威脅情報

危急CVSS9.8#CVE-2026-121653 #Ivanti #Ivanti Endpoint Manager #EPM #SQL 注入 #遠端程式碼執行 #Patch Tuesday #CVE-2026-121683

CVE-2026-121653 — Ivanti Endpoint Manager SQL 注入（未認證遠端程式碼執行，CVSS 9.8）：解析與對策（已在 2024 SU8 中修復）

CVE-2026-121653：Ivanti Endpoint Manager Core 中的SQL隱碼攻擊可導致未認證RCE（CVSS 9.8）。2024 SU7及更早版本受影響；2024 SU8已修復。

發布於 2026-11-12 更新於 2026-11-12 最後核實 2026-11-12 閱讀時間 3 分鐘

本頁內容

這是一篇關於 Ivanti Endpoint Manager（EPM）中一個可導致未認證遠端程式碼執行的 SQL 注入的解析。本文從防禦方的角度說明發生了什麼、誰受影響以及如何應對，不涉及攻擊步驟。

公告摘要 — ADVISORY

CVE: CVE-2026-121653（Ivanti Endpoint Manager；Core 中的 SQL 注入）
嚴重度: CVSS 9.8（Critical；向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；由 Ivanti 分配。公告寫作 3.0，CVE 記錄和 NVD 寫作 3.1）
型別: SQL 注入（CWE-89）
影響: 遠端未認證的攻擊者可實現遠端程式碼執行
受影響: Ivanti Endpoint Manager 2024 SU7 及更早版本（CVE 記錄寫作「before 2024 SU8」）
修復: 2024 SU8（可從 Ivanti 的下載門戶 ILS 獲取）
釋出: 2026年11月10日
利用情況: Ivanti 稱在披露時未發現客戶遭到利用。截至2026年11月12日未列入 KEV

9.8

CVSS（Ivanti）

無需認證

遠端程式碼執行

2024 SU8

修復版本

無已知利用

Ivanti 的宣告

拖延的風險

產品不同，但兩個 Ivanti Connect Secure 漏洞已於2026年10月30日被列入 KEV（參見我們的 Ivanti Connect Secure 文章）。這個 EPM 缺陷尚無已知利用，但無需認證、可透過網路存取且攻擊複雜度低的缺陷，正是一旦公開就會被人研究的那一類。

這是什麼樣的漏洞

Ivanti 的公告稱，EPM Core 中的 SQL 注入使遠端未認證的攻擊者可以實現遠端程式碼執行。它被歸類為 CWE-89。

無需認證（PR:N），可透過網路利用，且無需使用者互動（UI:N）。攻擊複雜度低（AC:L）。
CISA 的 SSVC 評估為：利用情況 none、可自動化 yes、技術影響 total。
公告沒有描述入口點或輸入如何構造，本站同樣不描述。
Ivanti 稱，該缺陷是透過其負責任披露計劃披露的。

受影響範圍

項目	詳情
產品	Ivanti Endpoint Manager（EPM）Core
受影響版本	2024 SU7 及更早版本（公告）。CVE 記錄寫作「before 2024 SU8」
修復版本	2024 SU8（從 ILS 獲取）
臨時解決辦法 / 緩解措施	公告中未找到
同一公告中的其他 CVE	CVE-2026-18128（Agent 中的明文傳輸，CVSS 6.8，針對處於中間人位置的攻擊者）；同樣在 2024 SU8 中修復
另一份公告	Cloud Services Application（CSA）5.0.8，CVE-2026-121683（缺少認證，CVSS 9.4）。已在 CSA 5.0.8.1 中修復；CSA 5.0.7 及更早版本不受影響

公告沒有提及比 2024 更早的釋出線（例如 2022）。如果您執行的是這些版本，請諮詢 Ivanti。
對於 CSA，Ivanti 稱，在 Dual NIC 配置（Ivanti 推薦的做法）下，暴露面僅限於內部介面，無法從外部利用。

如何確認自己是否受影響

檢查 EPM 版本

在 EPM 控制檯中，檢查當前版本和 Service Update（SU）編號。2024 SU7 或更早版本受影響。如果您執行多個 Core，請逐個檢查。對於較大的環境，請按資產清點清單所述將它們列出。

檢查 EPM Core 的暴露範圍

查詢是否有任何路徑可從網際網路一側到達 EPM Core（開放埠、反向代理、雲暴露設定）。如果您用它管理遠端裝置，請梳理它們使用哪些路徑。

檢查是否使用 CSA

如果您使用 Cloud Services Application，請檢查是否為 5.0.8。如果是，請更新到 5.0.8.1。

今天該做什麼

把 EPM 更新到 2024 SU8（最優先）

從 Ivanti 的下載門戶（ILS）獲取 2024 SU8 並應用。請先備份資料庫和 Core 配置。

更新之前限制對 Core 的存取

公告沒有列出臨時解決辦法。作為本站的補充，請把對 Core 的存取限制在管理網路和需要存取的裝置上，不要將其直接暴露在網際網路上。關閉路徑之前，請先檢查對遠端裝置管理的影響。

檢視更新之前的日誌

在 Web 伺服器和資料庫日誌中查詢意外錯誤或可疑操作的痕跡。Ivanti 稱目前沒有公開已知的入侵指標。如果發現異常，請遵循漏洞響應實務手冊。

如果使用 CSA，請將其更新到 5.0.8.1

如果您執行的是 CSA 5.0.8，請更新到 5.0.8.1，並確認其為 Dual NIC 配置。

訂閱 Ivanti 的通知

Ivanti 定期釋出公告。請確保有人在公告發布當天就能注意到，這樣下次的應對會更快。

利用情況

Ivanti 的公告稱，在公開披露之前，未發現任何客戶因該漏洞而遭到利用。
該 CVE 未列入 CISA 的 KEV 目錄（KEV 版本 2026.11.10，2026年11月12日查閱）。
CISA 的 SSVC 評估為利用情況 none。
NVD 顯示為「Received」，尚未分析。9.8 是 Ivanti 給出的值。
無法找到關於任何攻擊的規模、手法或行為者的公開資訊。

資訊來源

Ivanti — Security Advisory Ivanti Endpoint Manager (EPM) November 2026（2026年11月10日釋出；受影響和修復版本、利用宣告）
Ivanti — Security Advisory Ivanti CSA (CVE-2026-121683)（CSA 的公告，含緩解措施）
CVE.org — CVE-2026-121653（2026年11月10日釋出；含 CISA 的 SSVC 評估）
NVD — CVE-2026-121653（Received；CVSS 9.8）
CISA — Known Exploited Vulnerabilities Catalog（未列入此 CVE）

把對 Core 的存取限制在管理網路內，是本站建議的通用防禦措施，不是 Ivanti 公告中的臨時解決辦法。最後確認：2026年11月12日。

FAQ

QCVE-2026-121653 是什麼？

Ivanti Endpoint Manager（EPM）的 Core 中的 SQL 注入（CWE-89）。Ivanti 的公告稱，遠端未認證的攻擊者可實現遠端程式碼執行。CVSS 為 9.8（Critical），由 Ivanti 分配（公告把向量寫作 3.0，CVE 記錄寫作 3.1；評分相同）。

Q哪些版本受影響，修復方式是什麼？

根據 Ivanti 的公告，EPM 2024 SU7 及更早版本受影響，修復版本為 2024 SU8，可從 Ivanti 的下載門戶（ILS）獲取。公告沒有提及比 2024 更早的釋出線（例如 2022）。如果您執行的是這些版本，請諮詢 Ivanti。

Q需要認證嗎？

不需要。公告和 CVE 記錄描述的都是遠端未認證的攻擊者。CVSS 向量中同樣是無需許可權（PR:N）、無需使用者互動（UI:N）。

Q如果暫時無法更新，有臨時辦法嗎？

公告沒有列出任何臨時解決辦法或緩解措施。Ivanti 的修復方式是更新到 2024 SU8。作為本站自己的補充，在能夠更新之前，請把對 EPM Core 的存取限制在管理網路內，不要將其暴露在網際網路上。

Q是否已經被利用？

Ivanti 稱，在披露時未發現客戶因該漏洞而遭到利用。截至2026年11月12日，它也未列入 CISA 的 KEV 目錄。CISA 的 SSVC 評估為：利用情況 none、可自動化 yes、技術影響 total。

Q同一天修復的其他 Ivanti 漏洞呢？

同一份 EPM 公告還涵蓋 CVE-2026-18128（Agent 中的明文傳輸，CVSS 6.8，針對處於中間人位置的攻擊者），由同一個 2024 SU8 修復。另一份公告涵蓋 CVE-2026-121683（Cloud Services Application 中的缺少認證，CVSS 9.4），已在 CSA 5.0.8.1 中修復。