Ivanti разкри вълна от бюлетини за сигурност, засягащи три водещи корпоративни продукта — Endpoint Manager Mobile, Neurons for ITSM и Sentry, излагайки организациите на рискове, вариращи от ескалация на привилегии до пълно отдалечено изпълнение на код (RCE).
Разкритията, публикувани на 8 септември 2026 г., обхващат десет отделни CVE уязвимости, няколко от които са оценени като критични, което подчертава мащаба на засягане в цялата екосистема за управление на мобилни устройства и ИТ услуги на Ivanti.
Уязвимости в Ivanti EPMM
Първият бюлетин разглежда CVE-2026-18851, недостатък с висока степен на сериозност поради липсваща авторизация в Ivanti Endpoint Manager Mobile (EPMM) с CVSS оценка 8.8.
Уязвимостта, с произход CWE-862, позволява на отдалечен удостоверен атакуващ да ескалира привилегиите си до пълен администраторски достъп. Засегнати са версии 12.9.0.1 и по-стари, 12.8.0.3 и по-стари, както и всички версии преди 12.10.0.0. За отстраняване на проблема Ivanti пусна коригираните версии 12.10.0.0, 12.9.0.2 и 12.8.0.4.
Най-сериозните констатации засегат Ivanti Neurons for ITSM, където бяха оповестени осем отделни CVE, три от които носят максимална критична оценка за риск от 9.9.
Два от недостатъците, CVE-2026-12744 и CVE-2026-12745, включват десериализация на ненадеждни данни (CWE-502) и могат да бъдат задействани от неудостоверени атакуващи за изпълнение на произволен код на сървъра, като всеки от тях е с оценка 9.8.
Допълнителни грешки при десериализацията, CVE-2026-12651, CVE-2026-12650 и CVE-2026-12648, изискват удостоверяване, но все пак позволяват отдалечено изпълнение на код. Три проблема с липсваща авторизация, CVE-2026-12645, CVE-2026-12646 и CVE-2026-12647, също позволяват на удостоверени атакуващи да изпълняват код, като всеки от тях е с критичност 9.9.
Забележително е, че Ivanti разкри, че тези недостатъци в ITSM са били открити чрез използването от страна на компанията на разширени големи езикови модели (LLM), интегрирани в нейните работни процеси за сигурност на продуктите и разработка, което отбелязва редкия случай, в който откритие на уязвимост с помощта на AI се кредитира в официален бюлетин.
Облачната и SaaS версията на Neurons for ITSM бе актуализирана във всички среди на 9 август 2026 г., без да се изисква действие от страна на клиентите.
Локалните (on-premises) клиенти, работещи с версии от 2025.2 до 2026.1, трябва да инсталират корекциите за сигурност от септември 2026 г., докато версия 2026.2 за локални внедрявания е планирана за пускане на 21 септември.
Разкритията се допълват от CVE-2026-83527, която засяга внедрявания на Ivanti Sentry, управлявани чрез EPMM и Neurons for MDM.
Тази уязвимост за заобикаляне на удостоверяването (authentication bypass), оценена с 8.1 и класифицирана под CWE-288, позволява на отдалечен неудостоверен атакуващ да получи достъп на администраторско ниво. Коригираните версии R10.8.2, R10.7.3 и R10.6.4 вече са налични. За уязвимостта бе съобщено отговорно от изследователя btaol от Aquila Sec Lab.
| Продуктова линия | Идентификатор(и) на CVE | Сериозност & CVSS | Тип уязвимост & въздействие | Статус на отстраняване |
|---|---|---|---|---|
| Endpoint Manager Mobile (EPMM) | CVE-2026-18851 | Висока (8.8) | Липсваща авторизация (CWE-862), водеща до пълна ескалация на администраторски привилегии | Отстранена във версии 12.10.0.0, 12.9.0.2 и 12.8.0.4 |
| Neurons for ITSM | CVE-2026-12744, CVE-2026-12745 | Критична (9.8) | Десериализация на ненадеждни данни (CWE-502), позволяваща неудостоверено RCE | Коригирана в облака; септември 2026 корекции за локални версии 2025.2–2026.1 |
| Neurons for ITSM | CVE-2026-12645, CVE-2026-12646, CVE-2026-12647 | Критична (9.9) | Липсваща авторизация, позволяваща удостоверено отдалечено изпълнение на код | Коригирана в облака; септември 2026 корекции за локални версии 2025.2–2026.1 |
| Neurons for ITSM | CVE-2026-12651, CVE-2026-12650, CVE-2026-12648 | Висока / Критична | Десериализация на ненадеждни данни, разрешаваща удостоверено RCE | Коригирана в облака; септември 2026 корекции за локални версии 2025.2–2026.1 |
| Ivanti Sentry | CVE-2026-83527 | Висока (8.1) | Заобикаляне на удостоверяването (CWE-862), предоставящо отдалечен неудостоверен администраторски достъп | Отстранена във версии R10.8.2, R10.7.3 и R10.6.4 |
Ivanti заявява, че няма данни за активно използване за никоя от тези уязвимости преди оповестяването им. Предвид историческото насочване на киберпрестъпниците към инфраструктурата за периметърна и мобилна инфраструктура на Ivanti, екипите по сигурност трябва незабавно да приоритезират инсталирането на корекции за сигурност, особено за достъпните през интернет инстанции на Neurons for ITSM.