verwaltungsplattform Zugriff auf zahlreiche Mobilgeraete und deren Daten bietet. Fruehere Ivanti-Schwachstellen wurden wiederholt von staatlichen Akteuren und organisierten Cyberkriminellen ausgenutzt.
Behebung
-
Sofort RPM-Skript-Patches einspielen: Ivanti hat am 29. Januar 2026 aktualisierte RPM-Skripte veroeffentlicht. Diese Patches muessen umgehend auf allen EPMM-Instanzen eingespielt werden, sofern ein Upgrade auf 12.8.0.0 nicht sofort moeglich ist.
-
Upgrade auf EPMM 12.8.0.0 durchfuehren: Version 12.8.0.0 enthaelt den permanenten Fix fuer CVE-2026-1340. Alle EPMM-Installationen sollten schnellstmoeglich auf diese Version aktualisiert werden.
-
Kompromittierungsindikatoren pruefen: Untersuchen Sie alle EPMM-Appliances auf Anzeichen einer Kompromittierung. Suchen Sie nach unbekannten Web-Shells, unautorisierten Benutzerkonten, verdaechtigen Prozessen (insbesondere Cryptominer) und unerwarteten Netzwerkverbindungen.
-
Netzwerkzugriff auf EPMM-Verwaltungsoberflaechen einschraenken: Beschraenken Sie den Zugriff auf die EPMM-Administration ueber Netzwerksegmentierung und Firewall-Regeln auf autorisierte IP-Bereiche. Die Verwaltungsoberflaeche sollte niemals direkt aus dem Internet erreichbar sein.
-
Protokollierung und Monitoring verstaerken: Aktivieren Sie umfassendes Logging auf EPMM-Appliances und leiten Sie Protokolle an ein zentrales SIEM weiter. Ueberwachen Sie insbesondere auf anomale API-Aufrufe, Prozessstarts und ausgehende Netzwerkverbindungen.
-
Auch CVE-2026-1281 adressieren: Da beide Schwachstellen in einer Exploit-Kette ausgenutzt werden, muss CVE-2026-1281 ebenfalls behoben werden, um den Angriffspfad vollstaendig zu schliessen.
Technische Details
CVE-2026-1340 ist eine Code-Injection-Schwachstelle in Ivanti Endpoint Manager Mobile (EPMM). Der Fehler befindet sich in den RPM-Skripten map-appstore-url und map-aft-store-url, die auf der EPMM-Appliance ausgefuehrt werden. Diese Skripte verarbeiten extern bereitgestellte Eingaben ohne ausreichende Validierung und uebergeben diese direkt an ausfuehrbaren Code. Ein unauthentifizierter Angreifer kann praeparierte Anfragen an die EPMM-Appliance senden, die dazu fuehren, dass beliebiger Code im Kontext des Webservers ausgefuehrt wird. In Kombination mit CVE-2026-1281 entsteht eine vollstaendige Exploit-Kette, die es ermoeglicht, von einem initialen Zugriffspunkt aus die vollstaendige Kontrolle ueber die Appliance zu erlangen. Die beobachteten Payloads umfassen Web-Shells (fuer persistenten HTTP-basierten Zugriff), Reverse Shells (fuer interaktive Kommandozeilensteuerung), Cryptominer sowie persistente Backdoors, die System-Neustarts ueberleben. Betroffen sind alle EPMM-Versionen bis einschliesslich 12.7.x.
Häufig gestellte Fragen
Wird CVE-2026-1340 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-1340 am 8. April 2026 in den KEV-Katalog aufgenommen. Der EPSS-Score von 73.8 % bestaetigt eine extrem hohe Ausnutzungswahrscheinlichkeit. In freier Wildbahn wurden Web-Shells, Reverse Shells und Cryptominer als Post-Exploitation-Payloads beobachtet.
Welche Produkte sind von CVE-2026-1340 betroffen?
Betroffen ist Ivanti Endpoint Manager Mobile (EPMM) in allen Versionen bis einschliesslich 12.7.x. Der permanente Fix ist in Version 12.8.0.0 enthalten. Zwischenpatches fuer die RPM-Skripte wurden am 29. Januar 2026 veroeffentlicht.
Wie behebe ich CVE-2026-1340?
Spielen Sie umgehend die RPM-Skript-Patches ein und fuehren Sie ein Upgrade auf EPMM 12.8.0.0 durch. Pruefen Sie alle EPMM-Instanzen auf Kompromittierungsindikatoren. Beachten Sie, dass auch CVE-2026-1281 adressiert werden muss, da beide Schwachstellen in einer Exploit-Kette ausgenutzt werden.
Wie schwerwiegend ist CVE-2026-1340?
Mit einem CVSS-Score von 9.8 (CRITICAL), einem EPSS-Score von 73.8 % und einer KEV-Behebungsfrist von nur 3 Tagen gehoert CVE-2026-1340 zu den kritischsten Schwachstellen. Die unauthentifizierte Remote-Code-Ausfuehrung auf einer zentralen Mobilgeraete-Verwaltungsplattform stellt ein erhebliches Risiko fuer Unternehmen dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.