Ivanti rilascia aggiornamenti di sicurezza per due vulnerabilità zero-day in EPMM sfruttate attivamente

Ivanti ha distribuito aggiornamenti di sicurezza urgenti per risolvere due gravi vulnerabilità nel suo prodotto Endpoint Manager Mobile (EPMM), che sono state sfruttate attivamente in attacchi zero-day. Una di queste è stata inclusa anche nel Known Exploited Vulnerabilities (KEV) catalog della U.S. Cybersecurity and Infrastructure Security Agency (CISA), sottolineando l’urgenza di intervenire.

Le due falle critiche, entrambe con punteggio CVSS di 9.8/10, consentono a un aggressore remoto non autenticato di eseguire codice arbitrario sulla macchina vulnerabile tramite code injection.

Le vulnerabilità interessano diverse versioni di EPMM fino alle serie 12.5.0.0, 12.6.0.0 e 12.7.0.0 (per le quali sono disponibili patch RPM), così come le versioni 12.5.1.0 e 12.6.1.0, che dispongono di correzioni specifiche. È importante notare che le patch RPM devono essere riapplicate dopo un aggiornamento di versione, mentre la versione 12.8.0.0 (prevista per il primo trimestre 2026) conterrà le correzioni in modo definitivo.

Secondo l’avviso di Ivanti, al momento della disclosure alcune installazioni sono già state oggetto di sfruttamento, sebbene il numero di clienti compromessi sia molto limitato e non siano disponibili indicatori affidabili per identificare l’attore responsabile.

Le vulnerabilità colpiscono funzionalità come In-House Application Distribution e Android File Transfer Configuration e non interessano altri prodotti dell’ecosistema Ivanti quali Neurons for MDM, Endpoint Manager (EPM) o Sentry.

Poiché l’esecuzione di codice arbitrario su un dispositivo EPMM permette potenzialmente di ottenere accesso laterale all’ambiente gestito e di compromettere informazioni sensibili sui dispositivi mobili, è fondamentale applicare le correzioni di sicurezza il prima possibile.

Raccomandazioni di sicurezza

• Installare immediatamente gli aggiornamenti di sicurezza rilasciati da Ivanti per tutte le istanze di EPMM affette.
• Verificare che le patch RPM siano riapplicate dopo eventuali aggiornamenti di versione.
• Monitorare i log di sistema, in particolare i registri Apache, per individuare eventuali tentativi di exploit.
• Controllare configurazioni sospette, nuove utenze amministrative o modifiche alle impostazioni di autenticazione e policy di sicurezza.
• In caso di compromissione sospetta, ripristinare il sistema da un backup affidabile, resettare password e certificati e rivedere le configurazioni di sicurezza.

SOC