Uma explicação de uma injeção de SQL no Ivanti Endpoint Manager (EPM) que pode levar à execução remota de código sem autenticação. Cobre o que acontece, quem é afetado e como responder, do ponto de vista do defensor e sem etapas de ataque.
- CVE
- CVE-2026-121653 (Ivanti Endpoint Manager; injeção de SQL no Core)
- Gravidade
- CVSS 9.8 (crítica; vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; atribuído pela Ivanti. O aviso escreve 3.0, o registro CVE e o NVD escrevem 3.1)
- Tipo
- Injeção de SQL (CWE-89)
- Impacto
- Execução remota de código por um atacante remoto sem autenticação
- Afetado
- Ivanti Endpoint Manager 2024 SU7 e anteriores (o registro CVE diz "antes da 2024 SU8")
- Correção
- 2024 SU8 (do portal de downloads da Ivanti, ILS)
- Publicado
- 10 de novembro de 2026
- Exploração
- A Ivanti afirma que não tem conhecimento de clientes explorados no momento da divulgação. Não está no KEV em 12 de novembro de 2026
Risco de esperar
É outro produto, mas duas vulnerabilidades do Ivanti Connect Secure foram adicionadas ao KEV em 30 de outubro de 2026 (veja nosso artigo sobre o Ivanti Connect Secure). Não se conhece exploração desta falha do EPM, mas falhas sem autenticação, acessíveis pela rede e de baixa complexidade são do tipo que é examinado depois de se tornar público.
Que tipo de vulnerabilidade é
O aviso da Ivanti diz que uma injeção de SQL no Core do EPM permite que um atacante remoto sem autenticação obtenha execução remota de código. Está classificada como CWE-89.
- Não é exigida autenticação (PR:N), funciona pela rede e não é necessária interação do usuário (UI:N). A complexidade do ataque é baixa (AC:L).
- A avaliação SSVC da CISA é exploração nenhuma, automatizável sim, impacto técnico total.
- O aviso não descreve o ponto de entrada nem como a entrada é manipulada, e este site também não.
- A Ivanti diz que a falha foi divulgada por meio de seu programa de divulgação responsável.
Escopo afetado
| Item | Detalhe |
|---|---|
| Produto | Core do Ivanti Endpoint Manager (EPM) |
| Versões afetadas | 2024 SU7 e anteriores (aviso). O registro CVE diz "antes da 2024 SU8" |
| Versão corrigida | 2024 SU8 (do ILS) |
| Soluções alternativas / mitigações | Nenhuma encontrada no aviso |
| Outro CVE no mesmo aviso | CVE-2026-18128 (transmissão em texto claro no Agent, CVSS 6.8, para um atacante em posição de intermediário); também corrigido na 2024 SU8 |
| Aviso separado | Cloud Services Application (CSA) 5.0.8, CVE-2026-121683 (autenticação ausente, CVSS 9.4). Corrigido na CSA 5.0.8.1; a CSA 5.0.7 e anteriores não são afetadas |
- As linhas de lançamento anteriores a 2024 (como a 2022) não são mencionadas no aviso. Se você usa uma, pergunte à Ivanti.
- Para a CSA, a Ivanti diz que, com uma configuração Dual NIC (prática recomendada pela Ivanti), a exposição se limita à interface interna e não pode ser explorada externamente.
Como verificar se você é afetado
Verifique a versão do EPM
No console do EPM, verifique a versão atual e o número do Service Update (SU). A 2024 SU7 ou anterior é afetada. Se você executa vários Cores, verifique cada um. Para um parque maior, liste-os como descrito na lista de verificação do inventário de ativos.
Verifique quão exposto está o Core do EPM
Procure qualquer caminho que alcance o Core do EPM pelo lado da internet (portas abertas, proxies reversos, configurações de exposição na nuvem). Se você gerencia dispositivos remotos com ele, mapeie quais caminhos eles usam.
Verifique se você usa a CSA
Se usa o Cloud Services Application, verifique se é a 5.0.8. Se for, atualize para a 5.0.8.1.
O que fazer hoje
Atualize o EPM para a 2024 SU8 (prioridade máxima)
Obtenha a 2024 SU8 no portal de downloads da Ivanti (ILS) e aplique-a. Faça antes um backup do banco de dados e da configuração do Core.
Limite o acesso ao Core até atualizar
O aviso não lista solução alternativa. Como acréscimo deste site, limite o acesso ao Core à rede de gerenciamento e aos dispositivos que precisam dele, e não o exponha diretamente à internet. Verifique o impacto no gerenciamento de dispositivos remotos antes de fechar caminhos.
Revise os logs anteriores à atualização
Procure nos logs do servidor web e do banco de dados erros inesperados ou vestígios de operações suspeitas. A Ivanti diz que, no momento, não há indicadores de comprometimento publicamente conhecidos. Se encontrar algo, siga o guia de correção de vulnerabilidades.
Atualize a CSA para a 5.0.8.1 se a usa
Se você executa a CSA 5.0.8, atualize para a 5.0.8.1 e confirme que está em configuração Dual NIC.
Assine as notificações da Ivanti
A Ivanti publica avisos em um calendário regular. Garanta que alguém os perceba no dia da publicação, para que a próxima resposta seja mais rápida.
Situação da exploração
- O aviso da Ivanti afirma que não tem conhecimento de clientes explorados por esta vulnerabilidade antes da divulgação pública.
- O CVE não está no catálogo KEV da CISA (versão do KEV 2026.11.10, verificada em 12 de novembro de 2026).
- A avaliação SSVC da CISA é exploração nenhuma.
- O NVD mostra "Received" e não o analisou. O 9.8 é o valor da Ivanti.
- Não foi possível encontrar informação pública sobre a escala, as técnicas ou os agentes de quaisquer ataques.
Fontes
- Ivanti — Security Advisory Ivanti Endpoint Manager (EPM) November 2026 (publicado em 10 de novembro de 2026; versões afetadas e corrigidas, declaração sobre exploração)
- Ivanti — Security Advisory Ivanti CSA (CVE-2026-121683) (o aviso da CSA, com uma mitigação)
- CVE.org — CVE-2026-121653 (publicado em 10 de novembro de 2026; inclui a avaliação SSVC da CISA)
- NVD — CVE-2026-121653 (Received; CVSS 9.8)
- CISA — Known Exploited Vulnerabilities Catalog (este CVE não consta)
Limitar o acesso ao Core à rede de gerenciamento é uma defesa geral sugerida por este site, não uma solução alternativa do aviso da Ivanti. Última verificação: 12 de novembro de 2026.
Leia em seguida
- Mesmo fornecedor: Vulnerabilidades do Ivanti Connect Secure / Vulnerabilidades exploradas em dispositivos de borda
- Prática: Guia de correção de vulnerabilidades / Lista de verificação do inventário de ativos
- Julgamento: Priorizar com CVSS, EPSS e KEV
- Termos: O que é injeção de SQL / O que é RCE