[MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 30 janvier 2026.
L'essentiel
- [Mise à jour du 09 février 2026] Le 6 février 2026, Ivanti a mis à disposition des scripts RPM de détection d'indicateurs de compromission, à utiliser en fonction de la version d'EPMM installée.
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
[Mise à jour du 09 février 2026] Le 6 février 2026, Ivanti a mis à disposition des scripts RPM de détection d'indicateurs de compromission, à utiliser en fonction de la version d'EPMM installée. L'éditeur a également mis son guide d'analyse à jour (cf. section Documentation).
[Mise à jour du 02 février 2026] Une preuve de concept est disponible publiquement.
[Publication initiale] Le 29 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile (EPMM). L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.
Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées.
Recherche de compromission
En cas de suspicion de compromission, l'éditeur recommande :
- d'isoler totalement les équipements EPMM et Sentry concernée du réseau, vis-à-vis d'Internet comme du réseau interne ; Note : Sentry est conçu pour acheminer certains types de trafic depuis les terminaux mobiles vers le réseau interne. Si vous pensez que votre équipement EPMM est compromis, Ivanti recommande d'examiner les systèmes auxquels Sentry peut accéder afin de détecter d'éventuelles traces de reconnaissances ou de mouvements latéraux.
- de rechercher les tentatives d'exploitations dans les journaux d'accès Apache /var/log/httpd/https-access_log.
Les caractéristiques des requêtes HTTP malveillantes sont décrites ci-dessous :
Deux moyens de persistance sont connus à ce jour par l'éditeur :
- le déploiement de différentes consoles web malveillantes (webshells), en modifiant des pages d'erreur HTTP tel que 401.jsp ou en introduisant des fichiers WAR ou JAR ;
Toute requête vers des pages d'erreur HTTP utilisant la méthode POST ou des paramètres doit être considérée comme une suspicion de communication avec une porte dérobée. Toute connexion de longue durée initiée par un Ivanti EPMM doit être considérée comme une suspicion de communication par un invite de commande inverse.
Remédiation
- s'il n'est pas possible de récupérer l'EPMM à partir d'une sauvegarde, Ivanti recommande de créer un EPMM de remplacement, puis de migrer les données vers celui-ci ;
- réinitialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ;
- réinitialiser les mots de passe de tous les comptes de service interne ou externe configuré avec EPMM.
Solutions
L'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de téléchargement d'Ivanti. L'éditeur précise que les correctifs apportés par ses scripts RPM sont temporaires et qu'il est nécessaire de les réinstaller à chaque montée de version jusqu'à l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0.
Documentation
- [1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, système de sauvegarde
- [2] Prise en main d'Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP
- [3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment révoquer un certificat
- Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP
- Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, exportation des données : SysLog
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-001/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.