Разбор SQL-инъекции в Ivanti Endpoint Manager (EPM), которая может привести к удалённому выполнению кода без аутентификации. Описано, что происходит, кого это касается и как реагировать, с точки зрения защитника и без шагов атаки.
- CVE
- CVE-2026-121653 (Ivanti Endpoint Manager; SQL-инъекция в Core)
- Тяжесть
- CVSS 9.8 (Critical; вектор AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; присвоена Ivanti. Бюллетень указывает 3.0, запись CVE и NVD — 3.1)
- Тип
- SQL-инъекция (CWE-89)
- Воздействие
- Удалённое выполнение кода удалённым неаутентифицированным атакующим
- Затронуто
- Ivanti Endpoint Manager 2024 SU7 и ранее (запись CVE указывает «before 2024 SU8»)
- Исправление
- 2024 SU8 (с портала загрузок Ivanti, ILS)
- Опубликовано
- 10 ноября 2026 года
- Эксплуатация
- Ivanti заявляет, что на момент раскрытия ей не известно об эксплуатации у клиентов. По состоянию на 12 ноября 2026 года нет в KEV
Чем опасно ожидание
Это другой продукт, но две уязвимости Ivanti Connect Secure были добавлены в KEV 30 октября 2026 года (см. нашу статью об Ivanti Connect Secure). Об эксплуатации этой уязвимости EPM не известно, но уязвимости без аутентификации, доступные по сети и с низкой сложностью — как раз те, которые изучают после публикации.
Что это за уязвимость
Бюллетень Ivanti сообщает, что SQL-инъекция в Core EPM позволяет удалённому неаутентифицированному атакующему добиться удалённого выполнения кода. Классифицируется как CWE-89.
- Аутентификация не требуется (PR:N), работает по сети, взаимодействие пользователя не нужно (UI:N). Сложность атаки низкая (AC:L).
- Оценка SSVC CISA: эксплуатации нет, автоматизируемость есть, технический эффект полный.
- Бюллетень не описывает точку входа и способ построения входных данных, и этот сайт тоже не описывает.
- Ivanti говорит, что уязвимость была раскрыта через её программу ответственного раскрытия.
Затронутые версии
| Пункт | Подробности |
|---|---|
| Продукт | Core Ivanti Endpoint Manager (EPM) |
| Затронутые версии | 2024 SU7 и ранее (бюллетень). Запись CVE указывает «before 2024 SU8» |
| Исправленная версия | 2024 SU8 (из ILS) |
| Обходные пути / смягчение | В бюллетене не найдены |
| Другая CVE в том же бюллетене | CVE-2026-18128 (передача в открытом виде в Agent, CVSS 6.8, для атакующего в позиции «человек посередине»); также исправлена в 2024 SU8 |
| Отдельный бюллетень | Cloud Services Application (CSA) 5.0.8, CVE-2026-121683 (отсутствие аутентификации, CVSS 9.4). Исправлено в CSA 5.0.8.1; CSA 5.0.7 и ранее не затронуты |
- Ветки старше 2024 (например, 2022) в бюллетене не упоминаются. Если вы используете такую, спросите Ivanti.
- Для CSA Ivanti говорит, что при конфигурации Dual NIC (рекомендуемая Ivanti практика) доступ ограничен внутренним интерфейсом, и снаружи уязвимость эксплуатировать нельзя.
Как проверить, затронуты ли вы
Проверьте версию EPM
В консоли EPM проверьте текущую версию и номер Service Update (SU). 2024 SU7 или ранее затронуты. Если у вас несколько Core, проверьте каждый. Для крупной инфраструктуры составьте перечень по чек-листу инвентаризации активов.
Проверьте, насколько широко доступен Core EPM
Найдите любой путь, который ведёт к Core EPM со стороны интернета (открытые порты, обратные прокси, настройки облачной доступности). Если вы управляете с его помощью удалёнными устройствами, выясните, какими путями они пользуются.
Проверьте, используете ли вы CSA
Если вы используете Cloud Services Application, проверьте, не версия ли это 5.0.8. Если да, обновитесь до 5.0.8.1.
Что делать сегодня
Обновите EPM до 2024 SU8 (главный приоритет)
Получите 2024 SU8 на портале загрузок Ivanti (ILS) и примените. Сначала сделайте резервную копию базы данных и конфигурации Core.
Ограничьте доступ к Core до обновления
В бюллетене нет обходного пути. В качестве дополнения этого сайта ограничьте доступ к Core управляющей сетью и нужными устройствами и не выставляйте его напрямую в интернет. Прежде чем закрывать пути, проверьте влияние на управление удалёнными устройствами.
Просмотрите журналы до обновления
Поищите в журналах веб-сервера и базы данных неожиданные ошибки или следы подозрительных операций. Ivanti говорит, что публично известных индикаторов компрометации сейчас нет. Если вы что-то нашли, следуйте руководству по устранению уязвимостей.
Если вы используете CSA, обновите до 5.0.8.1
Если вы используете CSA 5.0.8, обновите до 5.0.8.1 и убедитесь, что применена конфигурация Dual NIC.
Подпишитесь на уведомления Ivanti
Ivanti публикует бюллетени по регулярному графику. Позаботьтесь, чтобы кто-то замечал их в день публикации, тогда следующая реакция будет быстрее.
Статус эксплуатации
- Бюллетень Ivanti заявляет, что до публичного раскрытия ей не было известно об эксплуатации этой уязвимости у клиентов.
- CVE нет в каталоге KEV CISA (версия KEV 2026.11.10, проверено 12 ноября 2026 года).
- Оценка SSVC CISA: эксплуатации нет.
- NVD показывает «Received» и ещё не проанализировала её. 9.8 — значение Ivanti.
- Публичной информации о масштабе, методах или участниках каких-либо атак найти не удалось.
Источники
- Ivanti — Security Advisory Ivanti Endpoint Manager (EPM) November 2026 (опубликовано 10 ноября 2026 года; затронутые и исправленные версии, заявление об эксплуатации)
- Ivanti — Security Advisory Ivanti CSA (CVE-2026-121683) (бюллетень по CSA, с мерой смягчения)
- CVE.org — CVE-2026-121653 (опубликовано 10 ноября 2026 года; включает оценку SSVC CISA)
- NVD — CVE-2026-121653 (Received; CVSS 9.8)
- CISA — Known Exploited Vulnerabilities Catalog (этой CVE в списке нет)
Ограничение доступа к Core управляющей сетью — общая защитная мера, предлагаемая этим сайтом, а не обходной путь из бюллетеня Ivanti. Последняя проверка: 12 ноября 2026 года.
Читайте далее
- Тот же производитель: Уязвимости Ivanti Connect Secure / Эксплуатируемые уязвимости периферийных устройств
- Практика: Руководство по устранению уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Термины: Что такое SQL-инъекция? / Что такое RCE?