威胁动态

严重CVSS9.8#CVE-2026-121653 #Ivanti #Ivanti Endpoint Manager #EPM #SQL 注入 #远程代码执行 #Patch Tuesday #CVE-2026-121683

CVE-2026-121653 — Ivanti Endpoint Manager SQL 注入（未认证远程代码执行，CVSS 9.8）：解析与对策（已在 2024 SU8 中修复）

CVE-2026-121653：Ivanti Endpoint Manager Core 中的SQL注入可导致未认证RCE（CVSS 9.8）。2024 SU7及更早版本受影响；2024 SU8已修复。

发布于 2026-11-12 更新于 2026-11-12 最后核实 2026-11-12 3 分钟阅读

本页目录

这是一篇关于 Ivanti Endpoint Manager（EPM）中一个可导致未认证远程代码执行的 SQL 注入的解析。本文从防御方的角度说明发生了什么、谁受影响以及如何应对，不涉及攻击步骤。

公告摘要 — ADVISORY

CVE: CVE-2026-121653（Ivanti Endpoint Manager；Core 中的 SQL 注入）
严重度: CVSS 9.8（Critical；向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；由 Ivanti 分配。公告写作 3.0，CVE 记录和 NVD 写作 3.1）
类型: SQL 注入（CWE-89）
影响: 远程未认证的攻击者可实现远程代码执行
受影响: Ivanti Endpoint Manager 2024 SU7 及更早版本（CVE 记录写作「before 2024 SU8」）
修复: 2024 SU8（可从 Ivanti 的下载门户 ILS 获取）
发布: 2026年11月10日
利用情况: Ivanti 称在披露时未发现客户遭到利用。截至2026年11月12日未列入 KEV

9.8

CVSS（Ivanti）

无需认证

远程代码执行

2024 SU8

修复版本

无已知利用

Ivanti 的声明

拖延的风险

产品不同，但两个 Ivanti Connect Secure 漏洞已于2026年10月30日被列入 KEV（参见我们的 Ivanti Connect Secure 文章）。这个 EPM 缺陷尚无已知利用，但无需认证、可通过网络访问且攻击复杂度低的缺陷，正是一旦公开就会被人研究的那一类。

这是什么样的漏洞

Ivanti 的公告称，EPM Core 中的 SQL 注入使远程未认证的攻击者可以实现远程代码执行。它被归类为 CWE-89。

无需认证（PR:N），可通过网络利用，且无需用户交互（UI:N）。攻击复杂度低（AC:L）。
CISA 的 SSVC 评估为：利用情况 none、可自动化 yes、技术影响 total。
公告没有描述入口点或输入如何构造，本站同样不描述。
Ivanti 称，该缺陷是通过其负责任披露计划披露的。

受影响范围

项目	详情
产品	Ivanti Endpoint Manager（EPM）Core
受影响版本	2024 SU7 及更早版本（公告）。CVE 记录写作「before 2024 SU8」
修复版本	2024 SU8（从 ILS 获取）
临时解决办法 / 缓解措施	公告中未找到
同一公告中的其他 CVE	CVE-2026-18128（Agent 中的明文传输，CVSS 6.8，针对处于中间人位置的攻击者）；同样在 2024 SU8 中修复
另一份公告	Cloud Services Application（CSA）5.0.8，CVE-2026-121683（缺少认证，CVSS 9.4）。已在 CSA 5.0.8.1 中修复；CSA 5.0.7 及更早版本不受影响

公告没有提及比 2024 更早的发布线（例如 2022）。如果您运行的是这些版本，请咨询 Ivanti。
对于 CSA，Ivanti 称，在 Dual NIC 配置（Ivanti 推荐的做法）下，暴露面仅限于内部接口，无法从外部利用。

如何确认自己是否受影响

检查 EPM 版本

在 EPM 控制台中，检查当前版本和 Service Update（SU）编号。2024 SU7 或更早版本受影响。如果您运行多个 Core，请逐个检查。对于较大的环境，请按资产清点清单所述将它们列出。

检查 EPM Core 的暴露范围

查找是否有任何路径可从互联网一侧到达 EPM Core（开放端口、反向代理、云暴露设置）。如果您用它管理远程设备，请梳理它们使用哪些路径。

检查是否使用 CSA

如果您使用 Cloud Services Application，请检查是否为 5.0.8。如果是，请更新到 5.0.8.1。

今天该做什么

把 EPM 更新到 2024 SU8（最优先）

从 Ivanti 的下载门户（ILS）获取 2024 SU8 并应用。请先备份数据库和 Core 配置。

更新之前限制对 Core 的访问

公告没有列出临时解决办法。作为本站的补充，请把对 Core 的访问限制在管理网络和需要访问的设备上，不要将其直接暴露在互联网上。关闭路径之前，请先检查对远程设备管理的影响。

查看更新之前的日志

在 Web 服务器和数据库日志中查找意外错误或可疑操作的痕迹。Ivanti 称目前没有公开已知的入侵指标。如果发现异常，请遵循漏洞响应实务手册。

如果使用 CSA，请将其更新到 5.0.8.1

如果您运行的是 CSA 5.0.8，请更新到 5.0.8.1，并确认其为 Dual NIC 配置。

订阅 Ivanti 的通知

Ivanti 定期发布公告。请确保有人在公告发布当天就能注意到，这样下次的应对会更快。

利用情况

Ivanti 的公告称，在公开披露之前，未发现任何客户因该漏洞而遭到利用。
该 CVE 未列入 CISA 的 KEV 目录（KEV 版本 2026.11.10，2026年11月12日查阅）。
CISA 的 SSVC 评估为利用情况 none。
NVD 显示为「Received」，尚未分析。9.8 是 Ivanti 给出的值。
无法找到关于任何攻击的规模、手法或行为者的公开信息。

信息来源

Ivanti — Security Advisory Ivanti Endpoint Manager (EPM) November 2026（2026年11月10日发布；受影响和修复版本、利用声明）
Ivanti — Security Advisory Ivanti CSA (CVE-2026-121683)（CSA 的公告，含缓解措施）
CVE.org — CVE-2026-121653（2026年11月10日发布；含 CISA 的 SSVC 评估）
NVD — CVE-2026-121653（Received；CVSS 9.8）
CISA — Known Exploited Vulnerabilities Catalog（未列入此 CVE）

把对 Core 的访问限制在管理网络内，是本站建议的通用防御措施，不是 Ivanti 公告中的临时解决办法。最后确认：2026年11月12日。

FAQ

QCVE-2026-121653 是什么？

Ivanti Endpoint Manager（EPM）的 Core 中的 SQL 注入（CWE-89）。Ivanti 的公告称，远程未认证的攻击者可实现远程代码执行。CVSS 为 9.8（Critical），由 Ivanti 分配（公告把向量写作 3.0，CVE 记录写作 3.1；评分相同）。

Q哪些版本受影响，修复方式是什么？

根据 Ivanti 的公告，EPM 2024 SU7 及更早版本受影响，修复版本为 2024 SU8，可从 Ivanti 的下载门户（ILS）获取。公告没有提及比 2024 更早的发布线（例如 2022）。如果您运行的是这些版本，请咨询 Ivanti。

Q需要认证吗？

不需要。公告和 CVE 记录描述的都是远程未认证的攻击者。CVSS 向量中同样是无需权限（PR:N）、无需用户交互（UI:N）。

Q如果暂时无法更新，有临时办法吗？

公告没有列出任何临时解决办法或缓解措施。Ivanti 的修复方式是更新到 2024 SU8。作为本站自己的补充，在能够更新之前，请把对 EPM Core 的访问限制在管理网络内，不要将其暴露在互联网上。

Q是否已经被利用？

Ivanti 称，在披露时未发现客户因该漏洞而遭到利用。截至2026年11月12日，它也未列入 CISA 的 KEV 目录。CISA 的 SSVC 评估为：利用情况 none、可自动化 yes、技术影响 total。

Q同一天修复的其他 Ivanti 漏洞呢？

同一份 EPM 公告还涵盖 CVE-2026-18128（Agent 中的明文传输，CVSS 6.8，针对处于中间人位置的攻击者），由同一个 2024 SU8 修复。另一份公告涵盖 CVE-2026-121683（Cloud Services Application 中的缺少认证，CVSS 9.4），已在 CSA 5.0.8.1 中修复。