Vulnerabilità ed exploit

La Core di Ivanti Endpoint Manager può eseguire codice senza autenticazione

Il 12 novembre NCSC-NL ha segnalato due vulnerabilità in Ivanti Endpoint Manager: una SQL injection non autenticata nella Core può consentire l'esecuzione di codice da remoto. Le falle interessano le versioni precedenti alla 2024 SU8; Ivanti ha pubblicato aggiornamenti correttivi per entrambe.

Nella Core, l'attaccante può inviare comandi SQL senza accedere prima al sistema: il server può così arrivare a eseguire codice. La seconda falla riguarda l'Agent: chi riesce a inserirsi tra l'Agent e il suo interlocutore può intercettare, leggere e modificare il traffico HTTP, perché informazioni sensibili viaggiano in chiaro.

NCSC-NL non riferisce sfruttamento. La prima falla può compromettere il sistema di gestione se la Core è raggiungibile; la seconda espone le comunicazioni a chi si trova nella posizione di rete necessaria. L'avviso non chiarisce quali sistemi a valle siano gestiti, quindi il raggio d'impatto oltre Endpoint Manager resta indeterminato.

5 fonti · 12 nov

CVE-2026-121653

NVD KEV

CVSS 9.8 CRITICAL: sQL injection in the Core of Ivanti Endpoint Manager before version 2024 SU8 allows a remote unauthenticated attacker… EPSS 2% (81º percentile).

CVE-2026-18128

NVD KEV

CVSS 6.8 MEDIUM: cleartext transmission of sensitive information in the Agent of Ivanti Endpoint Manager before version 2024 SU8… EPSS 0.4% (39º percentile).

Cronologia

12 nov Segnalato da NCSC-NL Advisories
11 nov Segnalato da SecurityWeek
10 nov Segnalato da Ivanti Security Advisories

Fonti

12 nov NCSC-NL Advisories
Kwetsbaarheden verholpen in Ivanti Endpoint Manager
De eerste kwetsbaarheid (CVE-2026-121653) betreft een SQL-injectie in de Core van Ivanti Endpoint Manager-versies vóór 2024 SU8.
originale
11 nov SecurityWeek
Citrix, Ivanti Patch Critical and High-Severity Vulnerabilities
Attackers could exploit the bugs to tamper with certificate entries, achieve remote code execution, and compromise hosts.
originale
11 nov INCIBE-CERT
Múltiples vulnerabilidades en productos de Ivanti
Ivanti ha publicado 3 vulnerabilidades, 2 de severidad crítica y una media.
originale

Riepilogo fornitore: Ivanti

Part of the PlainSec briefing for 2026-11-11

Every edition of this story: La Core di Ivanti Endpoint Manager può eseguire codice senza autenticazione

Altro da oggi

Vulnerabilità ed exploitLa Core di Ivanti Endpoint Manager può eseguire codice senza autenticazioneIl 12 novembre NCSC-NL ha segnalato due vulnerabilità in Ivanti Endpoint Manager: una SQL injection non autenticata nella Core può consentire l'esecuzione di codice da remoto. Le falle interessano le versioni precedenti alla 2024 SU8; Ivanti ha pubblicato aggiornamenti correttivi per entrambe.Nella Core, l'attaccante può inviare comandi SQL senza accedere prima al sistema: il server può così arrivare a eseguire codice. La seconda falla riguarda l'Agent: chi riesce a inserirsi tra l'Agent e il suo interlocutore può intercettare, leggere e modificare il traffico HTTP, perché informazioni sensibili viaggiano in chiaro.NCSC-NL non riferisce sfruttamento. La prima falla può compromettere il sistema di gestione se la Core è raggiungibile; la seconda espone le comunicazioni a chi si trova nella posizione di rete necessaria. L'avviso non chiarisce quali sistemi a valle siano gestiti, quindi il raggio d'impatto oltre Endpoint Manager resta indeterminato.5 fonti · 12 nov

CVE-2026-121653

NVD KEV

CVSS 9.8 CRITICAL: sQL injection in the Core of Ivanti Endpoint Manager before version 2024 SU8 allows a remote unauthenticated attacker… EPSS 2% (81º percentile).

CVE-2026-18128

NVD KEV

CVSS 6.8 MEDIUM: cleartext transmission of sensitive information in the Agent of Ivanti Endpoint Manager before version 2024 SU8… EPSS 0.4% (39º percentile).