Der Schwerpunkt der Ivanti-Updates liegt auf Neurons for ITSM. Vier der kritischen Schwachstellen kommen auf einen CVSS-Wert von 9,9 von 10: CVE-2026-12647, CVE-2026-12645 und CVE-2026-12646 sind als fehlende Autorisierungsprüfungen beschrieben, CVE-2026-12650 als Deserialisierung nicht vertrauenswürdiger Daten. Zwei weitere kritische Lücken, CVE-2026-12744 und CVE-2026-12745, gehören ebenfalls in die Kategorie der unsicheren Deserialisierung und werden mit 9,8 bewertet.
Hinzu kommen zwei als hoch eingestufte Fehler, CVE-2026-12651 und CVE-2026-12648. Auch sie beruhen auf der Deserialisierung nicht vertrauenswürdiger Daten und ermöglichen nach Herstellerangaben Codeausführung aus der Ferne. Entscheidend für die Risikoeinschätzung: Laut Ivantis Advisory sind ausschließlich CVE-2026-12744 und CVE-2026-12745 ohne Authentifizierung ausnutzbar, alle übrigen setzen einen angemeldeten Zugang voraus.
Behoben wurden die Schwachstellen mit den Sicherheitsupdates vom September 2026 für die Neurons-for-ITSM-Versionen 2025.2, 2025.3, 2025.4 und 2026.1. In Version 2026.2, die für den 21. September vorgesehen ist, sollen die Korrekturen ebenfalls enthalten sein. „Kunden, die die On-Premises-Version von Ivanti Neurons for ITSM einsetzen, sollten ihre Lösung auf eine der bereinigten Versionen aktualisieren, um die Schwachstellen zu beheben“, teilt der Hersteller mit.
Für Sentry stehen die Versionen R10.8.2, R10.7.3 und R10.6.4 bereit. Sie schließen CVE-2026-83527, eine als hoch eingestufte Umgehung der Authentifizierung. Nicht authentifizierte Angreifer könnten darüber aus der Ferne administrative Rechte erlangen – von allen behobenen Lücken die mit der niedrigsten Einstiegshürde.
Bei Endpoint Manager Mobile hat Ivanti die Versionen 12.10.0.0, 12.9.0.2 und 12.8.0.4 veröffentlicht. Sie beseitigen CVE-2026-18851, ebenfalls eine hochgradige Umgehung der Authentifizierung. Anders als bei Sentry müssen Angreifer hier bereits authentifiziert sein, um die Schwachstelle auszunutzen.
Ivanti gibt an, von keiner aktiven Ausnutzung der genannten Schwachstellen zu wissen. Andere Produkte des Anbieters seien von den Fehlern nicht betroffen.
Unabhängig davon veröffentlichte Citrix am selben Tag Korrekturen für zwei Schwachstellen mittleren Schweregrads in der Workspace-App für Windows. Dabei handelt es sich um einen Lesezugriff außerhalb der vorgesehenen Speichergrenzen, der lokalen Zugriff voraussetzt, sowie um einen Schreibzugriff außerhalb der Speichergrenzen, für den physischer Zugang zum betroffenen System erforderlich ist.