Das Update für Ivanti Endpoint Manager behebt drei Schwachstellen mit hoher Schwere. Zwei davon können laut Hersteller von entfernten, nicht authentifizierten Angreifern ausgenutzt werden.
CVE-2026-18129 beschreibt Ivanti als Problem durch Klartextübertragung sensibler Informationen. Ein Angreifer in einer Man-in-the-Middle-Position könnte damit Zugangsdaten für externe SQL-Verbindungen offenlegen. Die zweite Lücke, CVE-2026-18125, ist ein Out-of-Bounds-Read im EPM-Agenten, der sich auslösen lässt, um einen Agentendienst abstürzen zu lassen.
Beide Schwachstellen wurden in EPM Version 2024 SU7 geschlossen. Dieselbe Version beseitigt auch CVE-2026-18127, ebenfalls als schwerwiegend eingestuft. Dabei handelt es sich um eine Schwäche bei der Eingabevalidierung, durch die entfernte Angreifer Dateinamen kontrollieren können.
Laut Ivanti könnte ein authentifizierter Bedrohungsakteur diese Schwachstelle ausnutzen, um vollständige Schreibkontrolle über einen S3-Bucket zu erlangen, der für die Speicherung von Sitzungsaufzeichnungen konfiguriert ist. Ivanti erklärte dazu, man habe zum Zeitpunkt der Offenlegung keine Kenntnis von Kunden, die über diese Schwachstellen angegriffen worden seien.
Auch Ivanti Neurons for MDM hat ein Sicherheitsupdate erhalten. Dort wurde eine Schwachstelle mittlerer Schwere bei der Befehlsinjektion behoben, die sich aus der Ferne zur Offenlegung sensibler Informationen ausnutzen ließ.
Der Fehler wurde laut Ivanti bereits Ende Juni in Version R124 der cloudbasierten SaaS-Plattform behoben. Kunden müssen dafür keine Maßnahmen ergreifen. Nach Angaben des Unternehmens erfüllte die Schwachstelle nicht die Kriterien für die Reservierung einer CVE-Nummer.
Ivanti teilt außerdem mit, es gebe keine Hinweise auf eine Ausnutzung dieser MDM-Schwachstelle in freier Wildbahn. Andere Produkte des Unternehmens seien von den nun veröffentlichten Schwachstellen nicht betroffen. Weitere Details verweist Ivanti auf seine Sicherheitsankündigung für August 2026.