Ivanti naprawia luki w pięciu produktach, dwa z nich oceniono jako krytyczne

panoramic photography of the city during night — Robert Bock / Unsplash

Firma Ivanti udostępniła aktualizacje bezpieczeństwa dla pięciu swoich produktów, aby wyeliminować łącznie 13 podatności. Działania te obejmują naprawę błędów, które zostały sklasyfikowane jako krytyczne.

W ramach opublikowanego 10 listopada 2026 roku komunikatu bezpieczeństwa wskazano luki w produktach Ivanti Endpoint Manager, Ivanti Cloud Services Application, Ivanti Sentry, Ivanti Endpoint Manager Mobile oraz Ivanti User Workspace Manager. Niektóre z tych podatności występowały w wielu produktach jednocześnie, jednak po usunięciu duplikatów zidentyfikowano 13 unikalnych luk w systemie CVE.

Produkt Ivanti Endpoint Manager został naprawiony pod kątem dwóch podatności. Jedna z nich, oznaczona jako CVE-2026-121653, dotyczy wstrzykiwania kodu SQL w komponencie Core. Błąd ten może pozwolić na wykonanie kodu bez konieczności uwierzytelnienia. Według systemu CVSSv3.0 bazowa ocena tej luki wynosi 9,8, co oznacza poziom krytyczny.

Kolejna krytyczna podatność, CVE-2026-121683, została znaleziona w Ivanti Cloud Services Application. Jest to błąd związany z niewłaściwym uwierzytelnianiem, który umożliwia dowolne dodawanie lub usuwanie informacji rejestracyjnych dotyczących certyfikatów w EPM Core. Podatność ta otrzymała podstawową wartość CVSS wynoszącą 9,4. Producent zaznaczył, że problem dotyczy wyłącznie wersji 5.0.8.

Pozostałe produkty nie posiadały luk o statusie krytycznym, jednak aktualizacje rozwiązują inne problemy, w tym podatności ocenione jako wysokie.