Securitybedrijf ZDI heeft twaalf kwetsbaarheden in Ivanti Endpoint Manager onthuld waarvoor nog geen beveiligingsupdates beschikbaar zijn en die remote code execution (RCE) mogelijk maken. Ivanti zegt de beveiligingslekken in maart 2026 te zullen patchen. Via Ivanti Endpoint Manager (EPM) kunnen organisaties laptops, smartphones en servers beheren. Dit wordt gedaan door middel van de EPM-server die met een agent op beheerde clients communiceert. Een gecompromitteerde EPM-server kan dan ook vergaande gevolgen hebben.

Ivanti EPM is in het verleden meerdere keren doelwit geweest van aanvallen waarbij op het moment van de aanval nog geen beveiligingsupdate beschikbaar was. Het Zero Day Initiative (ZDI) rapporteerde de RCE-kwetsbaarheden in juni van dit jaar aan Ivanti. Vervolgens kreeg Ivanti drie maanden om de problemen te verhelpen. Daarbij liet het bedrijf in eerste instantie weten dat de kwetsbaarheden in september zouden worden gepatcht. Eind september meldde Ivanti aan ZDI dat de beveiligingsupdates voor de twaalf lekken pas in maart 2026 zullen verschijnen.

ZDI heeft nu beperkte technische details over de problemen onthult. De impact van elf van de twaalf RCE-kwetsbaarheden is op een schaal van 1 tot en met 10 beoordeeld met een 7.2. Het gevaarlijkste beveiligingslek heeft een impactscore van 8.8. Misbruik van de kwetsbaarheden vereist dat een aanvaller is geauthenticeerd of interactie van een gebruiker. Aangezien er geen beveiligingsupdates beschikbaar zijn geeft ZDI organisaties het advies om interactie met Ivanti EPM te beperken.