CríticoCVSS9.82026-11-12
CVE-2026-121653 — Injeção de SQL no Ivanti Endpoint Manager (execução remota de código sem autenticação, CVSS 9.8): explicação e correção (corrigido na 2024 SU8)
Uma injeção de SQL (CWE-89) no Core do Ivanti Endpoint Manager (EPM). O aviso da Ivanti diz que um atacante remoto sem autenticação poderia obter execução remota de código, com pontuação CVSS de 9.8 (crítica). As versões 2024 SU7 e anteriores são afetadas; a correção é a 2024 SU8. A Ivanti diz que não tem conhecimento de clientes explorados no momento da divulgação, e o CVE não está no KEV. Um produto diferente, o Cloud Services Application (CVE-2026-121683, 9.4), foi corrigido no mesmo dia. Opinião deste site: um servidor de gerenciamento de endpoints é um trampolim para todos os dispositivos que gerencia, então passe logo para a 2024 SU8 mesmo sem relato de exploração, e verifique se o servidor não está exposto à internet.