Premier Ministre S.G.D.S.N Agence nationale de la sécurité des systèmes d'information Paris, le 30 janvier 2026 N° CERTFR-2026-ALE-001 Affaire suivie par: CERT-FR Bulletin d'alerte du CERT-FR Objet: [MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile Gestion du document Référence CERTFR-2026-ALE-001 Titre [MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile Date de la première version 30 janvier 2026 Date de la dernière version 03 février 2026 Source(s) Bulletin de sécurité Ivanti du 29 janvier 2026 Bulletin de sécurité Ivanti du 29 janvier 2026 Guide d'analyse Ivanti Endpoint Manager Mobile du 29 janvier 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risque Exécution de code arbitraire à distance Systèmes affectés Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x Résumé [Mise à jour du 02 février 2026] Une preuve de concept est disponible publiquement. [Publication initiale] Le 29 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile. L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance. Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées. Recherche de compromission En cas de suspicion de compromission, l'éditeur recommande : d'isoler totalement les équipements EPMM et Sentry concernée du réseau, vis-à-vis d'Internet comme du réseau interne ; Note : Sentry est conçu pour acheminer certains types de trafic depuis les terminaux mobiles vers le réseau interne. Si vous pensez que votre équipement EPMM est compromis, Ivanti recommande d'examiner les systèmes auxquels Sentry peut accéder afin de détecter d'éventuelles traces de reconnaissances ou de mouvements latéraux. de réaliser un instantané ou effectuer une sauvegarde du disque ; de rechercher les tentatives d'exploitations dans les journaux d'accès Apache /var/log/httpd/https-access_log . Les caractéristiques des requêtes HTTP malveillantes sont décrites ci-dessous : Caractéristiques HTTP Valeur(s) à rechercher Méthode HTTP GET Chemin d'accès /mifs/c/aftstore/fob/ /mifs/c/appstore/fob/ Code HTTP 404 Paramètres contenant des commandes bash Les instances d'ivanti EPMM avec le correctif de sécurité appliqué produiront des faux positifs suivants lors de la recherche de requêtes HTTP malveillantes qui ressemblent à l'exemple ci-dessous : 127.0.0.1:33354 - - 2026-01-28--12-00-01 "GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1" 404 Deux moyens de persistance sont connus à ce jour par l'éditeur : le déploiement de différentes consoles web malveillantes (webshells) , en modifiant des pages d'erreur HTTP tel que 401.jsp ou en introduisant des fichiers WAR ou JAR ; le déploiement d'invite de commande inverse (reverse shell) . Toute requête vers des pages d'erreur HTTP utilisant la méthode POST ou des paramètres doit être considérée comme une suspicion de communication avec une porte dérobée. Toute connexion de longue durée initiée par un Ivanti EPMM doit être considérée comme une suspicion de communication par un invite de commande inverse. Remédiation En cas de compromission, l'éditeur préconise de : restaurer une sauvegarde saine d'un Ivanti EPMM [1] ; s'il n'est pas possible de récupérer l'EPMM à partir d'une sauvegarde, Ivanti recommande de créer un EPMM de remplacement, puis de migrer les données vers celui-ci ; réinitialiser les mots de passe de tous les comptes EPMM locaux ; réinitialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ; révoquer et remplacer les certificats publics utilisés par l'EPMM [3] ; réinitialiser les mots de passe de tous les comptes de service interne ou externe configuré avec EPMM. Solutions L'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de téléchargement d'Ivanti. L'éditeur précise que les correctifs apportés par ses scripts RPM sont temporaires et qu'il est nécessaire de les réinstaller à chaque montée de version jusqu'à l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0. Documentation Bulletin de sécurité Ivanti du 29 janvier 2026 https://www.ivanti.com/blog/january-2026-epmm-security-update Bulletin de sécurité Ivanti du 29 janvier 2026 https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340 Guide d'analyse Ivanti Endpoint Manager Mobile du 29 janvier 2026 https://forums.ivanti.com/s/article/Analysis-Guidance-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340 [1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, système de sauvegarde https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/System_backup.htm [2] Prise en main d'Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP https://help.ivanti.com/mi/help/en_us/core/12.x/gsg/CoreGettingStarted/Configuring_LDAP_servers.htm [3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment révoquer un certificat https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/About_logs_CertMgmt.htm#troubleshooting_3631632413_1032053 Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026 https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0110/ Compromission d'un équipement de bordure réseau - Endiguement https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-002/ Compromission d'un équipement de bordure réseau - Qualification https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-001/ Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/Cert_Enroll_s_1_ConfigSCEP.htm Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, exportation des données : SysLog https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/Data_Export__SysLog.htm Référence CVE CVE-2026-1281 https://www.cve.org/CVERecord?id=CVE-2026-1281 Référence CVE CVE-2026-1340 https://www.cve.org/CVERecord?id=CVE-2026-1340