CERTFR-2026-ALE-001

Vulnerability from certfr_alerte - Published: 2026-01-30 - Updated: 2026-01-30

Le 28 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile. L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées.

Recherche de compromission

En cas de suspicion de compromission, l'éditeur recommande : * d'isoler totalement les équipements EPMM et Sentry concernée du réseau, vis-à-vis d'Internet comme du réseau interne ;
Note : Sentry est conçu pour acheminer certains types de trafic depuis les terminaux mobiles vers le réseau interne. Si vous pensez que votre équipement EPMM est compromis, Ivanti recommande d'examiner les systèmes auxquels Sentry peut accéder afin de détecter d'éventuelles traces de reconnaissances ou de mouvements latéraux. * de réaliser un instantané ou effectuer une sauvegarde du disque ; * de rechercher les tentatives d'exploitations dans les journaux d'accès Apache /var/log/httpd/https-access_log.

Les caractéristiques des requêtes HTTP malveillantes sont décrites ci-dessous :

Caractéristiques HTTP Valeur(s) à rechercher
Méthode HTTP GET
Chemin d'accès /mifs/c/aftstore/fob/
/mifs/c/appstore/fob/
Code HTTP 404
Paramètres contenant des commandes bash


Les instances d'ivanti EPMM avec le correctif de sécurité appliqué produiront des faux positifs suivants lors de la recherche de requêtes HTTP malveillantes qui ressemblent à l'exemple ci-dessous :

127.0.0.1:33354 - - 2026-01-28--12-00-01 "GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1" 404

Deux moyens de persistance sont connus à ce jour par l'éditeur : 1. le déploiement de différentes consoles web malveillantes (webshells), en modifiant des pages d'erreur HTTP tel que 401.jsp ou en introduisant des fichiers WAR ou JAR ; 2. le déploiement d'invite de commande inverse (reverse shell).

Toute requête vers des pages d'erreur HTTP utilisant la méthode POST ou des paramètres doit être considérée comme une suspicion de communication avec une porte dérobée. Toute connexion de longue durée initiée par un Ivanti EPMM doit être considérée comme une suspicion de communication par un invite de commande inverse.

Remédiation

En cas de compromission, l'éditeur préconise de : * restaurer une sauvegarde saine d'un Ivanti EPMM [1] ; * s'il n'est pas possible de récupérer l'EPMM à partir d'une sauvegarde, Ivanti recommande de créer un EPMM de remplacement, puis de migrer les données vers celui-ci ; * réinitialiser les mots de passe de tous les comptes EPMM locaux ; * réinitialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ; * révoquer et remplacer les certificats publics utilisés par l'EPMM [3] ; * réinitialiser les mots de passe de tous les comptes de service interne ou externe configuré avec EPMM.

Solutions

L'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de téléchargement d'Ivanti. L'éditeur précise que les correctifs apportés par ses scripts RPM sont temporaires et qu'il est nécessaire de les réinstaller à chaque montée de version jusqu'à l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0.

Impacted products
Vendor Product Description
Ivanti Endpoint Manager Mobile (EPMM) Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x
Ivanti Endpoint Manager Mobile (EPMM) Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x
Ivanti Endpoint Manager Mobile (EPMM) Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x
Ivanti Endpoint Manager Mobile (EPMM) Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x
Ivanti Endpoint Manager Mobile (EPMM) Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x",
      "product": {
        "name": "Endpoint Manager Mobile (EPMM)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x",
      "product": {
        "name": "Endpoint Manager Mobile (EPMM)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x",
      "product": {
        "name": "Endpoint Manager Mobile (EPMM)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x",
      "product": {
        "name": "Endpoint Manager Mobile (EPMM)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x",
      "product": {
        "name": "Endpoint Manager Mobile (EPMM)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "",
  "closed_at": null,
  "content": "## Solutions\n\nL\u0027obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s\u0027effectuent via le portail de t\u00e9l\u00e9chargement d\u0027Ivanti. L\u0027\u00e9diteur pr\u00e9cise que les correctifs apport\u00e9s par ses scripts RPM sont temporaires et qu\u0027il est n\u00e9cessaire de les r\u00e9installer \u00e0 chaque mont\u00e9e de version jusqu\u0027\u00e0 l\u0027obtention d\u0027Ivanti Endpoint Manager Mobile version 12.8.0.0.",
  "cves": [
    {
      "name": "CVE-2026-1340",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-1340"
    },
    {
      "name": "CVE-2026-1281",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-1281"
    }
  ],
  "initial_release_date": "2026-01-30T00:00:00",
  "last_revision_date": "2026-01-30T00:00:00",
  "links": [
    {
      "title": "[3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment r\u00e9voquer un certificat",
      "url": "https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/About_logs_CertMgmt.htm#troubleshooting_3631632413_1032053"
    },
    {
      "title": "[1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur syst\u00e8me, syst\u00e8me de sauvegarde",
      "url": "https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/System_backup.htm"
    },
    {
      "title": "Compromission d\u0027un \u00e9quipement de bordure r\u00e9seau - Endiguement",
      "url": "https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-002/"
    },
    {
      "title": "Compromission d\u0027un \u00e9quipement de bordure r\u00e9seau - Qualification",
      "url": "https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-001/"
    },
    {
      "title": "Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0110/"
    },
    {
      "title": "Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP",
      "url": "https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/Cert_Enroll_s_1_ConfigSCEP.htm"
    },
    {
      "title": "Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur syst\u00e8me, exportation des donn\u00e9es : SysLog",
      "url": "https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/Data_Export__SysLog.htm"
    },
    {
      "title": "[2] Prise en main d\u0027Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP",
      "url": "https://help.ivanti.com/mi/help/en_us/core/12.x/gsg/CoreGettingStarted/Configuring_LDAP_servers.htm"
    }
  ],
  "reference": "CERTFR-2026-ALE-001",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2026-01-30T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Le 28 janvier 2026, Ivanti a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant les vuln\u00e9rabilit\u00e9s critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile. L\u0027\u00e9diteur indique qu\u0027elles permettent \u00e0 un attaquant non authentifi\u00e9 de provoquer une ex\u00e9cution de code arbitraire \u00e0 distance.\n\nIvanti indique que les vuln\u00e9rabilit\u00e9s CVE-2026-1281 et CVE-2026-1340 sont activement exploit\u00e9es dans le cadre d\u0027attaques cibl\u00e9es.\n\n## Recherche de compromission\n\nEn cas de suspicion de compromission, l\u0027\u00e9diteur recommande  :\n* d\u0027isoler totalement les \u00e9quipements EPMM et Sentry concern\u00e9e du r\u00e9seau, vis-\u00e0-vis d\u0027Internet comme du r\u00e9seau interne ; \u003cbr/\u003e*Note : Sentry est con\u00e7u pour acheminer certains types de trafic depuis les terminaux mobiles vers le r\u00e9seau interne. Si vous pensez que votre \u00e9quipement EPMM est compromis, Ivanti recommande d\u0027examiner les syst\u00e8mes auxquels Sentry peut acc\u00e9der afin de d\u00e9tecter d\u0027\u00e9ventuelles traces de reconnaissances ou de mouvements lat\u00e9raux.*\n* de r\u00e9aliser un instantan\u00e9 ou effectuer une sauvegarde du disque ;\n* de rechercher les tentatives d\u0027exploitations dans les journaux d\u0027acc\u00e8s Apache \u003ccode\u003e/var/log/httpd/https-access_log\u003c/code\u003e.\n\nLes caract\u00e9ristiques des requ\u00eates HTTP malveillantes sont d\u00e9crites ci-dessous :\n\n\u003ctable class=\"specificStd\"\u003e\n    \u003cthead\u003e\n        \u003ctr\u003e\n            \u003cth class=\"specificTitle\"\u003eCaract\u00e9ristiques HTTP\u003c/th\u003e\n            \u003cth class=\"specificTitle\"\u003eValeur(s) \u00e0 rechercher\u003c/th\u003e\n        \u003c/tr\u003e\n    \u003c/thead\u003e\n    \u003ctbody\u003e\u003ctr\u003e\n            \u003ctd class=\"specificStd\"\u003eM\u00e9thode HTTP\u003c/td\u003e\n            \u003ctd class=\"specificStd\"\u003eGET\u003c/td\u003e\n        \u003c/tr\u003e\u003ctr\u003e\n            \u003ctd class=\"specificStd\"\u003eChemin d\u0027acc\u00e8s\u003c/td\u003e\n            \u003ctd class=\"specificStd\"\u003e/mifs/c/aftstore/fob/\u003cbr/\u003e/mifs/c/appstore/fob/\u003cbr/\u003e\u003c/td\u003e\n        \u003c/tr\u003e\u003ctr\u003e\n            \u003ctd class=\"specificStd\"\u003eCode HTTP\u003c/td\u003e\n            \u003ctd class=\"specificStd\"\u003e404\u003c/td\u003e\n        \u003c/tr\u003e\u003ctr\u003e\n            \u003ctd class=\"specificStd\"\u003eParam\u00e8tres\u003c/td\u003e\n            \u003ctd class=\"specificStd\"\u003econtenant des commandes bash\u003c/td\u003e\n        \u003c/tr\u003e\n    \u003c/tbody\u003e\n\u003c/table\u003e\n\u003cbr/\u003e\nLes instances d\u0027ivanti EPMM avec le correctif de s\u00e9curit\u00e9 appliqu\u00e9 produiront des faux positifs suivants lors de la recherche de requ\u00eates HTTP malveillantes qui ressemblent \u00e0 l\u0027exemple ci-dessous :\n\u003cpre\u003e\n127.0.0.1:33354 - - 2026-01-28--12-00-01 \"GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1\" 404 \n\u003c/pre\u003e\n\nDeux moyens de persistance sont connus \u00e0 ce jour par l\u0027\u00e9diteur :\n1. le d\u00e9ploiement de diff\u00e9rentes consoles web malveillantes *(webshells)*, en modifiant des pages d\u0027erreur HTTP tel que \u003ccode\u003e401.jsp\u003c/code\u003e ou en introduisant des fichiers WAR ou JAR ;\n2. le d\u00e9ploiement d\u0027invite de commande inverse *(reverse shell)*.\n\nToute requ\u00eate vers des pages d\u0027erreur HTTP utilisant la m\u00e9thode POST ou des param\u00e8tres doit \u00eatre consid\u00e9r\u00e9e comme une suspicion de communication avec une porte d\u00e9rob\u00e9e.\nToute connexion de longue dur\u00e9e initi\u00e9e par un Ivanti EPMM doit \u00eatre consid\u00e9r\u00e9e comme une suspicion de communication par un invite de commande inverse.\n\n## Rem\u00e9diation\n\nEn cas de compromission, l\u0027\u00e9diteur pr\u00e9conise de :\n* restaurer une sauvegarde saine d\u0027un Ivanti EPMM [1] ;\n* s\u0027il n\u0027est pas possible de r\u00e9cup\u00e9rer l\u0027EPMM \u00e0 partir d\u0027une sauvegarde, Ivanti recommande de cr\u00e9er un EPMM de remplacement, puis de migrer les donn\u00e9es vers celui-ci ;\n* r\u00e9initialiser les mots de passe de tous les comptes EPMM locaux ;\n* r\u00e9initialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ;\n* r\u00e9voquer et remplacer les certificats publics utilis\u00e9s par l\u0027EPMM [3] ;\n* r\u00e9initialiser les mots de passe de tous les comptes de service interne ou externe configur\u00e9 avec EPMM.\n\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans Ivanti Endpoint Manager Mobile",
  "vendor_advisories": [
    {
      "published_at": "2026-01-29",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://www.ivanti.com/blog/january-2026-epmm-security-update"
    },
    {
      "published_at": "2026-01-29",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340"
    },
    {
      "published_at": "2026-01-29",
      "title": "Guide d\u0027analyse Ivanti Endpoint Manager Mobile",
      "url": "https://forums.ivanti.com/s/article/Analysis-Guidance-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.



Detection rules are retrieved from Rulezet.