Drei neu aufgeführte CVEs mit CVSS-Werten bis 8,8 betreffen den Ivanti Endpoint Manager und erlauben SQL-Injection sowie lokale Rechteausweitung. Ivanti nennt EPM 2024 SU6 als die korrigierende Version und rät Kunden zum schnellen Update. Frühe Berichte aus 2025 und die Zero Day Initiative ergänzen, dass ein grösseres Paket von Schwachstellen existiert, darunter mehrere SQL-Injection-Fehler und zwei als kritisch eingestufte Lücken. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte am 9. März 2026 und verlinkte auf weiterführende Kataloge wie das CISA Known Exploited Vulnerabilities Catalog.

Die Lage ist technisch klarer als ihre Debatte. Ivanti meldete die aktuellen Schwachstellen im Endpoint Manager und benennt konkret drei CVEs, die in der aktuellen Mitteilung adressiert werden. Für CVE-2026-8111 nennt Ivanti einen CVSS-Wert von 8,8. CVE-2026-8110 wird mit 7,8 bewertet und CVE-2026-8109 mit 6,5. Als korrigierende Software gibt Ivanti EPM 2024 SU6 an und empfiehlt Kunden, auf diese Version zu wechseln.

Was ist betroffen

Die Fehler betreffen mehrere Komponenten des Endpoint Managers. Ivanti beschreibt SQL-Injection-Schwachstellen in der Web-Konsole, eine fehlerhafte Rechtezuweisung im Agenten sowie eine exponierte Methode im Core-Server, durch die Zugriffsdaten offengelegt werden können. Frühere Berichte aus 2025 hatten bereits von einem grösseren Paket mit 13 betroffenen Fehlern gesprochen, darunter mehrere SQL-Injections und zwei als kritisch eingestufte Fehler. Oktober 2025 listete beispielhaft CVE-2025-9713 mit CVSS 8,8 und CVE-2025-11622 mit CVSS 7,8 sowie eine Reihe von elf SQL-Injection-Lücken mit CVSS 6,5.

Als betroffene Releases nennt Ivanti Versionen bis EPM 2024 SU3 SR1 und ältere Ausgaben. Für EPM 2022 SU8 SR2 und frühere Versionen sei der Support bereits beendet, weshalb ein Upgrade auf EPM 2024 empfohlen wird. Damit ist klar, dass sowohl aktuelle als auch veraltete Installationen Aufmerksamkeit benötigen. Ivanti teilte mit, bislang keine Hinweise auf aktive Ausnutzung der genannten Lücken zu haben, mahnte jedoch zum raschen Handeln.

Technische Details und Gegenmassnahmen

Aus technischer Sicht fokussieren die beschriebenen Probleme zwei Angriffsvektoren. Erstens die SQL-Injections in der Web-Konsole, die es einem Angreifer unter Umständen erlauben, Datenbankabfragen zu manipulieren. Zweitens eine lokale Rechteausweitung im Agenten und eine Core-Server-Methode, die sensible Zugangsdaten exponieren kann. Die Zero Day Initiative veröffentlichte Informationen zu betroffenen Methoden wie OnSaveToDB und Report_RunPatch, nannte aber nicht alle Details, um Missbrauch zu vermeiden.

Mastheads

Sicherheitsbehörden wie das BSI gaben konkrete Hinweise. Das Bundesamt für Sicherheit in der Informationstechnik veröffentlichte am 9. März 2026 eine Warnung und verwies auf Kataloge wie das CISA Known Exploited Vulnerabilities Catalog für weitergehende Hinweise.

Parallel empfahlen Fachleute und die Zero Day Initiative zusätzliche Abwehrschritte, solange Patches nicht vollständig implementiert sind.

Empfohlene Sofortmassnahmen sind konkret. Dazu gehören das Einschränken des Serverzugangs auf Administratoren, das Blockieren des Fernzugriffs auf hohe TCP-Ports, das Entfernen des Berichtsdatenbank-Benutzers, um Angriffsflächen zu reduzieren, sowie das Vermeiden des Imports nicht vertrauenswürdiger Konfigurationsdateien. Die Zero Day Initiative riet zusätzlich zu verstärktem Monitoring und Netzwerksegmentierung. Externe Sicherheitsexperten nennen Web Application Firewalls und Reverse-Proxies als kurzfristige Abwehrmassnahmen.

Die Vorgeschichte zeigt wiederkehrende Muster. Im September 2024 hatte Ivanti bereits Patches ausgeliefert, die laut Mitteilung 16 Schwachstellen schlossen, darunter mehrere mit sehr hohen CVSS-Werten bis 10,0. Im Herbst 2025 meldete Ivanti selbst 13 neue Schwachstellen im Endpoint Manager und kündigte eine zweiphasige Auslieferung der Fehlerbehebungen an. Fixes für unsichere Deserialisierung und Pfadüberquerung waren ursprünglich für EPM 2024 SU4 am 12. November 2025 terminiert, die SQL-Injection-Korrekturen sollten in EPM 2024 SU5 im ersten Quartal 2026 folgen. Die Zero Day Initiative bestätigte, dass Meldungen im Frühjahr und Sommer 2025 begannen und nach einer Fristverlängerung bis März 2026 öffentlich gewarnt wurde.

Bei der Bewertung der Gefährdung existieren jedoch Widersprüche in der öffentlichen Darstellung. Verschiedene Berichte unterscheiden sich in der Zahl der unmittelbar relevanten Schwachstellen und in der Nennung einzelner CVE-Nummern, obwohl die Typen der Fehler übereinstimmen. Aussagen zu einzelnen besonders gravierenden, ohne Authentifizierung ausnutzbaren Remote-Code-Execution-Fällen tauchen primär in Zusammenfassungen der Zero Day Initiative auf. Angaben zur genauen Release-Reihenfolge der Fixes variieren zwischen den Mitteilungen.

Für Betreiber bleibt das praktische Vorgehen entscheidend. Systeme sollten priorisiert gepatcht werden. Wo ein sofortiges Update nicht möglich ist, sind die beschriebenen Netz- und Konfigurationsmassnahmen zwingend. Restriktionen des Zugangs, Least-Privilege-Prinzipien, Monitoring, Netzwerksegmentierung und der Einsatz von Web Application Firewalls minimieren das Risiko bis zur Installation der Patches.

Related Articles

Ivanti nennt EPM 2024 SU6 als die Version, die die beschriebenen Probleme behebt. Systemverantwortliche sollten im Ivanti-Kundencenter prüfen, ob SU6 für ihre Installationen bereitsteht, und das Update umgehend einspielen.

Dieser Artikel wurde mit KI-Unterstützung erstellt.