Ivanti Endpoint Manager: Authentifizierungsumgehung legt gespeicherte Zugangsdaten offen

Zusammenfassung

Ivanti Endpoint Manager vor 2024 SU5 enthält eine Authentifizierungsumgehung, mit der ein entfernter, nicht authentifizierter Angreifer bestimmte gespeicherte Zugangsdaten auslesen kann. Es sind weder Anmeldung noch Benutzerinteraktion nötig, daher sind EPM-Server, die aus dem Internet erreichbar oder im LAN exponiert sind, gefährdet. Die CISA hat die Schwachstelle am 9. März 2026 als bekannt ausgenutzt in den KEV-Katalog aufgenommen, und der Hersteller stellt einen Patch bereit.

Betroffen

• Ivanti Endpoint Manager (EPM) Versionen vor 2024 SU5
• Gemäss Herstellerangaben: 2024 SU4 SR1 und frühere 2024-Versionen
• Ältere Zweige: Unbekannt.

Behoben in

• Ivanti Endpoint Manager 2024 SU5 (behebt CVE-2026-1603 gemäss Ivanti)
• Fixes sind im Ivanti License System Portal verfügbar (Anmeldung erforderlich)
• Fixes für ältere Zweige: Unbekannt.

Umgehung

• Herstellerseitiger Workaround: Unbekannt. Ivanti empfiehlt primär das Update auf 2024 SU5.
• Eigene Massnahme bis zum Patch: Zugriff auf EPM-Verwaltungsschnittstellen auf interne Admin-Netze oder VPN beschränken.
• CISA: Massnahmen gemäss Herstellerangaben anwenden oder die Nutzung einstellen, falls keine Massnahmen verfügbar sind.

Ausnutzung

• CISA-KEV: am 9. März 2026 als bekannt ausgenutzt aufgenommen; Fälligkeitsdatum 23. März 2026. Einsatz in Ransomware-Kampagnen: Unbekannt.
• Ivanti hat bei der Veröffentlichung (10. Februar 2026) erklärt, dass keine Hinweise auf eine Ausnutzung in freier Wildbahn vorliegen.
• Ein Bericht behauptet eine Ausnutzung seit Mitte Februar 2026; nicht verifiziert.
• Öffentliche technische Analysen existieren (watchTowr, Horizon3.ai mit Validierungstest); ein öffentliches Exploit-Skript ist nicht bestätigt.
• Ivanti hat keine spezifischen IOCs veröffentlicht.

Unsere Empfehlung

• Alle EPM-Instanzen identifizieren, auch solche, die noch als LANDesk oder LDMS bezeichnet werden.
• Auf 2024 SU5 gemäss Ivanti-Advisory patchen; bei älteren Versionen im Advisory nach einem Upgrade-Pfad suchen.
• Internetexposition von EPM-Diensten sofort entfernen, falls der Patch verzögert wird.
• Logs auf unerwartete oder nicht authentifizierte Zugriffe prüfen und in EPM gespeicherte oder verwaltete Zugangsdaten rotieren.
• Patch-Status bei Verfügbarkeit mit einem Validierungstest prüfen. Ungepatchte Systeme als Priorität für die Incident Response behandeln, da das CISA-Fälligkeitsdatum verstrichen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Ivanti Security Advisory EPM February 2026 for EPM 2024 hub.ivanti.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Horizon3.ai CVE-2026-1603 research horizon3.ai
• Action1 CVE-2026-1603 www.action1.com
• Beazley known abuse of Ivanti EPM authentication bypass beazley.security
• Field Effect: Ivanti Endpoint Manager active exploitation fieldeffect.com
• Canadian Centre for Cyber Security AV26-113 www.cyber.gc.ca
• Ivanti February 2026 security update www.ivanti.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:02.