КритическаяCVSS9.82026-11-12
CVE-2026-121653 — SQL-инъекция в Ivanti Endpoint Manager (удалённое выполнение кода без аутентификации, CVSS 9.8): разбор и исправление (исправлено в 2024 SU8)
SQL-инъекция (CWE-89) в Core Ivanti Endpoint Manager (EPM). Бюллетень Ivanti сообщает, что удалённый неаутентифицированный атакующий может добиться удалённого выполнения кода, оценка CVSS — 9.8 (Critical). Затронуты версии 2024 SU7 и ранее; исправление — 2024 SU8. Ivanti говорит, что на момент раскрытия ей не известно об эксплуатации у клиентов, и CVE нет в KEV. В тот же день исправлен отдельный продукт, Cloud Services Application (CVE-2026-121683, 9.4). Мнение этого сайта: сервер управления конечными устройствами — плацдарм ко всем управляемым им устройствам, поэтому, хотя об эксплуатации не сообщается, перейдите на 2024 SU8 быстро и проверьте, что сервер не доступен из интернета.