CVE-2026-6973
Ivanti Endpoint Manager Mobile (EPMM) Improper Input Validation Vulnerability
Beschreibung
CVE-2026-6973 ist eine HIGH-Schwachstelle durch unzureichende Eingabevalidierung in Ivanti Endpoint Manager Mobile (EPMM), einer Unified-Endpoint-Management-Plattform zur Bereitstellung, Absicherung und Konfiguration unternehmensweiter Mobilflotten. Die Schwachstelle in EPMM-Versionen vor 12.6.1.1, 12.7.0.1 und 12.8.0.1 erlaubt einem remote authentifizierten Benutzer mit administrativen Rechten Remote Code Execution auf dem EPMM-Server, mit einem CVSS-3.1-Score von 7.2. Eine erfolgreiche Ausnutzung verschafft dem Angreifer Codeausführung auf dem Management-Server, der jede registrierte Mobilgerät steuert, einschließlich Certificate Authority, MDM-Policies und App-Verteilung. CISA hat CVE-2026-6973 am 7. Mai 2026 mit einer Drei-Tages-Patch-Frist 10. Mai 2026 in den KEV-Katalog aufgenommen, was beobachtete Ausnutzung in freier Wildbahn signalisiert. Der EPSS-Score von 0.050 (89,8. Perzentil) reflektiert erhöhten Ausnutzungsdruck im Vergleich zur breiten CVE-Population.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager mobile | < 12.6.1.1; 12.7.0.0; 12.8.0.0 |
Referenzen
Schwachstellentyp
CWE-20: Unzureichende Eingabevalidierung
CWE-20 beschreibt eine Fehlerklasse, bei der ein Produkt Eingaben, die den Kontrollfluss oder Daten an sensible Operationen beeinflussen, nicht oder fehlerhaft validiert. In CVE-2026-6973 akzeptiert ein administrativer Endpunkt von Ivanti EPMM von Angreifern beeinflusste Eingaben und reicht sie an einen Sink weiter, der letztlich Code ausführt, ohne ausreichende Prüfungen, dass die Eingabe zur erwarteten Domäne gehört. Der Bug ist für remote authentifizierte Benutzer mit administrativen Rechten erreichbar, also nicht direkt ein Pre-Auth-Problem. Allerdings sind EPMM-Administrator-Konten hochwertige Ziele, die routinemäßig im Fokus von Phishing, Credential-Stuffing und Lateral-Movement-Ketten stehen, und jede erfolgreiche Kompromittierung eines Administrator-Kontos wandelt sich direkt in vollständige Codeausführung auf dem Server.
Mehr erfahren: CWE-20 — Improper Input Validation
Auswirkungsanalyse
CVE-2026-6973 hat einen CVSS-3.1-Score von 7.2 (HIGH) mit Vektor AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. Das High-Attribut für erforderliche Privilegien deckelt den Score unterhalb des Unauthenticated-RCE-Bands, die Impact-Bewertungen bleiben jedoch einheitlich High auf Vertraulichkeit, Integrität und Verfügbarkeit. EPMM ist die Management-Ebene für jedes registrierte Mobilgerät im Deployment: Ein Angreifer mit Codeausführung auf dem EPMM-Server kann MDM-Konfigurationspolicies lesen und modifizieren, beliebige Applikationen auf verwaltete Geräte ausrollen, Geräte-Zertifikate und VPN-Profile extrahieren, Compliance- und Conditional-Access-Entscheidungen verändern sowie Unternehmensdaten exfiltrieren, die durch die Plattform fließen. EPMM ist in den meisten Umgebungen in Identitäts- und Access-Workflows integriert, sodass ein kompromittierter EPMM-Server zugleich Sprungbrett in Corporate SSO, Active Directory und die Mobile-App-Oberfläche der Organisation ist. Die historische Bilanz von Ivanti EPMM (und seines Vorgängers MobileIron Core) zeigt, dass CVEs in dieser Produktreihe routinemäßig mit anderen Ivanti-Issues verkettet werden, um pre-authenticated Remote Code Execution zu erreichen.
Exploit-Reifegrad
Öffentliche Exploits: Zum Zeitpunkt der Veröffentlichung ist noch kein öffentlicher Proof-of-Concept-Code erschienen. Ivanti hat die Schwachstelle im Mai-2026 EPMM Security Advisory veröffentlicht, das mehrere CVEs desselben Release-Zyklus abdeckt. Historisch wurden Ivanti-EPMM-CVEs routinemäßig innerhalb weniger Tage aus Patches reverse-engineered, sodass Exploit-Code zeitnah erwartet werden muss. Aktive Ausnutzung: CISA hat CVE-2026-6973 am 7. Mai 2026 mit Patch-Frist 10. Mai 2026 in den KEV-Katalog aufgenommen. Das Drei-Tages-Fenster signalisiert bestätigte Ausnutzung gegen deployte EPMM-Instanzen. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 0.050 (89,8. Perzentil) ordnet die CVE trotz der Privileges-Required-Mitigation deutlich über die Population-Baseline ein. Praktisches Risiko: EPMM-Administrator-Credentials sind wiederkehrende Ziele von Credential-Stuffing- und Phishing-Kampagnen. Wo eine Organisation keine phishing-resistente MFA für EPMM-Admin-Konten erzwingt, ist die Privileges-Required-Barriere fragil, und Ausnutzung sollte gegen jeden ungepatchten EPMM-Server als machbar angenommen werden.
Behebung
- Ivanti EPMM sofort auf ein gepatchtes Release aktualisieren. Gepatchte Versionen sind 12.6.1.1, 12.7.0.1 und 12.8.0.1 über die unterstützten Wartungs-Branches. Bestätigen Sie die laufende Version auf jedem EPMM-Server (primäre und Disaster-Recovery-Paare) sowie auf allen Sentry-, Cloud- oder Connector-Komponenten im Deployment, gemäß dem Vorgehen im Ivanti Mai-2026 Security Advisory.
- EPMM-Administrator-Authentifizierung härten. Da die Schwachstelle administrative Rechte erfordert, ist die wirkungsvollste kompensierende Maßnahme, Administrator-Credentials für Angreifer unerreichbar zu machen. Erzwingen Sie phishing-resistente MFA (FIDO2-Hardware-Keys, Platform Passkeys oder Smartcards) für jedes EPMM-Administrator-Konto. Deaktivieren Sie reine Passwort-Authentifizierung für die Admin-Schnittstelle und verlangen Sie einen authentifizierten VPN- oder Zero-Trust-Access-Broker vor der EPMM-Management-URL.
- Auf Kompromittierung prüfen. Auditieren Sie EPMM-Admin-Login-Logs ab mindestens 1. April 2026 auf ungewöhnliche erfolgreiche Authentifizierungen, Sitzungen aus unbekannten IP-Bereichen oder neue Administrator-Konten. Inspizieren Sie die EPMM-Server-Dateisysteme auf unerwartete Dateien in Web-Roots, ungewöhnliche geplante Aufgaben und veränderte Konfigurationsdateien. Prüfen Sie MDM-Policy- und App-Deployment-Änderungen auf Einträge, die keiner bekannten Change-Request entsprechen.
- Administrative Privilegien einschränken. Wenden Sie Least-Privilege-Rollenzuweisungen auf der EPMM-Plattform an: Stufen Sie Administrator-Konten nach Funktion (Geräte-Support, Policy-Management, Integration) ein, beschränken Sie die höchstprivilegierten Rollen auf eine kleine namentlich benannte Gruppe und prüfen Sie delegierte Administrations-Grants quartalsweise.
- Langfristige Härtung. Wenden Sie das CWE-20-Mitigationsprinzip auf interne Management-Schnittstellen an: Jeder Parameter muss vor dem Erreichen sensibler Operationen gegen eine explizite Allowlist validiert werden, besonders auf Endpunkten, die Prozess-Ausführung oder Dateipfade berühren. Integrieren Sie Ivanti-Security-Advisories in eine Fast-Track-Patch-Lane mit 72-Stunden-SLA angesichts des konsistenten Musters KEV-gelisteter CVEs in der Ivanti-EPMM-Produktreihe.
Technische Details
CVE-2026-6973 ist eine CWE-20 Schwachstelle durch unzureichende Eingabevalidierung in Ivanti Endpoint Manager Mobile (EPMM), Versionen vor 12.6.1.1, 12.7.0.1 und 12.8.0.1. Der CVSS-3.1-Vektor AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt eine netzwerk-erreichbare Schwachstelle, die eine authentifizierte administrative Sitzung, aber keine Benutzerinteraktion erfordert und Codeausführung mit den Privilegien des EPMM-Anwendungsprozesses ergibt. EPMM basiert auf einem Java-Applikations-Stack mit Web-Administrationsoberfläche, die Management-Endpunkte für Geräte-, Policy-, Zertifikat- und App-Operationen exponiert; der verwundbare Endpunkt akzeptiert vom Angreifer kontrollierte Eingaben, die nicht ausreichend validiert werden, bevor sie an einen Sink gelangen, der letztlich Codeausführung triggert. Der Fix in den gepatchten Releases führt strengere Eingabevalidierung am betroffenen Endpunkt ein. EPMM hat eine bemerkenswerte Historie von CVEs in derselben Codebase-Region (CVE-2023-35078, CVE-2023-35081, CVE-2024-22026 und weitere), weshalb Hersteller und Verteidiger gleichermaßen EPMM-CVE-Disclosures mit erhöhter Dringlichkeit behandeln: Die Codebase trägt langlebige Muster, die historisch auf unerwartete Weise erreichbar waren, einschließlich Ketten, die das Privileg-Erfordernis von administrativ auf unauthentifiziert senken.
Häufig gestellte Fragen
Wird CVE-2026-6973 aktiv ausgenutzt?
Ja. CISA hat CVE-2026-6973 am 7. Mai 2026 mit einer Drei-Tages-Patch-Frist 10. Mai 2026 in den KEV-Katalog aufgenommen. Die KEV-Listung und die kurze Frist sind Belege für bestätigte Ausnutzung in produktiven Umgebungen. Der EPSS-Score von 0.050 (89,8. Perzentil) reflektiert erhöhten Ausnutzungsdruck relativ zum Durchschnitts-CVE.
Welche Ivanti-EPMM-Versionen sind betroffen?
Alle EPMM-Versionen vor 12.6.1.1, 12.7.0.1 und 12.8.0.1 sind verwundbar. Der Fix ist in diesen drei gepatchten Releases der jeweiligen Wartungs-Branches enthalten. Prüfen Sie die Version auf jedem EPMM-Server (Produktion, DR, Sandbox) und auf jeglichen Hilfskomponenten wie Sentry oder Cloud-Konnektoren.
Wie behebe ich CVE-2026-6973?
Aktualisieren Sie EPMM auf 12.6.1.1, 12.7.0.1 oder 12.8.0.1 je nach Wartungs-Branch, erzwingen Sie anschließend phishing-resistente MFA auf jedem EPMM-Administrator-Konto, um die Privileges-Required-Barriere robust zu machen, auditieren Sie Admin-Login-Logs und MDM-Konfigurationshistorie auf Kompromittierungsindikatoren rückwirkend bis mindestens 1. April 2026, und platzieren Sie die EPMM-Management-URL hinter einem VPN- oder Zero-Trust-Access-Broker.
Mitigiert die administrative Privilegien-Anforderung diese CVE tatsächlich?
Sie reduziert die Angreifermenge auf jene, die bereits eine EPMM-Admin-Credential kompromittiert haben, doch EPMM-Admin-Konten sind routinemäßige Ziele von Phishing und Credential-Stuffing. Wenn reine Passwort-Authentifizierung im Einsatz ist, ist die Barriere fragil. Kombiniert mit dem historischen Muster verketteter CVEs gegen Ivanti EPMM sollten Verteidiger die Privileges-Required-Eigenschaft als marginale, nicht strukturelle Mitigation behandeln.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.