Intel

CVE-2026-6973

June 2026 Security Update

criticalKEV: aktiv ausgenutztPoCEPSS 34 %

Beschreibung

Eine unsachgemäße Eingabevalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem von einem entfernten Ort authentifizierten Benutzer mit administrativen Zugriffsrechten, eine Ferncodeausführung durchzuführen.

Quelle: IVANTI_BULLETINEUVDIVANTI_BULLETINCISA_KEVCVEORGCVELISTV5

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2026-6973 betrifft Ivanti EPMM, eine MDM-Plattform, die in vielen KRITIS- und NIS2-relevanten Organisationen zur zentralen Verwaltung mobiler Endgeräte eingesetzt wird — ein erfolgreicher Angriff ermöglicht vollständige Remote-Code-Ausführung auf dem MDM-Server und damit potenziellen Zugriff auf alle verwalteten Geräte, Push-Zertifikate und Gerätekonfigurationsprofile. Der CVSS-Vektor (AV:N/AC:L/PR:H/UI:N) zeigt, dass zwar erhöhte Rechte (Admin-Zugang) erforderlich sind, der Angriff jedoch netzwerkseitig ohne Nutzerinteraktion und mit geringer Komplexität durchführbar ist; der EPSS-Wert von 98,3 % signalisiert eine sehr hohe Ausnutzungswahrscheinlichkeit in naher Zukunft. Organisationen, die EPMM internet-exponiert betreiben oder deren Admin-Credentials durch frühere Phishing-Kampagnen oder Credential-Stuffing gefährdet sein könnten, müssen den Patch als P1 behandeln. Da CISA kein bekanntes Ransomware-Kampagnen-Flag gesetzt hat, ist das unmittelbare Risiko primär Spionage, Persistenz und laterale Bewegung über verwaltete Mobilgeräte.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch sofort einspielen: Ivanti EPMM auf Version 12.6.1.1, 12.7.0.1 oder 12.8.0.1 (je nach eingesetztem Branch) aktualisieren — Patch-Pakete im Ivanti Security Advisory nachschlagen und Checksummen vor der Installation verifizieren.
  • Administrative Konten sperren/einschränken: Bis zur Patch-Einspielung alle nicht zwingend benötigten Admin-Accounts in der EPMM-Konsole deaktivieren; verbleibende Admin-Sitzungen sofort beenden (Session-Invalidierung in der Admin-UI oder per API).
  • Netzwerkzugang zur EPMM-Administrationsoberfläche einschränken: Zugriff auf das Admin-Portal (Standard-Port 8443) auf dedizierte Management-Netze/Jump-Hosts beschränken — alle anderen Quell-IPs auf Firewall- und/oder Reverse-Proxy-Ebene blockieren.
  • Audit-Logs sichern und auf Kompromittierungshinweise prüfen: EPMM-Audit-Logs (Administrations- und API-Zugriffe) der letzten 30 Tage exportieren und auf unbekannte Admin-Logins, ungewöhnliche API-Calls oder Dateioperationen untersuchen.
  • Credential-Rotation einleiten: Alle Service-Accounts, API-Keys und Integrations-Credentials (z. B. LDAP-Bind-Account, MDM-Push-Zertifikate, SCEP-Schlüssel), die EPMM nutzt oder verwaltet, als kompromittiert betrachten und rotieren.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: EPMM-Server in ein dediziertes Management-VLAN isolieren; ausgehende Verbindungen vom EPMM-Server auf bekannte Ziele (Apple APNs, Google FCM, interne Verzeichnisdienste) per Allowlist beschränken — alle anderen Outbound-Verbindungen blockieren, um potenzielle Reverse-Shell-Kommunikation zu unterbinden.
  • WAF/Reverse-Proxy-Regel: HTTP-Anfragen an die EPMM-Admin-API (/api/v2/ und /mifs/) auf authentifizierte Quell-IPs aus dem Management-Netz beschränken; Anfragen mit ungewöhnlich langen oder binären Request-Bodies (> 8 KB in POST/PUT auf Admin-Endpunkte) mit einem WAF-Regelwerk blockieren oder alarmieren.
  • Least-Privilege für Admin-Rollen: Anzahl der Accounts mit vollständiger EPMM-Administratorrolle auf das absolute Minimum reduzieren; wo möglich, delegierte Rollen mit eingeschränkten Berechtigungen verwenden (EPMM Role-Based Access Control).
  • MFA für Admin-Zugang erzwingen: Sofern noch nicht aktiv, Multi-Faktor-Authentifizierung für alle EPMM-Admin-Konten aktivieren — verhindert, dass erbeutete Credentials allein zur Ausnutzung ausreichen.
  • Integritätsprüfung des EPMM-Hosts: Datei-Integritätsüberwachung (FIM) auf dem EPMM-Server aktivieren; insbesondere Verzeichnisse wie /opt/MobileIron/ und Web-Application-Verzeichnisse auf unautorisierte Änderungen überwachen.

Runbook · Schritt 3

Detection-Regeln

  • Web-Server-Zugriffslog (EPMM/Nginx/Apache): Anomale POST/PUT-Anfragen an Admin-API-Endpunkte (/api/v2/, /mifs/admin) von IPs außerhalb des definierten Management-Netzes — SPL-Snippet: index=weblogs uri_path IN ("/api/v2/*","/mifs/admin*") method IN ("POST","PUT") | where NOT src_ip IN (management_ip_list)
  • Prozess-Abstammung auf dem EPMM-Host (EDR/auditd): Kindprozesse des EPMM-Applikationsservers (z. B. java, tomcat) die Shell-Interpreter (/bin/sh, /bin/bash, python*) oder Netzwerk-Tools (curl, wget, nc) spawnen — Sigma-Shape: ParentImage|endswith: 'java' AND Image|endswith: ('/bin/sh', '/bin/bash', 'curl', 'wget')
  • Netzwerktelemetrie (Zeek/Suricata): Ausgehende Verbindungen vom EPMM-Server zu nicht-inventarisierten externen IPs auf ungewöhnlichen Ports (insbesondere > 1024, nicht APNs/FCM) — Zeek-Conn-Log: id.orig_h == <EPMM_IP> AND id.resp_p NOT IN {443, 2195, 2196, 5228, 5229, 5230} AND id.resp_h NOT IN <allowlist>
  • Windows Event / Linux auditd — Dateianlage: Neue ausführbare Dateien oder JSP/WAR-Dateien im EPMM-Webroot oder Temp-Verzeichnis — auditd-Regel: -w /opt/MobileIron/ -p wa -k epmm_integrity; Alert bei SYSCALL write mit exe außerhalb bekannter EPMM-Prozesse.
  • Fehlgeschlagene und erfolgreiche Admin-Logins: Mehrere fehlgeschlagene Admin-Logins gefolgt von einem erfolgreichen Login aus derselben Quell-IP innerhalb von 5 Minuten — KQL-Snippet: EventType=="AdminLogin" | summarize failures=countif(Result=="Failure"), success=countif(Result=="Success") by SrcIP, bin(TimeGenerated, 5m) | where failures > 3 and success > 0

Metriken

Severity
critical
Priority-Score
234.01
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
7.2
Quelle: nvd-v3
CVSS v3
7.2
CVSS v4
—
EPSS-Perzentil
98.3 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
34.4 %
Erhöht — Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-06-09 14:06 UTC
CWE
CWE-20

Weakness-Klassen (CWE)

  • CWE-20Class

    Improper Input Validation

    The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

    cwe.mitre.org →

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • ivanti

    standalone_sentry10.6.0 – 10.6.2

  • ivanti

    standalone_sentry10.5.2

  • ivanti

    standalone_sentry

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte CVEs

Verknüpfte Empfehlungen

IDCVE-2026-6973