Dutch follows English
A critical vulnerability affects Ivanti Endpoint Manager. An attacker on the network could take over the server without a username or password. Ivanti has released a fixed version, 2024 SU8[1]. If you use Ivanti Endpoint Manager, update to it as soon as possible. We do not yet know whether attackers are exploiting this flaw.
Description
Ivanti Endpoint Manager is software that organisations use to manage and update their computers. The Core is its central part. The Core has a flaw called "SQL injection". An attacker can send specially crafted requests that the software wrongly treats as commands for its database. Through this flaw, the attacker can run their own code on the server. To do so, the attacker does not have to log in.The vulnerability affects all versions older than 2024 SU8[2].
Impact
We estimate the impact of these vulnerabilities as high.
An attacker who exploits this flaw can run their own code on the Endpoint Manager server. Endpoint Managers usually have broad control over the computers it manages. A compromised server could therefore give an attacker a way to spread further into your network. In the case that the Ivanti server is reachable from the internet, an attacker could use this vulnerability to gain access to the internal network.
Risk
We estimate the risk of these vulnerabilities as high.
The attack works remotely and needs no login, which makes it easier to carry out. The risk is highest if the Endpoint Manager server is reachable from the internet or from less-trusted parts of your network. Based on our intel, attackers are not yet actively exploiting this flaw. In addition, no public Proof of Concept seems to be available.
Mitigation
Update Ivanti Endpoint Manager to version 2024 SU8 or later. If this is not possible within a short tiemframe, limit access to the Endpoint Manager server to the systems and people who need it.
What should you do?
Northwave MDR will follow Ivanti's guidance and public reporting on this vulnerability. We will inform you if we learn that attackers are exploiting it, or if the advice changes.
E-mail: soc@northwave-cybersecurity.com
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000
Disclaimer applies, see below.
Sources
[1] https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-EPM-November-2026?language=en_US
[2] https://nvd.nist.gov/vuln/detail/cve-2026-121653
Description
Ivanti Endpoint Manager is software that organisations use to manage and update their computers. The Core is its central part. The Core has a flaw called "SQL injection". An attacker can send specially crafted requests that the software wrongly treats as commands for its database. Through this flaw, the attacker can run their own code on the server. To do so, the attacker does not have to log in.The vulnerability affects all versions older than 2024 SU8[2].
Impact
We estimate the impact of these vulnerabilities as high.
An attacker who exploits this flaw can run their own code on the Endpoint Manager server. Endpoint Managers usually have broad control over the computers it manages. A compromised server could therefore give an attacker a way to spread further into your network. In the case that the Ivanti server is reachable from the internet, an attacker could use this vulnerability to gain access to the internal network.
Risk
We estimate the risk of these vulnerabilities as high.
The attack works remotely and needs no login, which makes it easier to carry out. The risk is highest if the Endpoint Manager server is reachable from the internet or from less-trusted parts of your network. Based on our intel, attackers are not yet actively exploiting this flaw. In addition, no public Proof of Concept seems to be available.
Mitigation
Update Ivanti Endpoint Manager to version 2024 SU8 or later. If this is not possible within a short tiemframe, limit access to the Endpoint Manager server to the systems and people who need it.
What should you do?
- Check whether your organisation uses Ivanti Endpoint Manager, and which version.
- If you use a version older than 2024 SU8, plan the update now and give it high priority.
- Check whether the Endpoint Manager server is reachable from the internet. If it is, restrict that access until you have updated.
- Ask your IT team to look for unusual activity on the Endpoint Manager server, such as unexpected web requests, new accounts, or unfamiliar software.
- Contact us if you find anything suspicious or need help.
Northwave MDR will follow Ivanti's guidance and public reporting on this vulnerability. We will inform you if we learn that attackers are exploiting it, or if the advice changes.
E-mail: soc@northwave-cybersecurity.com
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000
Disclaimer applies, see below.
Sources
[1] https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-EPM-November-2026?language=en_US
[2] https://nvd.nist.gov/vuln/detail/cve-2026-121653
Er is een kritieke kwetsbaarheid ontdekt in Ivanti Endpoint Manager. Een aanvaller die toegang heeft tot het netwerk kan de server overnemen zonder gebruikersnaam of wachtwoord. Ivanti heeft hiervoor een beveiligingsupdate uitgebracht in versie 2024 SU8 [1]. Als uw organisatie Ivanti Endpoint Manager gebruikt, adviseren wij u om zo snel mogelijk naar deze versie te upgraden. Op dit moment is niet bekend of deze kwetsbaarheid actief wordt misbruikt door aanvallers.
Beschrijving
Ivanti Endpoint Manager is software die organisaties gebruiken voor het beheren en updaten van hun computers. De Core vormt het centrale onderdeel van deze oplossing. In de Core bevindt zich een kwetsbaarheid van het type SQL-injectie. Een aanvaller kan speciaal opgemaakte verzoeken versturen die door de software onterecht als databasecommando's worden verwerkt. Hierdoor kan de aanvaller eigen code uitvoeren op de server. Hiervoor is geen geldige aanmelding vereist.De kwetsbaarheid treft alle versies ouder dan 2024 SU8 [2].
Impact
Wij beoordelen de impact van deze kwetsbaarheid als hoog.
Een aanvaller die deze kwetsbaarheid succesvol misbruikt, kan willekeurige code uitvoeren op de Endpoint Manager-server. Omdat Endpoint Manager doorgaans uitgebreide beheermogelijkheden heeft over de systemen binnen een organisatie, kan een gecompromitteerde server worden gebruikt om verder door het netwerk te bewegen. Indien de Ivanti-server rechtstreeks vanaf het internet bereikbaar is, kan deze kwetsbaarheid bovendien worden gebruikt om toegang te verkrijgen tot het interne netwerk.
Risico
Wij beoordelen het risico van deze kwetsbaarheid als hoog.
De aanval kan op afstand worden uitgevoerd en vereist geen authenticatie, waardoor misbruik relatief eenvoudig is. Het risico is het grootst wanneer de Endpoint Manager-server bereikbaar is vanaf het internet of vanuit minder vertrouwde netwerksegmenten.Op basis van onze huidige threat intelligence zijn er nog geen aanwijzingen dat aanvallers deze kwetsbaarheid actief misbruiken. Ook lijkt er momenteel geen publieke Proof of Concept (PoC) beschikbaar te zijn.
Mitigatie
Werk Ivanti Endpoint Manager bij naar versie 2024 SU8 of nieuwer. Indien dit op korte termijn niet mogelijk is, beperk dan de toegang tot de Endpoint Manager-server tot uitsluitend de systemen en medewerkers die deze toegang noodzakelijk nodig hebben.
Wat moet u doen?
Northwave MDR volgt de richtlijnen van Ivanti en publieke berichtgeving over deze kwetsbaarheid nauwgezet. Wij informeren u wanneer er aanwijzingen zijn dat de kwetsbaarheid actief wordt misbruikt of wanneer het advies wijzigt.
Beschrijving
Ivanti Endpoint Manager is software die organisaties gebruiken voor het beheren en updaten van hun computers. De Core vormt het centrale onderdeel van deze oplossing. In de Core bevindt zich een kwetsbaarheid van het type SQL-injectie. Een aanvaller kan speciaal opgemaakte verzoeken versturen die door de software onterecht als databasecommando's worden verwerkt. Hierdoor kan de aanvaller eigen code uitvoeren op de server. Hiervoor is geen geldige aanmelding vereist.De kwetsbaarheid treft alle versies ouder dan 2024 SU8 [2].
Impact
Wij beoordelen de impact van deze kwetsbaarheid als hoog.
Een aanvaller die deze kwetsbaarheid succesvol misbruikt, kan willekeurige code uitvoeren op de Endpoint Manager-server. Omdat Endpoint Manager doorgaans uitgebreide beheermogelijkheden heeft over de systemen binnen een organisatie, kan een gecompromitteerde server worden gebruikt om verder door het netwerk te bewegen. Indien de Ivanti-server rechtstreeks vanaf het internet bereikbaar is, kan deze kwetsbaarheid bovendien worden gebruikt om toegang te verkrijgen tot het interne netwerk.
Risico
Wij beoordelen het risico van deze kwetsbaarheid als hoog.
De aanval kan op afstand worden uitgevoerd en vereist geen authenticatie, waardoor misbruik relatief eenvoudig is. Het risico is het grootst wanneer de Endpoint Manager-server bereikbaar is vanaf het internet of vanuit minder vertrouwde netwerksegmenten.Op basis van onze huidige threat intelligence zijn er nog geen aanwijzingen dat aanvallers deze kwetsbaarheid actief misbruiken. Ook lijkt er momenteel geen publieke Proof of Concept (PoC) beschikbaar te zijn.
Mitigatie
Werk Ivanti Endpoint Manager bij naar versie 2024 SU8 of nieuwer. Indien dit op korte termijn niet mogelijk is, beperk dan de toegang tot de Endpoint Manager-server tot uitsluitend de systemen en medewerkers die deze toegang noodzakelijk nodig hebben.
Wat moet u doen?
- Controleer of uw organisatie gebruikmaakt van Ivanti Endpoint Manager en bepaal welke versie in gebruik is.
- Gebruikt u een versie ouder dan 2024 SU8, plan dan direct een update en geef deze hoge prioriteit.
- Controleer of de Endpoint Manager-server bereikbaar is vanaf het internet. Indien dit het geval is, beperk deze toegang totdat de update is uitgevoerd.
- Vraag uw IT-team om de Endpoint Manager-server te monitoren op verdachte activiteiten, zoals onverwachte webverzoeken, nieuw aangemaakte accounts of onbekende software.
- Neem contact met ons op als u verdachte activiteiten constateert of ondersteuning nodig heeft.
Northwave MDR volgt de richtlijnen van Ivanti en publieke berichtgeving over deze kwetsbaarheid nauwgezet. Wij informeren u wanneer er aanwijzingen zijn dat de kwetsbaarheid actief wordt misbruikt of wanneer het advies wijzigt.
E-mail: soc@northwave-cybersecurity.com
Heeft u nu een incident? Bel ons Incident Response Team: 00800 1744 0000
Disclaimer van toepassing, zie hieronder.
Bronnen
[1] https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-EPM-November-2026?language=en_US
[2] https://nvd.nist.gov/vuln/detail/cve-2026-121653