Luka zero-day w Ivanti Endpoint Manager Mobile pozwala bez logowania wykonać kod na serwerze zarządzającym telefonami. Ataki są zautomatyzowane. Potwierdź pakiet naprawczy RPM i sprawdź serwer pod kątem włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają telefonami i tabletami służbowymi przez Ivanti Endpoint Manager Mobile (EPMM, dawniej MobileIron Core). Werdykt: jeśli na serwerze EPMM nie ma pakietu naprawczego Ivanti, wgraj go dziś i sprawdź serwer pod kątem włamania, bo luka pozwala przejąć go bez hasła i była wykorzystywana, zanim producent wydał poprawkę.
Amerykańska agencja CISA 29 stycznia 2026 roku, w dniu publikacji CVE, dopisała CVE-2026-1281 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd w Ivanti EPMM pozwala napastnikowi z internetu, bez konta i bez udziału użytkownika, wstrzyknąć i wykonać własny kod na serwerze, który steruje wszystkimi urządzeniami mobilnymi firmy.
CISA dała agencjom federalnym 3 dni na naprawę (do 1 lutego 2026 roku). Holenderskie NCSC i niemieckie CERT-Bund opisały sprawę tego samego dnia jako atak typu zero-day. Poprawka ma formę pakietu RPM nakładanego na serwer, więc numer wersji EPMM po jej instalacji może się nie zmienić.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-1281 (w tym samym biuletynie Ivanti: CVE-2026-1340) |
Data dodania do CISA KEV | 2026-01-29 |
Termin naprawy wg CISA | 2026-02-01 (3 dni od wpisu) |
Produkt | Ivanti Endpoint Manager Mobile (EPMM), dawniej MobileIron Core, serwer zarządzania urządzeniami mobilnymi |
Wersje zagrożone | Według NVD: wszystkie wersje do 12.5.0.0 włącznie oraz 12.5.1.0, 12.6.0.0, 12.6.1.0 i 12.7.0.0. Atak wymaga dostępu sieciowego do serwera, który zwykle jest dostępny z internetu |
Wersje bezpieczne | Producent nie podał numerów wersji. Naprawa to pakiety RPM: ivanti-security-update-1761642-1.0.0S-5 (linia 12.x.0.x) i 1.0.0L-5 (linia 12.x.1.x). Przy wpisie CVE-2026-1340 (kwiecień 2026) CISA wskazała nowsze pakiety 1.1.0S-5 i 1.1.0L-5. Najnowszy stan potwierdź w biuletynie Ivanti |
Typ podatności | Wstrzyknięcie kodu prowadzące do zdalnego wykonania kodu bez uwierzytelnienia; CWE-94 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, ocena Ivanti przeniesiona do NVD; NVD nie wystawił własnej). Atak przez sieć, łatwy, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie firmę transportową, której kierowcy wykonują polecenia wyłącznie z centrali przez radiotelefon. Kierowca nie weryfikuje głosu dyspozytora, bo po to jest centrala. Teraz wyobraź sobie, że do budynku centrali może wejść ktokolwiek z ulicy, bez przepustki, i podyktować przez mikrofon dowolne polecenie całej flocie naraz: zmień trasę, oddaj ładunek, wyłącz nadajnik.
Serwer EPMM jest taką centralą dla telefonów służbowych. Każdy zarejestrowany telefon ufa mu z góry i wykonuje jego polecenia: instaluje konfigurację poczty, certyfikaty, aplikacje. Luka pozwala komuś z internetu przemycić do serwera własne instrukcje w danych, które serwer uznaje za swój kod. Nie trzeba hasła ani kliknięcia pracownika, wystarczy, że serwer odpowiada na połączenia z sieci.
💡 MDM (zarządzanie urządzeniami mobilnymi) to system, który centralnie konfiguruje i kontroluje telefony służbowe. Wstrzyknięcie kodu to sytuacja, w której program traktuje dane od użytkownika jak własne instrukcje. Zero-day oznacza, że atak trwał, zanim producent wydał poprawkę. RPM to format paczki instalacyjnej w systemie Linux; tu poprawka to nakładka na istniejącą instalację. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu łączy się z serwerem EPMM | Telefony się synchronizują, obcy nie ma dostępu | Obcy bez hasła uruchamia własny kod na serwerze |
Polecenia dla telefonów | Tylko zatwierdzone przez administratora | Napastnik może sterować konfiguracją całej floty |
Sprawdzenie, czy poprawka jest zainstalowana | Porównanie numeru wersji | Numer wersji może się nie zmienić, trzeba sprawdzić listę pakietów RPM |
Instalacja poprawki | Zamyka problem | Zamyka lukę, ale nie usuwa napastnika, który wszedł wcześniej |
Blokada jednego adresu na zaporze jako obejście | Czasem wystarcza | Brak publicznych szczegółów o podatnym fragmencie, zostaje poprawka |
źródło: Pexels, Jonathan ReynagaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że atak da się zautomatyzować, więc napastnicy skanują internet i atakują każdy znaleziony podatny serwer, niezależnie od wielkości firmy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie serwerów Ivanti EPMM | Lista celów |
2. Wykorzystanie | T+kilka minut | Wysłanie spreparowanego żądania ze wstrzykniętym kodem | Wykonanie kodu na serwerze bez logowania |
3. Utrwalenie | T+kilkanaście minut | Instalacja ukrytego dostępu (np. powłoki webowej) | Dostęp, który przetrwa późniejszą instalację poprawki |
4. Kradzież danych | T+godziny | Pobranie listy użytkowników, urządzeń, numerów telefonów, certyfikatów i konfiguracji | Dane pracowników i klucze dostępu do sieci |
5. Nadużycie MDM | T+dni | Możliwe rozesłanie złośliwych profili lub aplikacji na telefony | Kontrola nad urządzeniami mobilnymi firmy |
6. Ruch w głąb sieci | T+dni do tygodni | Wykorzystanie serwera jako przyczółka do poczty i sieci wewnętrznej | Szersze włamanie, szpiegostwo, przygotowanie szantażu |
Serwer MDM to punkt, w którym zbiega się zaufanie wszystkich telefonów służbowych. Luka ma ocenę 9.8, nie wymaga hasła, jest wykorzystywana automatycznie i była atakowana przed wydaniem poprawki. To oznacza dwa zadania, a nie jedno: zainstalować poprawkę i sprawdzić, czy serwer nie został przejęty wcześniej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata kontroli nad flotą telefonów, konieczność ponownego wdrożenia urządzeń | Dni od wykrycia | 30 tys. do 200 tys. PLN (praca IT, przestój pracowników) |
Bezpieczeństwo danych | Wyciek danych pracowników, numerów telefonów, certyfikatów, konfiguracji poczty | Godziny od włamania | 40 tys. do 250 tys. PLN (analiza powłamaniowa, wymiana certyfikatów) |
Finansowy | Koszty specjalistów, możliwe oszustwa na podstawie przechwyconych danych | Tygodnie | 80 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów po wycieku | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z EPMM bez pakietu naprawczego
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka nie wymaga logowania, ataki są zautomatyzowane i potwierdzone, EPSS wynosi około 82%, a przejęty serwer daje władzę nad wszystkimi telefonami służbowymi.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić na serwerze EPMM listę zainstalowanych pakietów RPM i potwierdzić obecność ivanti-security-update-1761642 w wersji wskazanej przez Ivanti | Dziś | Administrator EPMM |
2 | 🔴 NATYCHMIAST | Jeśli pakietu brak: wgrać właściwy dla swojej linii (12.x.0.x lub 12.x.1.x) według biuletynu Ivanti | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Sprawdzić serwer pod kątem oznak włamania zgodnie z wytycznymi Ivanti, także inne produkty Ivanti dostępne z internetu (zalecenie CISA) | Dziś | Zespół bezpieczeństwa |
4 | 🟠 PILNIE | Jeśli są oznaki włamania: odizolować serwer, zlecić analizę powłamaniową, rozważyć odbudowę serwera i wymianę certyfikatów | Do 3 dni | CTO / zewnętrzny zespół |
5 | 🟠 PILNIE | Zmienić hasła kont administracyjnych EPMM i kont usługowych połączonych z serwerem (np. katalog użytkowników, poczta) | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Upewnić się, że poprawka obejmuje też CVE-2026-1340 i że przy każdej aktualizacji wersji EPMM pakiet nie znika | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Ograniczyć dostęp do panelu administracyjnego EPMM do sieci wewnętrznej lub VPN | Do 14 dni | Administrator sieci |
8 | 🟡 WAŻNIE | Wprowadzić stały nadzór nad serwerem MDM (dzienniki, alerty) jak nad serwerem krytycznym | Do 30 dni | CTO |
Ivanti wydało pakiety naprawcze RPM, więc poprawka jest dostępna i to ona zamyka lukę. Brak publicznych szczegółów o podatnym fragmencie serwera nie pozwala zaprojektować skutecznego obejścia. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe wyłączenie serwera EPMM lub odcięcie go od internetu (CISA dopuszcza zaprzestanie użycia) | Wysoka | Trudna: telefony tracą synchronizację z serwerem zarządzającym |
Ograniczenie dostępu do serwera do znanych adresów (np. przez VPN dla urządzeń) | Średnia do wysokiej, zależnie od architektury | Trudna: wymaga zmian po stronie telefonów |
Monitorowanie nietypowych procesów i plików na serwerze | Niska jako ochrona, przydatne do wykrycia | Średnia |
Blokowanie pojedynczych adresów URL na zaporze | Niska: brak publicznej informacji, który fragment jest podatny | Łatwa, ale nieskuteczna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poprawka | Nieznany stan, „wersja wygląda na aktualną” | Pakiet RPM potwierdzony na liście pakietów |
Wiedza o włamaniu | Brak sprawdzenia | Serwer sprawdzony wg wytycznych Ivanti, wynik udokumentowany |
Hasła i certyfikaty | Te same od lat | Zmienione, a przy włamaniu wymienione certyfikaty |
Dostęp do panelu | Z internetu | Tylko z sieci firmowej lub VPN |
Zgodność z terminem CISA | Zaległość od 1 lutego 2026 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, automatyzowalne, skutek całkowity. NCSC (Holandia) i CERT-Bund (Niemcy) opisały luki jako zero-day |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, ocena Ivanti) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2026-1340 w tym samym biuletynie, także wstrzyknięcie kodu bez logowania; w KEV od 8 kwietnia 2026 roku |
Prognoza EPSS | Około 82% szansy wykorzystania w ciągu 30 dni, powyżej 99,6 percentyla (23 sierpnia 2026, wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-1281
CVSS 3.1 (Ivanti) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) ~82% ████████████████░░░░ BARDZO WYSOKA
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
CISA KEV TAK ████████████████████ zero-day, ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-01-29 Ivanti publikuje biuletyn i pakiety RPM (CVE-2026-1281, -1340)
2026-01-29 Publikacja CVE w NVD i wpis do katalogu CISA KEV
2026-01-29 Ostrzeżenia NCSC-2026-0043 (Holandia) i WID-SEC-W-2026-0255
(Niemcy) o lukach zero-day
2026-01-30 Ocena CISA: wykorzystanie aktywne i automatyzowalne
2026-02-01 Termin naprawy wg CISA dla agencji federalnych
2026-04-08 CVE-2026-1340 w katalogu KEV, nowsze pakiety 1.1.0S/1.1.0L
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Ivanti dla CVE-2026-1281 i CVE-2026-1340: forums.ivanti.com, Security Advisory EPMM . Pakiety naprawcze wskazane przez CISA: 1.0.0S-5 i 1.0.0L-5 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-1281 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Ivanti EPMM (MobileIron Core) | CTO | DZISIAJ |
2 | Zażądać dowodu instalacji w postaci nazwy i wersji pakietu RPM, a nie numeru wersji EPMM | CTO | DZISIAJ |
3 | Zlecić sprawdzenie serwera pod kątem oznak włamania | CTO | DZISIAJ |
4 | Otrzymać pisemny wynik sprawdzenia | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualną odbudowę serwera | CFO | DO JUTRA |
6 | Sprawdzić w umowie z partnerem IT zakres i terminy wdrażania poprawek krytycznych | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja naszego serwera Ivanti EPMM? | [wersja] | 🔴 |
2 | Czy na serwerze jest zainstalowany pakiet ivanti-security-update-1761642 i w jakiej wersji? | TAK / NIE, [wersja pakietu] | 🔴 |
3 | Kiedy pakiet został zainstalowany? | [data] | 🔴 |
4 | Czy serwer został sprawdzony pod kątem oznak włamania według wytycznych Ivanti? | TAK / NIE, [data] | 🔴 |
5 | Czy mamy inne produkty Ivanti dostępne z internetu i czy też zostały sprawdzone? | TAK / NIE | 🟠 |
6 | Czy po każdej zmianie wersji EPMM sprawdzamy, że pakiet naprawczy jest nadal obecny? | TAK / NIE | 🟠 |
7 | Czy panel administracyjny EPMM jest dostępny tylko z sieci firmowej? | TAK / NIE | 🟡 |
CVE-2026-1281 pozwala bez hasła przejąć serwer Ivanti EPMM, który steruje wszystkimi telefonami służbowymi firmy. Luka była wykorzystywana jako zero-day, ataki są zautomatyzowane, a termin CISA minął 1 lutego 2026 roku. Dziś trzeba potwierdzić obecność pakietu naprawczego RPM na liście pakietów serwera i sprawdzić, czy nikt nie wszedł przed jego instalacją.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.