Ivanti Security Advisory · Mai 2026

    IvantiRegulär

    5

    Gesamt

    Deduplizierte CVEs dieses Zyklus. Bei Microsoft zählen nur CVEs, die am Patchday selbst erstmals veröffentlicht wurden, ohne Browser-Updates, Nachträge und Cloud-Korrekturen.

    1

    Kritisch

    CVEs mit CVSS ab 9,0 (kritisch nach NVD-Skala).

    1

    Zero-Day

    Bei Veröffentlichung bereits aktiv ausgenutzt (CISA KEV oder Vendor-Bestätigung).

    1

    KEV

    Im CISA-Katalog Known Exploited Vulnerabilities gelistet: Pflicht für US-Behörden, Best Practice für alle.

    1 Zero-Day / aktiv ausgenutzt

    Diese Schwachstellen wurden bereits vor oder bei Veröffentlichung des Patches ausgenutzt. Spielen Sie die zugehörigen Updates zuerst ein.

    1 Zero-Day / aktiv ausgenutzt
    SchwereCVEBeschreibungKB-ArtikelCVSS
    HochCVE-2026-6973

    Eine unsachgemäße Eingabevalidierung in Ivanti EPMM vor den Versionen 12.6.1.1, 12.7.0.1 und 12.8.0.1 ermöglicht es einem von einem entfernten Ort authentifizierten Benutzer mit administrativen Zugriffsrechten, eine Ferncodeausführung durchzuführen.

    In CISA KEV

    		—7,2

    Nach Produktfamilie

    Ohne Zuordnung4 CVEs
    Ohne Zuordnung
    SchwereCVEBeschreibungKB-ArtikelCVSS
    KritischCVE-2026-8043

    Externe Kontrolle eines Dateinamens in Ivanti Xtraction vor Version 2026.2 ermöglicht es einem authentifizierten Fernangreifer, sensible Dateien einzusehen und beliebige HTML-Dateien in ein Webverzeichnis zu schreiben, was zur Offenlegung von Informationen und möglichen Angriffen auf der Client-Seite führen kann.

    		—9,6
    HochCVE-2026-7432

    Ein Rennzustand im Ivanti Secure Access Client vor Version 22.8R6 ermöglicht es einem lokal authentifizierten Benutzer, die Berechtigungen auf SYSTEM zu erhöhen.

    		—7,8
    HochCVE-2026-8051

    Eine OS-Befehlsinjektion in Ivanti Virtual Traffic Manager vor Version 22.9r4 ermöglicht es einem Fernangreifer mit Authentifizierung und Administratorrechten, eine Remote-Code-Ausführung durchzuführen.

    		—7,2
    MittelCVE-2026-7431

    Eine falsche Berechtigungszuweisung für eine kritische Ressource des Ivanti Secure Access Client vor Version 22.8R6 ermöglicht es einem lokal authentifizierten Benutzer, sensible Protokolldaten über den Schreibzugriff auf einen gemeinsam genutzten Speicherabschnitt einzusehen oder zu ändern.

    		—4,4