Ivanti EPMM Critical Vulnerabilities CVE-2026-1281 CVE-2026-1340

Premier Ministre S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 30 janvier 2026 N° CERTFR-2026-ALE-001 Affaire suivie par: CERT-FR

Bulletin d'alerte du CERT-FR

Objet: [MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile

Gestion du document

| Référence | CERTFR-2026-ALE-001 |
| Titre | [MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile |
| Date de la première version | 30 janvier 2026 |
| Date de la dernière version | 09 février 2026 |
| Source(s) | Bulletin de sécurité Ivanti du 29 janvier 2026
Bulletin de sécurité Ivanti du 29 janvier 2026
Guide d'analyse Ivanti Endpoint Manager Mobile du 29 janvier 2026 |
Une gestion de version détaillée se trouve à la fin de ce document.

Risque

• Exécution de code arbitraire à distance

Systèmes affectés

• Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x
• Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x
• Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x
• Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x
• Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x

Résumé

[Mise à jour du 09 février 2026] Le 6 février 2026, Ivanti a mis à disposition des scripts RPM de détection d'indicateurs de compromission, à utiliser en fonction de la version d'EPMM installée.
L'éditeur a également mis son guide d'analyse à jour (cf. section Documentation).

[Mise à jour du 02 février 2026] Une preuve de concept est disponible publiquement.

[Publication initiale] Le 29 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile (EPMM). L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées.

Recherche de compromission

En cas de suspicion de compromission, l'éditeur recommande :

• d'isoler totalement les équipements EPMM et Sentry concernée du réseau, vis-à-vis d'Internet comme du réseau interne ; Note : Sentry est conçu pour acheminer certains types de trafic depuis les terminaux mobiles vers le réseau interne. Si vous pensez que votre équipement EPMM est compromis, Ivanti recommande d'examiner les systèmes auxquels Sentry peut accéder afin de détecter d'éventuelles traces de reconnaissances ou de mouvements latéraux.
• de réaliser un instantané ou effectuer une sauvegarde du disque ;
• de rechercher les tentatives d'exploitations dans les journaux d'accès Apache /var/log/httpd/https-access_log. Les caractéristiques des requêtes HTTP malveillantes sont décrites ci-dessous :

Les instances d'ivanti EPMM avec le correctif de sécurité appliqué produiront des faux positifs suivants lors de la recherche de requêtes HTTP malveillantes qui ressemblent à l'exemple ci-dessous : 127.0.0.1:33354 - - 2026-01-28--12-00-01 "GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1" 404 [Mise à jour du 09 février 2026] Précision : La présence du motif de requête, cité ci-dessus, en provenance de l'adresse de l'hôte local (localhost), dans les journaux Apache, permet de confirmer que le correctif a bien été appliqué.

Deux moyens de persistance sont connus à ce jour par l'éditeur :

1. le déploiement de différentes consoles web malveillantes (webshells), en modifiant des pages d'erreur HTTP tel que 401.jsp ou en introduisant des fichiers WAR ou JAR ;
2. le déploiement d'invite de commande inverse (reverse shell). Toute requête vers des pages d'erreur HTTP utilisant la méthode POST ou des paramètres doit être considérée comme une suspicion de communication avec une porte dérobée. Toute connexion de longue durée initiée par un Ivanti EPMM doit être considérée comme une suspicion de communication par un invite de commande inverse.

Remédiation

En cas de compromission, l'éditeur préconise de :

• restaurer une sauvegarde saine d'un Ivanti EPMM [1] ;
• s'il n'est pas possible de récupérer l'EPMM à partir d'une sauvegarde, Ivanti recommande de créer un EPMM de remplacement, puis de migrer les données vers celui-ci ;
• réinitialiser les mots de passe de tous les comptes EPMM locaux ;
• réinitialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ;
• révoquer et remplacer les certificats publics utilisés par l'EPMM [3] ;
• réinitialiser les mots de passe de tous les comptes de service interne ou externe configuré avec EPMM.

Solutions

L'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de téléchargement d'Ivanti. L'éditeur précise que les correctifs apportés par ses scripts RPM sont temporaires et qu'il est nécessaire de les réinstaller à chaque montée de version jusqu'à l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0.

Documentation

• Bulletin de sécurité Ivanti du 29 janvier 2026
• https://www.ivanti.com/blog/january-2026-epmm-security-update
• Bulletin de sécurité Ivanti du 29 janvier 2026
• https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340
• Guide d'analyse Ivanti Endpoint Manager Mobile du 29 janvier 2026
• https://forums.ivanti.com/s/article/Analysis-Guidance-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340
• [1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, système de sauvegarde
• https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/System_backup.htm
• [2] Prise en main d'Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP
• https://help.ivanti.com/mi/help/en_us/core/12.x/gsg/CoreGettingStarted/Configuring_LDAP_servers.htm
• [3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment révoquer un certificat
• https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/About_logs_CertMgmt.htm#troubleshooting_3631632413_1032053
• Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026
• https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0110/
• Compromission d'un équipement de bordure réseau - Endiguement
• https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-002/
• Compromission d'un équipement de bordure réseau - Qualification
• https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-001/
• Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP
• https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/Cert_Enroll_s_1_ConfigSCEP.htm
• Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, exportation des données : SysLog
• https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/Data_Export__SysLog.htm
• Référence CVE CVE-2026-1281
• https://www.cve.org/CVERecord?id=CVE-2026-1281
• Référence CVE CVE-2026-1340
• https://www.cve.org/CVERecord?id=CVE-2026-1340

Gestion détaillée du document

1. le 30 janvier 2026 Version initiale le 02 février 2026 Une preuve de concept est disponible publiquement le 03 février 2026 Correction de la date de publication de l'avis éditeur le 09 février 2026 Mises à jour de l'éditeur et précision concernant l'analyse des journaux.