Ivanti schließt kritische Lücken – zwei Angriffe brauchen kein Login
Ivanti hat am 8. September 2026 Sicherheitsupdates für Neurons for ITSM, Sentry und Endpoint Manager Mobile (EPMM) veröffentlicht. Das September-Update von Ivanti umfasst alle drei Produktfamilien; Hinweise auf eine aktive Ausnutzung der darin behandelten Schwachstellen lagen dem Hersteller bei der Veröffentlichung nicht vor.
Besonders kritisch sind CVE-2026-12744 und CVE-2026-12745 in Neurons for ITSM: Beide erlauben einem entfernten Angreifer, ohne Benutzerkonto beliebigen Code auf dem Server auszuführen. Neben ungepatchten On-Premises-Zweigen waren auch Cloud-Ausgaben vor mo2026.2 betroffen; die betreuten Cloud-Umgebungen haben den Patch nach den veröffentlichten Angaben bereits erhalten.
Cloud und On-Premises brauchen unterschiedliche Nachweise
Entscheidend ist nicht allein die Produktbezeichnung, sondern die Kombination aus Bereitstellungsart, Versionszweig und installiertem Sicherheitsstand. Die Versionsübersicht des kanadischen Cyber Centre ordnet die betroffenen Ausgaben den jeweiligen Korrekturständen zu:
- Neurons for ITSM Cloud/SaaS: Betroffen sind Ausgaben vor mo2026.2. Für Cloud-Kunden erfolgt die Korrektur innerhalb der von Ivanti betreuten Umgebung.
- Neurons for ITSM On-Premises: In den Zweigen 2025.2, 2025.3, 2025.4 und 2026.1 ist jeweils der September-2026-Sicherheitspatch erforderlich. Zusätzlich gelten Ausgaben vor 2026.2 als betroffen.
- Ivanti Sentry: Als korrigierte Versionen werden R10.6.4, R10.7.3 und R10.8.2 geführt. Frühere Stände der drei Zweige bleiben verwundbar.
- Ivanti EPMM: Die Korrekturen stecken in 12.8.0.4, 12.9.0.2 und 12.10.0.0. Dazu gehören als betroffene Stände unter anderem 12.8.0.3 und älter sowie 12.9.0.1 und älter.
Damit ist „2026.2“ kein universeller Patchnachweis. In der Cloud lautet die maßgebliche Kennzeichnung mo2026.2, während selbst betriebene Installationen entweder Version 2026.2 oder den ausdrücklich bezeichneten September-Patch ihres bestehenden Zweigs benötigen. Ein Inventareintrag mit der Hauptversion 2025.4 oder 2026.1 zeigt deshalb noch nicht, ob die Lücken geschlossen sind.
Zwei ITSM-Lücken führen ohne Konto zur Codeausführung
Die im Titel genannten Angriffspfade sind CVE-2026-12744 und CVE-2026-12745. Ursache ist jeweils die Deserialisierung nicht vertrauenswürdiger Daten; beide Schwachstellen erreichen einen CVSS-Wert von 9,8 und können vor der Authentifizierung aus der Ferne zur Codeausführung missbraucht werden.
Die technische Einordnung von CIS trennt diese beiden Fehler von sechs weiteren ITSM-Lücken: CVE-2026-12645, CVE-2026-12646 und CVE-2026-12647 beruhen auf fehlenden Autorisierungsprüfungen; CVE-2026-12648, CVE-2026-12650 und CVE-2026-12651 sind ebenfalls Deserialisierungsfehler. Alle sechs können zur Codeausführung führen, setzen aber eine erfolgreiche Anmeldung voraus.
Der Unterschied verändert die Angriffsvoraussetzung, nicht die Notwendigkeit der Korrektur. Bei den beiden hervorgehobenen Schwachstellen muss ein Angreifer vor dem Zugriff auf die verwundbare Funktion kein gültiges Konto erlangen. Bei den übrigen sechs ITSM-Fehlern ist ein bereits vorhandener authentifizierter Zugang Teil des Angriffspfads.
Sentry und EPMM folgen einem anderen Muster
Das September-Paket enthält außerdem CVE-2026-83527 in Ivanti Sentry. Diese Schwachstelle ist ebenfalls ohne vorherige Anmeldung aus der Ferne erreichbar, führt aber nicht über denselben Deserialisierungsmechanismus zur Codeausführung. Sie umgeht die Authentifizierung und kann einem Angreifer administrativen Zugriff verschaffen.
Bei EPMM betrifft CVE-2026-18851 eine fehlende Autorisierungsprüfung. Ein entfernter Angreifer kann dadurch seine Rechte bis auf Administratorebene ausweiten, benötigt für die Ausnutzung jedoch bereits einen authentifizierten Zugang. Die gemeinsame Veröffentlichung bedeutet daher weder eine identische technische Ursache noch dieselbe Eintrittshürde.
- Ohne Anmeldung, Codeausführung: CVE-2026-12744 und CVE-2026-12745 in Neurons for ITSM.
- Ohne Anmeldung, administrativer Zugriff: CVE-2026-83527 in Sentry.
- Mit Anmeldung, Rechteausweitung: CVE-2026-18851 in EPMM.
- Mit Anmeldung, Codeausführung: sechs weitere Schwachstellen in Neurons for ITSM.
Die Zahl „zwei“ im Titel bezieht sich somit gezielt auf die beiden kritischen, nicht authentifizierten Wege zur Codeausführung in Neurons for ITSM. Sentry besitzt zwar ebenfalls einen Angriffspfad ohne Login, dessen bestätigte Folge ist jedoch ein Authentifizierungs-Bypass mit administrativem Zugriff.
Keine gemeldete Ausnutzung ist nur eine Momentaufnahme
In den zwischen dem 8. und 10. September veröffentlichten Hinweisen finden sich keine Berichte über eine Ausnutzung dieser neu offengelegten Schwachstellen in realen Angriffen. Dieser Status bedeutet nicht, dass die Fehler praktisch nicht ausnutzbar sind; er beschreibt lediglich den zum Veröffentlichungszeitpunkt bekannten Stand.
Für betreute Cloud-Instanzen und selbst betriebene Systeme ergeben sich daraus unterschiedliche Aufgaben: In der Cloud ist der ausgerollte Wartungsstand maßgeblich, während On-Premises-Betreiber den passenden September-Patch oder eine korrigierte Version nachweisen müssen. Bei Sentry und EPMM lässt sich der Status anhand der festen Versionsgrenzen prüfen.
Der bestätigte Kern der Meldung bleibt damit eine verfügbare Korrektur für konkrete, teils kritische Angriffspfade — nicht ein bereits beobachteter Einbruch. Sollten Ivanti oder Behörden später aktive Ausnutzung melden, würde sich die Priorisierung ändern; bekannte Angriffe auf ältere Ivanti-Schwachstellen sind jedoch kein Beleg für eine Ausnutzung dieser September-CVEs.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.