Ivanti EPM: Update stopft drei hochriskante Sicherheitslecks

Was geschehen ist – die Kernmeldung

Der Softwarehersteller Ivanti hat auf eine akute Bedrohungslage in seinem Produktportfolio reagiert und ein Sicherheitsupdate für den Endpoint Manager (EPM) bereitgestellt. Die Aktualisierung adressiert insgesamt drei Sicherheitslücken, die vom Unternehmen als hochriskant eingestuft wurden. Die Schwachstellen ermöglichen es Angreifern in verschiedenen Szenarien, sensible Daten abzugreifen, Cloud-Speicher zu manipulieren oder gezielte Dienstunterbrechungen herbeizuführen. Betroffen ist die zentrale Softwareverwaltungslösung, die in vielen Unternehmen für die Administration von IT-Endgeräten eingesetzt wird. Da die Sicherheitslücken ein hohes Gefahrenpotenzial bergen, hat der Hersteller umgehend reagiert und die Fehler in einer neuen Softwarefassung behoben. IT-Administratoren sind dazu aufgerufen, die bereitgestellten Patches zeitnah einzuspielen, um die Integrität ihrer Netzwerke zu gewährleisten. Bisher liegen dem Hersteller keine Erkenntnisse darüber vor, dass die Schwachstellen bereits aktiv für Angriffe auf Kundenumgebungen ausgenutzt wurden. Dennoch bleibt die Warnung des Herstellers deutlich: Die potenzielle Angriffsfläche muss durch ein sofortiges Update minimiert werden, um bösartigen Akteuren keine Gelegenheit für einen Missbrauch zu bieten.

Die Einzelheiten – Zahlen, Namen und technische Details

Im Detail betreffen die Schwachstellen den EPM-Core, also das Herzstück der Verwaltungssoftware. Die erste Lücke, registriert unter der Kennung CVE-2026-18129 mit einem CVSS-Score von 8.1, resultiert aus einer unzureichenden Absicherung der Datenübertragung. Sensible Informationen werden vom Core im Klartext versendet, was Angreifern in einer Man-in-the-Middle-Position ermöglicht, Zugangsdaten für externe SQL-Verbindungen abzugreifen. Die zweite Schwachstelle (CVE-2026-18127, CVSS 7.7) erlaubt durch die Eingabe eines manipulierten Dateinamens einen vollen Schreibzugriff auf S3-Buckets, die eigentlich für die Speicherung von Sitzungsaufzeichnungen vorgesehen sind. Die dritte Lücke (CVE-2026-18125, CVSS 7.5) betrifft den Agent-Dienst. Hier können nicht authentifizierte Angreifer aus dem Netzwerk heraus einen Lesezugriff außerhalb der vorgesehenen Speichergrenzen provozieren, was schließlich zum Absturz des Dienstes führt. Ivanti hat diese Probleme in der Version Ivanti EPM 2024 SU7 behoben. Diese Version steht ab sofort über das offizielle Lizenzsystem zum Download bereit. Die Entwickler haben sich dazu entschieden, keine tiefergehenden technischen Details zu den Schwachstellen zu veröffentlichen, um die Sicherheit der Anwender nicht durch zu präzise Angriffsinformationen zu gefährden.

Hintergrund – Vorgeschichte und bisheriger Verlauf

Die Sicherheitsarchitektur von Ivanti stand bereits in der Vergangenheit mehrfach im Fokus von Sicherheitsanalysten und Angreifern. Der Endpoint Manager, der für die Verwaltung und Absicherung von IT-Infrastrukturen in Unternehmen essenziell ist, weist aufgrund seiner komplexen Struktur immer wieder Angriffspunkte auf. Erst Mitte Mai dieses Jahres musste das Unternehmen Schwachstellen im Endpoint Manager korrigieren, die unter anderem das Einschleusen von SQL-Befehlen sowie die unbefugte Rechteausweitung in verwundbaren Systemen ermöglichten. Die aktuelle Meldung vom 13. August 2026 fügt sich in eine Reihe von notwendigen Wartungsarbeiten ein, die den hohen Stellenwert von Sicherheitsupdates in der modernen IT-Administration unterstreichen. Die ständige Weiterentwicklung der Software geht bei Ivanti Hand in Hand mit der Identifizierung und Schließung neuer Sicherheitslücken. Dass der Hersteller nun erneut drei hochriskante Lücken gleichzeitig adressieren muss, verdeutlicht die anhaltende Herausforderung, die Softwareverwaltung gegen immer raffiniertere Angriffsvektoren abzusichern. Die Historie zeigt, dass Ivanti-Produkte regelmäßig auf dem Prüfstand stehen, was die Notwendigkeit einer proaktiven Patch-Strategie bei den IT-Verantwortlichen in den Unternehmen unterstreicht.

Die Beteiligten – Wer ist betroffen und wer entscheidet

Die Hauptakteure in diesem Prozess sind die Sicherheitsentwickler von Ivanti, die für die Identifizierung, Analyse und Behebung der Schwachstellen verantwortlich zeichnen. Auf der anderen Seite stehen die IT-Verantwortlichen und Administratoren in den Unternehmen, die den Endpoint Manager einsetzen. Sie sind die entscheidende Instanz, wenn es darum geht, die Sicherheitsupdates in die produktive Umgebung zu überführen. Da Ivanti keine Hinweise auf bereits erfolgte Angriffe vorliegen hat, liegt die Verantwortung für den Schutz der Systeme nun vollständig bei den Administratoren. Sie müssen entscheiden, wann und wie die Aktualisierung auf die Version 2024 SU7 erfolgt. Die Kommunikation der Sicherheitsmitteilung erfolgte direkt durch die Entwicklerabteilung von Ivanti, die damit sicherstellt, dass Kunden weltweit über die Risiken informiert werden. Externe Sicherheitsforscher oder Institutionen, die an der Entdeckung der Lücken beteiligt gewesen sein könnten, werden im vorliegenden Bericht nicht namentlich genannt; der Fokus liegt rein auf der offiziellen Stellungnahme des Herstellers, der die Sicherheitsmitteilung herausgegeben hat.

Einordnung – Was das bedeutet

Einzuordnen ist das so: Die Einstufung der Sicherheitslücken als „hoch“ durch den Hersteller ist ein deutliches Signal an die IT-Abteilungen, die Schwachstellen nicht zu ignorieren. Ein CVSS-Wert von bis zu 8.1 deutet auf eine signifikante Gefahr hin, insbesondere da einige der Lücken aus dem Netzwerk heraus ohne vorherige Authentifizierung ausgenutzt werden könnten. Den Berichten zufolge ist das Fehlen von Anzeichen für einen aktiven Missbrauch zwar eine positive Nachricht, entbindet Administratoren jedoch nicht von der Pflicht zum Handeln. Die Kombination aus der Möglichkeit zum Abgreifen von Zugangsdaten und der Manipulation von Cloud-Speichern macht die Schwachstellen besonders attraktiv für Angreifer, die sich dauerhaft in Unternehmensnetzwerken festsetzen wollen. Die Tatsache, dass Ivanti keine Hinweise auf Angriffsversuche liefern kann, erschwert es Administratoren zudem, ihre Systeme auf Spuren eines bereits erfolgten Eindringens zu prüfen. Dies bedeutet, dass die einzige wirksame Verteidigungslinie das zeitnahe Einspielen des Updates bleibt. Die IT-Sicherheit in der modernen Arbeitswelt ist somit in hohem Maße von der Reaktionsgeschwindigkeit der Administratoren abhängig.

Offene Fragen – Was der Quelltext nicht beantwortet

Der vorliegende Quelltext lässt einige Fragen offen, die für IT-Sicherheitsverantwortliche von großem Interesse sein könnten. Zunächst bleibt unklar, wie genau die Schwachstellen entdeckt wurden – ob durch interne Audits oder durch externe Sicherheitsforscher. Ebenso fehlen Informationen darüber, wie lange die Sicherheitslücken bereits in der Software vorhanden waren, bevor sie entdeckt und behoben wurden. Es wird nicht spezifiziert, ob ältere Versionen des Endpoint Managers ebenfalls von den Lücken betroffen sind oder ob sich die Warnung ausschließlich auf die aktuelle Softwaregeneration bezieht. Zudem gibt es keine Angaben darüber, welche spezifischen Maßnahmen Administratoren ergreifen können, um festzustellen, ob ihre Systeme in der Vergangenheit bereits kompromittiert wurden, da der Hersteller explizit angibt, keine Hinweise auf erfolgreiche Angriffe liefern zu können. Die genaue technische Ursache für den Fehler bei der Übermittlung der Zugangsdaten im Klartext wird ebenfalls nicht weiter vertieft. Diese Lücken in der Informationslage bedeuten, dass Administratoren sich primär auf die Anweisungen des Herstellers verlassen müssen, ohne eine detaillierte forensische Grundlage für eine eigene Risikoanalyse zu haben.

Wie es weitergeht – Angekündigte Schritte

Der weitere Verlauf ist klar definiert: Die aktualisierte Softwareversion 2024 SU7 steht im Ivanti-Lizenzsystem zum Download bereit. IT-Verantwortliche sind dazu aufgerufen, diese Version umgehend herunterzuladen und in ihren jeweiligen IT-Umgebungen zu implementieren. Da der Hersteller keine weiteren Informationen zu den Sicherheitslücken bereitstellen wird, liegt der Fokus nun vollständig auf der Installation der Patches. Es sind keine weiteren Ankündigungen zu zusätzlichen Sicherheitsmaßnahmen seitens Ivanti bekannt. Die Administratoren müssen den Patch-Prozess in ihre reguläre Wartungsplanung aufnehmen, wobei aufgrund der Risikoeinstufung eine sofortige Umsetzung empfohlen wird. Es ist davon auszugehen, dass Ivanti weiterhin die Sicherheit seines Endpoint Managers überwacht und bei Bedarf weitere Updates bereitstellen wird, sollte sich die Bedrohungslage verändern. Für die Unternehmen bedeutet dies, dass sie die Sicherheitsmitteilungen des Herstellers auch in Zukunft engmaschig verfolgen müssen, um auf weitere Schwachstellen zeitnah reagieren zu können.