KritischCVE-2026-6973

    Ivanti Endpoint Manager Mobile: unzureichende Eingabevalidierung (CVE-2026-6973)

    Veröffentlicht Zuletzt geändert In CISA KEV seit Quellen: Ivanti, CVE.org, pwn.watch, EUVD

    Teilen

    Was ist betroffen, was ist zu tun

    Eine unsachgemäße Eingabevalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem von einem entfernten Ort authentifizierten Benutzer mit administrativen Zugriffsrechten, eine Ferncodeausführung durchzuführen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Ivanti Endpoint Manager Mobile auf Version 12.6.1.1. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • Ivanti Endpoint Manager Mobile lt *..12.6.1.1
    Behoben in
    • Ivanti Endpoint Manager Mobile 12.6.1.1

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    7,2

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    7,2

    CVSS v3

    Schweregrad Hoch auf der Skala von 0 bis 10.

    Quelle: Ivanti, CVE.org, pwn.watch, EUVD

    34,4 %

    EPSS-Score

    Erhöht – Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.

    Quelle: FIRST EPSS, Perzentil 98,4

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    230.22 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab) So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    7,2 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    7,2
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    34,4 %
    Erhöht – Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    98,4
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CISA-Bewertung (SSVC)
    Ausnutzung: aktiv · nicht automatisierbar · Auswirkung: vollständig
    Quelle: CISA Vulnrichment, Stand 7. Mai 2026
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-20

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    EPMM ist als zentrale MDM-Plattform ein Hochwertziel: Wer sie kontrolliert, erhält Zugriff auf Geräteinventar, Benutzerdaten, LDAP-Anbindung und kann Profile oder Apps an verwaltete Mobilgeräte verteilen. Die Schwachstelle ist über das Netz ohne Benutzerinteraktion ausnutzbar, setzt aber Administratorrechte voraus — Angreifer kombinieren solche Lücken typischerweise mit gestohlenen Zugangsdaten oder Authentifizierungsumgehungen, um von einem Admin-Login zur vollständigen Kontrolle der Appliance zu eskalieren. Die Ausnutzungswahrscheinlichkeit ist erhöht, eine Ransomware-Nutzung ist laut CISA nicht bekannt. Bei aus dem Internet erreichbarem Admin-Portal oder Konten ohne MFA ist der Patch als kritisch (binnen 24-48 h) einzustufen, bei strikt segmentiertem Admin-Zugang als hoch innerhalb des regulären Notfall-Patchfensters.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Bestandsaufnahme und Versionsprüfung: Alle Ivanti-EPMM-Instanzen (Produktiv, Test, DR) erfassen und die installierte Version prüfen. Verwundbar sind alle Stände vor 12.6.1.1, 12.7.0.1 und 12.8.0.1, insbesondere 12.7.0.0 und 12.8.0.0.
      • Herstellerpatch einspielen: Je nach Release-Linie auf 12.6.1.1, 12.7.0.1 oder 12.8.0.1 aktualisieren. Build-Details und Upgrade-Pfad bitte im Ivanti-Security-Advisory nachschlagen. Instanzen, die nicht innerhalb von 24 h gepatcht werden können, als Hochrisiko-Asset im Change-Management kennzeichnen.
      • Administrativen Zugriff sofort einschränken: Das Admin-Portal (typischerweise /mifs/admin) und den System Manager (häufig TCP 8443) per Firewall oder Reverse-Proxy auf ein dediziertes Admin-Netz bzw. eine Jump-Host-Allowlist begrenzen. Aus dem Internet darf keine Administrationsschnittstelle erreichbar sein.
      • Administrative Zugangsdaten rotieren: Da die Ausnutzung Admin-Rechte voraussetzt, alle lokalen EPMM-Administratorkonten, API-Konten und angebundene LDAP-/AD-Dienstkonten neu setzen. Unbekannte oder verwaiste Admin-Konten deaktivieren und Sitzungen invalidieren.
      • Kompromittierungsprüfung vor dem Patch: Vor dem Upgrade Logs (Audit-Log, Apache/Tomcat-Access-Logs, Syslog-Export) sichern und auf Auffälligkeiten prüfen (siehe Detection-Regeln). Ein Patch beseitigt keine bereits etablierte Persistenz.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzwerksegmentierung: EPMM-Appliance in eigene DMZ-Zone legen. Nur das Geräte-Enrollment bzw. die Client-Kommunikation aus dem Internet zulassen, Admin-Pfade ausschließlich aus dem Management-VLAN. Ausgehenden Verkehr der Appliance per Egress-Allowlist auf benötigte Ziele (Ivanti-Update-Server, APNs/FCM, LDAP, Mail-Relay) beschränken — unterbindet Reverse-Shells und Nachladen von Werkzeugen.
      • WAF/Reverse-Proxy-Regeln: Anfragen an /mifs/admin/* und /api/* nur von Admin-Quell-IPs zulassen. Zusätzlich Anfragen mit Shell-Metazeichen (;, |, `, $(), Java-Expression-Syntax (${, #{, T(java.lang.Runtime)) oder URL-kodierten Varianten in Parametern blockieren bzw. alarmieren.
      • Identitäts- und Berechtigungsmanagement: Administrative Anmeldung nur über MFA bzw. SAML-IdP mit Conditional Access. Anzahl der Konten mit Vollzugriff auf das Minimum reduzieren, Rollen nach Least-Privilege aufteilen (Helpdesk-Rollen ohne Konfigurationsrechte).
      • Kettenrisiko berücksichtigen: Die Admin-Voraussetzung wird in der Praxis häufig durch Credential-Diebstahl, Phishing oder separate Authentifizierungsschwachstellen überbrückt. Andere Ivanti-Advisories für die eingesetzte Version ebenfalls prüfen und schließen.
      • Protokollierung und Integrität: Syslog-Weiterleitung der Appliance an das SIEM aktivieren, Konfigurations-Backups vor und nach dem Patch erstellen und vergleichen.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Webserver-Access-Logs: Requests an /mifs/admin/* oder /api/v2/* von Quell-IPs außerhalb des Admin-Netzes, sowie Parameter mit ${, #{, java.lang.Runtime, ProcessBuilder, /bin/sh, curl, wget. SPL-Beispiel: index=epmm (uri_path="/mifs/admin/*" OR uri_path="/api/*") NOT src_ip IN (admin_nets) | stats count by src_ip, uri_path
      • Prozessabstammung (sofern EDR/auditd verfügbar): Java/Tomcat-Prozess als Elternprozess von sh, bash, python, curl, wget, nc. Sigma-Form: ParentImage|endswith: '/java' AND Image|endswith: ['/sh','/bash','/curl','/wget']. auditd: -a always,exit -F arch=b64 -S execve -F uid=tomcat -k epmm_exec.
      • EPMM-Audit-Log: Neue Administratorkonten, Rollenänderungen, Admin-Anmeldungen von neuen IPs/Geo-Standorten, ungewöhnliche Anmeldezeiten, Häufung fehlgeschlagener Admin-Logins vor einem Erfolg.
      • Netzwerktelemetrie (Zeek/Suricata): Ausgehende Verbindungen der EPMM-Appliance zu nicht freigegebenen Zielen, insbesondere neue TLS-Ziele mit unbekannter JA3/JA4, ungewöhnliche DNS-Abfragen oder Verbindungen auf Nicht-Standard-Ports. KQL-Beispiel: CommonSecurityLog | where SourceIP == "<EPMM-IP>" and DestinationIP !in (allowlist)
      • Dateisystem: Neue JSP-/Class-Dateien in Webroot-Verzeichnissen oder unerwartete Dateien in /tmp und /var/tmp auf der Appliance.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Eine unsachgemäße Eingabevalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem von einem entfernten Ort authentifizierten Benutzer mit administrativen Zugriffsrechten, eine Ferncodeausführung durchzuführen.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: ivanti_bulletin, NVD (NIST), pwn.watch, cvelistv5, CISA KEV Catalog, ENISA EUVD, CVE.org (MITRE)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    IvantiEndpoint Manager Mobile
    • < 12.6.1.1
    • 12.6.1.1
    ivantiendpoint_manager_mobile
    • < 12.6.1.1
    • 12.8.0.0
    • 12.7.0.0
    • 12.6.1.1
    • —
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-20Improper Input Validation

      Class

      The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

      Eintrag bei MITRE CWE-20

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt

    Quellen & Referenzen

    • hub.ivanti.comIvanti Endpoint Manager Mobile (EPMM) — CVE-2026-6973euvd, pwn-watch
    • hub.ivanti.coms/article/May-2026-Security-Advisory-Ivanti-Endpoint-Manager-Mo…Herstellerhinweis
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-6973government-resource, US-Behörde
    • pwn.watchpwn.watch: Ivanti Endpoint Manager Mobile (EPMM): Ivanti Endpoint Manager Mobile (EPMM) Improper Input Validation Vulnerabilitypwn-watch
    • NVD (NIST)NVD: CVE-2026-6973pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

    Änderungen an der CVE

    Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

    Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

    Verknüpfte Advisories

    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2026-6973
    <a href="https://intel.neosec.eu/cve/CVE-2026-6973"><img src="https://intel.neosec.eu/badge/cve/CVE-2026-6973.svg" alt="CVE-2026-6973 – NEOSEC Intel" height="20"></a>