Ivanti corrige execução remota de código no EPMM após exploração limitada

CVE-2026-6973 afeta instalações locais do Ivanti Endpoint Manager Mobile e exige autenticação administrativa para chegar à execução remota de código.

Componente	Ivanti Endpoint Manager Mobile em instalações locais, antes das versões 12.6.1.1, 12.7.0.1 e 12.8.0.1.
Vetor	Usuário remoto autenticado com permissão administrativa aciona validação inadequada de entrada no EPMM.
Impacto	CVE-2026-6973 permite execução remota de código no appliance EPMM vulnerável; a exploração observada foi limitada.
Prioridade	Atualizar o EPMM local para os ramos corrigidos e revisar credenciais administrativas, especialmente em ambientes anteriormente explorados por CVE-2026-1281 e CVE-2026-1340.
Versões	Afetadas: versões anteriores a 12.6.1.1, 12.7.0.1 e 12.8.0.1; corrigidas nesses ramos.
Artefatos	CVE-2026-6973, CVE-2026-5786, CVE-2026-5787, CVE-2026-5788 e CVE-2026-7821.
Mitigação	Aplicar correções, validar contas administrativas, confirmar rotação de credenciais e verificar exposição do EPMM local.

Resumo técnico

A Ivanti corrigiu a vulnerabilidade CVE-2026-6973 no Endpoint Manager Mobile, produto usado para gerenciamento de dispositivos móveis em implantações locais. A falha recebeu pontuação CVSS 7.2 e decorre de validação inadequada de entrada. O impacto confirmado é execução remota de código quando o agressor já possui autenticação administrativa no EPMM. Essa pré-condição reduz o conjunto de agentes capazes de explorar a falha diretamente, mas não elimina o risco em ambientes nos quais credenciais privilegiadas tenham sido roubadas, reutilizadas, mantidas sem rotação ou expostas por comprometimentos anteriores.

A exploração em ambiente real foi descrita como limitada, e não há atribuição pública confiável sobre operador, objetivo final, infraestrutura usada ou cadeia completa pós-exploração. Mesmo assim, a presença da vulnerabilidade no catálogo de vulnerabilidades exploradas conhecidas da CISA eleva a urgência operacional para organizações que mantêm EPMM local exposto ou acessível por redes administrativas. Agências civis federais dos Estados Unidos receberam prazo de correção até 10 de maio de 2026, o que também serve como referência de prioridade para equipes que usam o produto em ambientes corporativos, MSPs, redes reguladas ou operações com grande frota móvel.

O escopo técnico é importante: a falha afeta o produto EPMM em instalação local. Não há indicação de impacto em Ivanti Neurons for MDM, Ivanti EPM, Ivanti Sentry ou outros produtos Ivanti citados no contexto da correção. Essa separação evita ações defensivas mal direcionadas. Equipes devem identificar o inventário real de appliances EPMM, versão instalada, exposição de interfaces administrativas, origem dos acessos privilegiados e histórico de credenciais após incidentes envolvendo CVE-2026-1281 e CVE-2026-1340.

Fluxo técnico

CVE-2026-6973 depende de uma condição de autenticação administrativa. O vetor não é uma exploração anônima inicial contra qualquer interface pública; o agressor precisa chegar ao EPMM com uma sessão ou credencial que permita acesso administrativo. A partir dessa posição, a validação incorreta de entrada possibilita que dados controlados pelo usuário alcancem um caminho de execução sensível no appliance. O resultado é execução remota de código no contexto permitido pelo componente vulnerável, com potencial para alterar o estado do servidor, manipular configurações de gerenciamento, preparar persistência local ou apoiar movimentação posterior dentro da infraestrutura administrativa.

A relevância do requisito administrativo deve ser analisada junto ao histórico recente do ambiente. Se uma organização sofreu exploração de falhas anteriores no EPMM, como CVE-2026-1281 e CVE-2026-1340, e não rotacionou credenciais recomendadas, contas privilegiadas ainda podem estar válidas. Nessa condição, CVE-2026-6973 funciona como etapa posterior de abuso: primeiro o operador obtém ou preserva acesso administrativo; depois usa a falha de entrada para executar código. O risco também aumenta quando o painel administrativo é exposto a redes amplas, quando há contas compartilhadas sem MFA forte, quando logs de administração têm baixa retenção ou quando integrações de diretório concedem privilégios amplos a grupos pouco controlados.

O conjunto de correções também menciona outras falhas relevantes no ecossistema EPMM. CVE-2026-5786, com CVSS 8.8, envolve controle de acesso inadequado e permite que um atacante remoto autenticado obtenha acesso administrativo. CVE-2026-5787, com CVSS 8.9, envolve validação incorreta de certificado e permite que um atacante remoto não autenticado se passe por hosts Sentry registrados para obter certificados de cliente assinados por uma autoridade certificadora. CVE-2026-5788, com CVSS 7.0, permite que um atacante remoto não autenticado invoque métodos arbitrários devido a controle de acesso inadequado. CVE-2026-7821, com CVSS 7.4, envolve validação de certificado e permite inscrição de dispositivo dentro de um conjunto restrito de dispositivos ainda não inscritos, com divulgação de informações sobre o appliance EPMM e impacto na integridade da identidade recém-inscrita.

Superfície afetada

A superfície afetada concentra-se em appliances locais do Ivanti Endpoint Manager Mobile anteriores às versões 12.6.1.1, 12.7.0.1 e 12.8.0.1. A distinção entre EPMM local e serviços de gerenciamento em nuvem é decisiva para priorização. O risco primário está em servidores que recebem tráfego administrativo, integram-se a diretórios corporativos, gerenciam certificados de dispositivos, mantêm políticas de MDM e concentram permissões sobre endpoints móveis. Um comprometimento nesse ponto pode afetar não apenas o servidor, mas também a confiança depositada nas políticas, perfis, identidades de dispositivo e fluxos de inscrição.

Ambientes com exposição direta à internet, acesso administrativo por VPN ampla, contas administrativas compartilhadas ou ausência de rotação após exploração anterior devem ser tratados com prioridade maior. O mesmo vale para instalações que usam certificados, integração com Sentry, inscrição de dispositivos e automações administrativas em redes segmentadas de forma fraca. Como a falha exige privilégio administrativo para o caminho de execução remota de código, o inventário de contas, sessões, chaves de integração e trilhas de auditoria é tão importante quanto a simples conferência da versão do software.

• Instalações locais do Ivanti Endpoint Manager Mobile anteriores a 12.6.1.1, 12.7.0.1 e 12.8.0.1.
• Interfaces administrativas do EPMM acessíveis por redes externas, VPNs amplas ou segmentos internos com baixa restrição.
• Contas administrativas que não foram rotacionadas após possível exploração de CVE-2026-1281 e CVE-2026-1340.
• Fluxos de inscrição, certificados de cliente, integração com Sentry e identidades de dispositivos gerenciados pelo appliance.

Hunting e telemetria

A investigação deve começar pela correlação entre versão do EPMM, exposição de rede e atividade administrativa. Como CVE-2026-6973 requer autenticação administrativa, eventos de login privilegiado são o ponto de partida. Procure acessos fora de janelas normais, origem incomum para contas administrativas, troca inesperada de endereço IP durante a mesma sequência operacional, criação ou alteração de contas, mudanças de política, modificação de integrações e qualquer operação administrativa imediatamente seguida por comportamento anômalo no sistema operacional do appliance.

A telemetria de rede deve cobrir conexões administrativas para o EPMM, chamadas a rotas sensíveis, sessões autenticadas longas, transferência incomum de dados e comunicação de saída iniciada pelo appliance após uma ação administrativa. Em endpoint ou EDR aplicado ao servidor, priorize criação de processos incomuns, execução de interpretadores, gravação em diretórios temporários, alteração de arquivos de configuração, modificação de certificados e tarefas agendadas inesperadas. Não há hashes, endereços IP, domínios ou payloads confirmados no material analisado; portanto, a detecção deve ser comportamental e baseada em desvio do perfil operacional do EPMM.

Para as falhas associadas, a caça deve incluir sinais de elevação de privilégio por contas autenticadas, tentativa de personificação de hosts Sentry, emissão incomum de certificados de cliente e inscrição de dispositivos não esperados. A combinação de certificado recém-emitido, dispositivo inscrito sem fluxo administrativo normal e consulta de informações do appliance pode indicar abuso de validação incorreta de certificado ou controle de acesso. O objetivo defensivo é reconstruir a sequência: origem do acesso, identidade usada, ação executada, mudança persistida e comunicação posterior.

• Autenticações administrativas no EPMM a partir de endereços IP, horários, ASN ou segmentos internos incomuns.
• Alterações em contas, políticas, perfis de MDM, integrações, certificados ou fluxos de inscrição logo após login privilegiado.
• Processos, comandos, arquivos temporários, tarefas agendadas ou conexões de saída iniciadas pelo appliance sem rotina operacional conhecida.
• Emissão inesperada de certificados de cliente ou comportamento compatível com personificação de hosts Sentry registrados.
• Inscrição de dispositivos restritos ou ainda não inscritos sem solicitação administrativa legítima.

Mitigação

A primeira ação é atualizar instalações locais do EPMM para os ramos corrigidos: 12.6.1.1, 12.7.0.1 ou 12.8.0.1, conforme o ramo em uso. A correção deve ser acompanhada de validação de integridade operacional, porque a exploração limitada em ambiente real indica que parte dos clientes pode ter sido alcançada antes da aplicação do patch. A atualização isolada reduz a superfície futura, mas não prova que contas administrativas, certificados ou configurações não tenham sido usados antes da correção.

Após aplicar a atualização, revise todos os acessos administrativos. Rotacione credenciais privilegiadas, principalmente quando houver qualquer indício de exploração anterior por CVE-2026-1281 ou CVE-2026-1340, e invalide sessões persistentes. Verifique grupos de diretório com permissão administrativa no EPMM, remova contas compartilhadas, aplique MFA onde suportado e restrinja a interface administrativa a segmentos de gerenciamento. Se o appliance esteve exposto de forma ampla, trate a resposta como possível comprometimento de plano de gerenciamento, não apenas como manutenção de versão.

A validação final deve confirmar que o produto correto foi corrigido, que não há confusão com Ivanti EPM ou Ivanti Neurons for MDM, e que controles de monitoramento cobrem os eventos relevantes. Equipes de DFIR devem preservar logs antes de rotação agressiva, exportar eventos administrativos, revisar certificados emitidos, comparar inventário de dispositivos inscritos e documentar qualquer alteração fora do fluxo normal. Quando houver sinais de execução de código ou abuso de credencial, a contenção deve incluir isolamento do appliance, revisão de integrações e análise de impacto sobre dispositivos gerenciados.

• Atualizar o EPMM local para 12.6.1.1, 12.7.0.1 ou 12.8.0.1, de acordo com o ramo instalado.
• Rotacionar credenciais administrativas e invalidar sessões, especialmente em ambientes com histórico de CVE-2026-1281 ou CVE-2026-1340.
• Restringir acesso à interface administrativa por rede de gerenciamento, VPN controlada e regras explícitas de origem.
• Revisar certificados de cliente, hosts Sentry registrados, dispositivos inscritos e políticas modificadas durante a janela de risco.
• Preservar logs administrativos, de sistema, de rede e de identidade antes de limpeza, reconstrução ou mudanças de retenção.