Hledat English

Kritické CVSS 9,8 Aktuálně

Ivanti opravil 13 chyb: kritická SQL injection v Endpoint Manageru a chybějící ověření v CSA

Ivanti v úterý 10. listopadu 2026 vydal opravy pro pět produktů: Endpoint Manager (EPM), Cloud Services Application (CSA), Endpoint Manager Mobile (EPMM), Sentry a User Workspace Manager. Ze 13 chyb jsou dvě kritické a obě jdou zneužít bez přihlášení: SQL injection v jádru EPM vedoucí ke spuštění kódu a chybějící ověření v CSA, přes které lze měnit důvěryhodné certifikáty jádra EPM. Ivanti o zneužívání neví. Co aktualizovat jako první.

Redakce Kyberkitu · · událost ze dne · čtení na 4 minuty · Pro správce a analytiky

Kritické: Ivanti, CVE-2026-121653, CVSS 9,8

Ve zkratce

  • Týká se: správců Ivanti Endpoint Manager (dříve LANDesk), jeho cloudové brány Cloud Services Application, mobilní správy EPMM, brány Sentry a User Workspace Manageru.
  • Nejnebezpečnější: CVE-2026-121653 (CVSS 9,8) – SQL injection v jádru (Core) Endpoint Manageru, útočník bez přihlášení může spustit kód. Opraveno ve verzi 2024 SU8. Jádro EPM má administrátorský přístup ke všem spravovaným počítačům.
  • CVE-2026-121683 (CVSS 9,4) – v Cloud Services Application 5.0.8 chybí ověření, útočník bez přihlášení může přidávat a mazat důvěryhodné certifikáty jádra EPM.
  • Dalších 11 chyb má vysokou nebo střední závažnost a většina vyžaduje účet administrátora – nejvážnější je vkládání příkazů do OS v Sentry a EPMM (CVE-2026-105425, CVSS 7,2). Ivanti o zneužití neví a indikátory nezveřejnil.

Zranitelnosti: CVE-2026-121653, CVE-2026-121683, CVE-2026-105425

Co se stalo

Ivanti v úterý 10. listopadu 2026 v rámci pravidelného měsíčního vydání oprav zveřejnil advisory pro pět produktů. V NVD k nim přibylo 13 záznamů CVE, z toho dva kritické:

CVE Produkt Typ chyby CVSS 3.1 Přihlášení
CVE-2026-121653 Endpoint Manager (Core) SQL injection → spuštění kódu (CWE-89) 9,8 ne
CVE-2026-121683 Cloud Services Application chybějící ověření (CWE-306) 9,4 ne
CVE-2026-105425 Sentry, EPMM vkládání příkazů do OS (CWE-78) 7,2 ano, administrátor
CVE-2026-18128 Endpoint Manager (agent) přenos v otevřené podobě (CWE-319) 6,8 ne (útočník uprostřed)

Zbylých devět chyb má střední závažnost (CVSS 4,9–6,7) a s jednou výjimkou (UWM) vyžadují účet administrátora. Ivanti uvádí, že o zneužití neví a že se chyby netýkají jiných jeho produktů.

Technické podrobnosti

Údaje jsou ze záznamů NVD, které vyplnil Ivanti jako přidělovatel CVE. Advisory na portálu Ivanti se načítají jen přes JavaScript; technický rozbor zatím nevyšel. Návod ke zneužití nezveřejňujeme.

  • Endpoint Manager Core (CVE-2026-121653, CVSS 9,8): SQL injection v jádru EPM před verzí 2024 SU8 umožní vzdálenému útočníkovi bez přihlášení spustit kód. Vektor AV:N/AC:L/PR:N/UI:N znamená útok po síti, bez účtu a bez účasti oběti. Jádro EPM má administrátorský přístup ke spravovaným počítačům, takže jeho převzetí může útočníkovi otevřít celou síť stanic.
  • Cloud Services Application (CVE-2026-121683, CVSS 9,4): v CSA verze 5.0.8 chybí ověření u funkce, která spravuje důvěryhodné certifikáty jádra EPM. Útočník bez přihlášení je může přidávat a mazat. Záznam v NVD si ve verzích protiřečí (popis uvádí 5.0.8 jako zranitelnou, strojová data ji značí jako nezasaženou) – opravenou verzi si ověřte v advisory Ivanti.
  • Sentry a EPMM (CVE-2026-105425, CVSS 7,2): vkládání příkazů do OS, které vyžaduje účet administrátora. Nebezpečné je hlavně v kombinaci s ukradenými přihlašovacími údaji.
  • Endpoint Manager agent (CVE-2026-18128, CVSS 6,8): agent před 2024 SU8 posílá část komunikace přes nešifrované HTTP; útočník v pozici „uprostřed“ ji může číst a měnit.
  • Ostatní: EPMM – nastavení parametrů jádra Linuxu jako root (CVE-2026-105426), vypnutí HTTPS (CVE-2026-105427), mazání souborů (CVE-2026-107404), odepření služby (CVE-2026-107405), únik osobních údajů uživatelů (CVE-2026-83528); Sentry – spouštění binárek (CVE-2026-105669), odepření služby (CVE-2026-123179), path traversal (CVE-2026-123181); UWM – token relace uložený v otevřené podobě (CVE-2026-105813).
Proč je SQL injection v jádru Ivanti Endpoint Manageru nebezpečná1. Útočník dosáhne po síti na jádro Endpoint Manageru (z internetu nebo po průniku do vnitřní sítě); 2. Bez přihlášení pošle požadavek se škodlivým SQL; 3. Spuštění kódu na serveru jádra EPM; 4. Zneužití správy stanic – rozeslání softwaru nebo příkazů na spravované počítače1Útočník dosáhne po síti na jádroEndpoint Manageru (z internetu nebopo průniku do vnitřní sítě)2Bez přihlášení pošle požadavek seškodlivým SQL3Spuštění kódu na serveru jádra EPM4Zneužití správy stanic – rozeslánísoftwaru nebo příkazů na spravovanépočítače
Možná cesta útočníka k neopravenému jádru EPM (podle záznamu CVE-2026-121653)

Koho se to týká

Produkt Zranitelné Opravené
Endpoint Manager (CVE-2026-121653, CVE-2026-18128) před 2024 SU8 2024 SU8
Cloud Services Application (CVE-2026-121683) 5.0.8 podle advisory Ivanti
Sentry (CVE-2026-105425) před 11.0.0, 10.8.3, 10.7.4 11.0.0, 10.8.3, 10.7.4
Endpoint Manager Mobile (CVE-2026-105425) před 12.11.0.0, 12.10.0.1, 12.9.0.3 12.11.0.0, 12.10.0.1, 12.9.0.3
User Workspace Manager (CVE-2026-105813) před 2026.4 2026.4

Opravené verze EPMM a Sentry jsou ze záznamu CVE-2026-105425; u ostatních chyb EPMM a Sentry si je ověřte v advisory.

Jak poznat napadení

Ivanti indikátory napadení nezveřejnil. Co doporučujeme sledovat (vlastní doporučení, ne pokyn Ivanti):

  • Jádro EPM: neobvyklé požadavky na webové služby jádra z adres mimo správu, chyby SQL v logu IIS a SQL Serveru, nové procesy spouštěné webovým serverem (w3wp.exe) nebo databází (sqlservr.exe), nové úlohy rozesílání softwaru a noví administrátoři konzole.
  • CSA: změny v seznamu důvěryhodných certifikátů jádra EPM, které jste neprováděli.
  • Sentry a EPMM: přihlášení administrátorů z neznámých adres a změny konfigurace mimo servisní okna.

Indikátory, které případně zveřejní Ivanti nebo CERT, si ze zprávy vytáhnete v extraktoru IOC. Vektory si přepočítáte v CVSS kalkulačce.

Co udělat

  1. Endpoint Manager: aktualizujte jádro na 2024 SU8. Do té doby omezte přístup k jádru jen na adresy spravovaných počítačů a správců; z internetu by jádro dostupné být nemělo.
  2. Cloud Services Application: aktualizujte na verzi z advisory Ivanti a po aktualizaci zkontrolujte seznam důvěryhodných certifikátů jádra.
  3. Sentry (11.0.0 / 10.8.3 / 10.7.4) a EPMM (12.11.0.0 / 12.10.0.1 / 12.9.0.3): aktualizujte v nejbližším servisním okně a omezte přístup ke správcovským rozhraním na vnitřní síť.
  4. User Workspace Manager: aktualizujte na 2026.4.
  5. Zkontrolujte, kdo má administrátorský účet v EPMM a Sentry, a zapněte vícefázové ověření – většina zbylých chyb ho vyžaduje.

Pokud máte i Ivanti Connect Secure, přečtěte si zprávu o zneužívaných chybách v Connect Secure – ty se listopadovými opravami neřeší.

Časová osa

Časová osa listopadových oprav Ivanti v roce 202610. 11. 2026: Ivanti vydává opravy pro EPM, CSA, EPMM, Sentry a UWM; o zneužití neví; 10. 11. 2026: NVD zveřejňuje 13 záznamů CVE, dva kritické; 11. 11. 2026: Chyby nejsou v CISA KEV10. 11. 2026Ivanti vydává opravy pro EPM,CSA, EPMM, Sentry a UWM;o zneužití neví10. 11. 2026NVD zveřejňuje 13 záznamůCVE, dva kritické11. 11. 2026Chyby nejsou v CISA KEV
Zveřejnění oprav (Ivanti, NVD)

Aktualizace

  • 11. 11. 2026 – první verze článku.

Časté otázky

Zneužívají se tyto chyby?

Ivanti ve svém přehledu z 10. 11. 2026 píše, že o zneužití neví, a žádná z chyb není v katalogu CISA KEV. CISA u CVE-2026-105425 v hodnocení SSVC uvádí zneužití „none“. Produkty Ivanti ale útočníci dlouhodobě cílí a chyby bez přihlášení s CVSS nad 9 doporučujeme opravit do několika dnů.

Máme Endpoint Manager jen ve vnitřní síti. Spěchá to?

Méně než u systému vystaveného do internetu, ale jádro EPM je pro útočníka velmi cenné – rozesílá software a příkazy na všechny spravované počítače. Kdo se dostane do vnitřní sítě (třeba po phishingu), může přes SQL injection bez přihlášení převzít jádro a tím celou správu stanic. Aktualizujte v nejbližším servisním okně.

Co je Cloud Services Application a proč je chyba v certifikátech vážná?

CSA je brána, přes kterou se k jádru Endpoint Manageru připojují počítače mimo firemní síť. Podle NVD útočník bez přihlášení může přidávat a mazat záznamy důvěryhodných certifikátů jádra EPM. Ivanti další dopad nepopisuje; vektor CVSS uvádí vysoký dopad na integritu a dostupnost (I:H/A:H) – útočník tak může narušit důvěru mezi branou a jádrem nebo spojení přerušit.

Týká se to Ivanti Connect Secure?

Ne. Ivanti výslovně píše, že listopadové chyby se netýkají jiných jeho produktů. Zneužívané chyby v Connect Secure z listopadu 2026 popisujeme v samostatném článku.

Zdroje

  1. Ivanti – November 2026 Security Update (10. 11. 2026)
  2. Ivanti – Security Advisory Ivanti Endpoint Manager (EPM) November 2026
  3. Ivanti – Security Advisory Ivanti CSA (CVE-2026-121683)
  4. NVD – CVE-2026-121653 (Ivanti Endpoint Manager, SQL injection)
  5. NVD – CVE-2026-121683 (Ivanti Cloud Services Application)
  6. NVD – CVE-2026-105425 (Ivanti Sentry a EPMM, vkládání příkazů)

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.