Ivanti has patched five vulnerabilities in Endpoint Manager Mobile (EPMM), including CVE-2026-6973 (CVSS 7.2), which allows authenticated remote admins to execute arbitrary code and has seen limited in-the-wild exploitation. Other critical flaws include CVE-2026-5786 (CVSS 8.8) for authenticated privilege escalation and CVE-2026-5787 (CVSS 8.9) for unauthenticated spoofing to obtain CA-signed certificates. Affected versions are EPMM prior to 12.6.1.1, as well as versions 12.7.0.0 and 12.8.0.0, with a fix available in version 12.6.1.1; Ivanti notes customers who rotated credentials per prior January guidance are at significantly reduced risk.
Ivanti heeft vijf kwetsbaarheden verholpen in Endpoint Manager Mobile (EPMM), ook wel bekend als MobileIron. De kwetsbaarheid met het kenmerk CVE-2026-6973 stelt een geauthenticeerde kwaadwillende met administratieve toegang in staat om op afstand willekeurige code uit te voeren met beheerdersrechten. Van de kwetsbaarheid met kenmerk CVE-2026-6973 meldt Ivanti dat deze actief is misbruikt bij een zeer beperkt aantal klanten. Om succesvol misbruik te bewerkstelligen moet de kwaadwillende beschikken over valide inloggegevens van een account met adminrechten. Ivanti geeft aan dat klanten die het advies in januari hebben opgevolgd om hun inloggegevens te vernieuwen, aanzienlijk minder risico lopen. De kwetsbaarheid met CVE-2026-5786 stelt een geauthenticeerde kwaadwillende op afstand in staat om beheertoegang te verkrijgen. De kwetsbaarheid met CVE-2026-5787 stelt een niet-geauthenticeerde kwaadwillende in staat om zich voor te doen als een geregistreerd Sentry systeem, om zodoende door een Certificate Authority (CA) ondertekende client certificaten te verkrijgen. De kwetsbaarheid CVE-2026-5788 stelt een niet-geauthenticeerde kwaadwillende op afstand in staat om willekeurige code uit te voeren. De kwetsbaarheid CVE-2026-7821 stelt een niet-geauthenticeerde kwaadwillende in staat om een apparaat te registreren aan een set van niet-geregistreerde apparaten en toegang te verkrijgen tot (gevoelige) gegevens. Het NCSC verwacht dat op korte termijn Proof-of-Concept code publiek beschikbaar komt. Dit vergroot de kans grootschalig misbruik aanzienlijk.