HEUTE laeuft die Patch-Frist ab — und dein Mobile Device Management koennte schon laengst uebernommen sein. Ivanti EPMM (Endpoint Manager Mobile) hat eine kritische Luecke. Die Luecke heisst CVE-2026-6973, sie wird AKTIV ausgenutzt, und CISA hat US-Behoerden bis HEUTE Zeit gegeben, zu patchen. Du auch.
SCHOCK: Was die Luecke wirklich kann
Die Schwachstelle ist eine Improper Input Validation. Ein Angreifer mit Admin-Rechten kann beliebigen Code auf der EPMM-Konsole ausfuehren. Klingt harmlos? Ist es nicht. Wer einmal Admin-Token klaut — etwa via Phishing oder geleakte Backups — faehrt eine ganze Mobile-Flotte aus dem Hinterhalt aus.
Ivanti bestaetigt: „Eine sehr begrenzte Anzahl von Kunden“ wurde in gezielten Angriffen kompromittiert. Was nach „nur ein paar“ klingt, ist in der Security-Branche der Code fuer „wir wissen, dass es Opfer gibt, sagen aber keine Namen“. CISA reichte das, um den Bug am 8. Mai auf die Known Exploited Vulnerabilities-Liste zu schieben.
BETROFFEN sind diese Versionen
Anfaellig sind alle Ivanti-EPMM-Builds bis einschliesslich 12.8.0.0. Das gilt sowohl fuer On-Premises-Installationen als auch fuer virtuelle Appliances.
- Fix in 12.6.1.1 — fuer die LTS-Linie.
- Fix in 12.7.0.1 — fuer die mittlere Stable-Linie.
- Fix in 12.8.0.1 — fuer den Current Branch.
Ivanti hat fuenf weitere High-Severity-Bugs gleichzeitig gestopft. Wer also schon updaten muss: gleich alle anderen Patches mitnehmen.
So checkst du DEINE Installation in unter 5 MINUTEN
- Logg dich in die EPMM-Admin-Konsole ein.
- Geh auf Admin › System Configuration › Version Info.
- Vergleiche die Buildnummer mit den Fix-Releases oben.
- Liegst du drunter: Backup ziehen, Wartungsfenster setzen, patchen.
WICHTIG: Auch Credential-Rotation einplanen
Ivanti weist explizit auf einen Trick hin: Wer im Januar nach den Empfehlungen zu CVE-2026-1281 und CVE-2026-1340 die Admin-Zugaenge rotiert hat, ist deutlich besser geschuetzt. Wer nicht rotiert hat, sollte das jetzt SOFORT nachholen — denn Angreifer halten gestohlene Tokens lange vorraetig.
EXTRA-TIPP: Logs auf Login von neuer IP, neue API-Token, geaenderte Admin-Rollen filtern. Wenn da etwas Verdaechtiges auftaucht, ist das dein Indicator of Compromise.
FAZIT: Die Uhr laeuft ab
Du musst HEUTE patchen — nicht „diese Woche“, nicht „bis Monatsende“. CISA-Listen sind kein Pappkamerad: Versicherer, Auditoren und Compliance-Reviewer fragen ab Montag nach. Und wenn dein EPMM erstmal kompromittiert ist, haengt deine ganze Mobile-Geraete-Flotte mit dran.
Haeufige Fragen
Welche EPMM-Versionen sind betroffen?
Wie merke ich, ob mein System schon ausgenutzt wurde?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Was ist mit den vier weiteren EPMM-Bugs?
Quellen: Help Net Security: Ivanti EPMM zero-day CVE-2026-6973, The Hacker News: Ivanti EPMM RCE Under Active Exploitation, BleepingComputer: CISA gives feds four days to patch Ivanti flaw, Ivanti: May 2026 EPMM Security Update.