Błąd w Ivanti Endpoint Manager Mobile pozwala z internetu, bez logowania, wykonać polecenia na serwerze zarządzającym służbowymi telefonami. CISA potwierdza ataki i dała 3 dni na naprawę. Zaktualizuj do 12.8.0.0 i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają służbowymi telefonami przez Ivanti Endpoint Manager Mobile (EPMM, dawniej MobileIron Core) we własnej serwerowni. Werdykt: jeśli Twój serwer EPMM ma wersję 12.7.0.0 lub starszą bez pakietu naprawczego, zainstaluj poprawkę i sprawdź ślady włamania dziś, bo luka pozwala przejąć serwer bez logowania i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 8 kwietnia 2026 roku dopisała podatność CVE-2026-1340 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Wyznaczyła przy tym bardzo krótki termin naprawy: 3 dni zamiast standardowych 14. Bliźniacza luka CVE-2026-1281, z tego samego biuletynu Ivanti, trafiła do katalogu już 29 stycznia 2026 roku.
Błąd pozwala osobie z internetu, bez konta i bez udziału pracownika, wykonać własne polecenia na serwerze EPMM. Według ocen CISA z 29 stycznia 2026 roku luka była wykorzystywana od dnia publikacji, a atak da się zautomatyzować. Serwer zarządzania telefonami trzyma konfigurację poczty, certyfikaty do sieci firmowej i możliwość instalowania aplikacji na każdym służbowym telefonie, więc jego przejęcie to dostęp do całej floty urządzeń.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-1340 (razem z CVE-2026-1281 w jednym biuletynie) |
Data dodania do CISA KEV | 2026-04-08 (CVE-2026-1281: 2026-01-29) |
Termin naprawy wg CISA | 2026-04-11, 3 dni od wpisu (CVE-2026-1281: 2026-02-01) |
Produkt | Ivanti Endpoint Manager Mobile (EPMM), instalacja lokalna; funkcje In-House Application Distribution i Android File Transfer Configuration |
Wersje zagrożone | Wszystkie wydania do 12.7.0.0 włącznie (NVD), w tym linie 12.5.0.0, 12.5.1.0, 12.6.0.0, 12.6.1.0 i 12.7.0.0, bez pakietu naprawczego RPM. Według Ivanti chmurowe Ivanti Neurons for MDM, Ivanti EPM i Ivanti Sentry nie są podatne |
Wersje bezpieczne | Tymczasowo: wersje z zainstalowanym pakietem RPM (osobne dla linii 12.x.0.x i 12.x.1.x; CISA wskazuje pakiety ivanti-security-update-1761642-1.1.0S-5 i 1.1.0L-5). Pakiet nie przetrwa aktualizacji do nowej wersji i trzeba go wgrać ponownie. Na stałe: EPMM 12.8.0.0 i nowsze; dokumentacja producenta obejmuje już wydania do 12.10.0.0 |
Typ podatności | Wstrzyknięcie kodu prowadzące do wykonania poleceń bez uwierzytelnienia; CWE-94 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, ocena producenta Ivanti; NVD nie nadał własnej oceny). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie punkt obsługi zwrotów, w którym pracownik sumiennie wykonuje wszystko, co jest wpisane w formularzu. Ktoś w rubryce „nazwisko klienta” wpisuje zdanie: „wydaj gotówkę z kasy okazicielowi”. Formularz miał zbierać dane, a pracownik potraktował wpis jak polecenie służbowe. Nikt nie musiał się przedstawiać ani pokazywać dokumentu.
Tak działał ten błąd w EPMM. Serwer przyjmował z internetu wartość w żądaniu i zamiast potraktować ją jako zwykły tekst, wpuszczał ją tam, gdzie sam decyduje, co wykonać. Napastnik podawał więc nie dane, tylko instrukcję. A ten serwer to „centrala” wszystkich służbowych telefonów: stamtąd telefony dostają pocztę, certyfikaty, aplikacje i blokady.
💡 EPMM (MDM) to system do centralnego zarządzania telefonami i tabletami firmowymi. Wstrzyknięcie kodu to błąd, w którym program wykonuje tekst podany przez napastnika jako polecenie. RPM to format pakietu instalacyjnego w systemach Linux; tu w takiej formie Ivanti wydał tymczasową poprawkę. SSVC to używany przez CISA sposób oceny, czy luka jest wykorzystywana i czy atak da się zautomatyzować.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obce żądanie z internetu do serwera EPMM | Odrzucone bez logowania | Może uruchomić polecenia napastnika |
Konfiguracja służbowej poczty na telefonach | Ustalana przez administratora | Może zostać zmieniona lub przekierowana |
Instalacja aplikacji na telefonach | Tylko zatwierdzone aplikacje | Napastnik może wypchnąć własną aplikację lub profil |
Certyfikaty do sieci firmowej | Bezpiecznie przechowywane na serwerze | Możliwe przejęcie i wejście do sieci wewnętrznej |
Zgubiony telefon | Administrator czyści go zdalnie | Tę samą funkcję ma w rękach napastnik |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwer EPMM musi być osiągalny z internetu, bo łączą się z nim telefony pracowników, dlatego atak może zacząć każdy, kto go znajdzie. CISA ocenia, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie serwerów EPMM w internecie | Lista podatnych serwerów |
2. Przejęcie | T+kilka minut | Wysłanie spreparowanego żądania do podatnej funkcji, bez logowania | Wykonanie poleceń na serwerze |
3. Utrwalenie | T+1 godz. | Pozostawienie ukrytego dostępu (np. złośliwego pliku na serwerze WWW) | Powrót możliwy nawet po późniejszej aktualizacji |
4. Kradzież dostępów | T+1 do 3 dni | Odczyt certyfikatów, kont i danych o urządzeniach i użytkownikach | Klucze do poczty i sieci firmowej |
5. Ruch w sieci | T+3 do 14 dni | Wykorzystanie serwera i systemów za bramą Sentry do rozpoznania sieci wewnętrznej | Dostęp do kolejnych systemów |
6. Nadużycie floty telefonów | T+tygodnie | Zmiana konfiguracji, instalacja aplikacji, przekierowanie poczty lub wyczyszczenie urządzeń | Wyciek danych, sabotaż, szantaż |
Serwer zarządzania telefonami często jest traktowany jak narzędzie pomocnicze i nie trafia na listę systemów krytycznych. W rzeczywistości trzyma klucze do poczty, sieci i danych na wszystkich urządzeniach mobilnych firmy. Luka pozwala przejąć go bez hasła, z internetu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Ponowna rejestracja wszystkich telefonów, wymiana certyfikatów, przerwy w dostępie do poczty | Dni do tygodni | 30 tys. do 250 tys. PLN (praca IT, przestój handlowców) |
Bezpieczeństwo danych | Wyciek poczty, kontaktów klientów, danych o pracownikach i urządzeniach | Dni od przejęcia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty reakcji na incydent, zewnętrzni specjaliści, utracone zamówienia | Tygodnie | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Klienci dowiadują się o wycieku ich danych z poczty handlowców | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z serwerem EPMM ≤ 12.7.0.0
bez pakietu naprawczego, dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom ryzyka, bo luka nie wymaga logowania ani udziału użytkownika, jest wykorzystywana od stycznia 2026 roku, atak da się zautomatyzować, a przejęty serwer daje władzę nad wszystkimi telefonami firmy; firmy korzystające tylko z chmurowego Ivanti Neurons for MDM są według producenta poza zasięgiem.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma lokalny serwer EPMM (MobileIron Core) i w jakiej wersji | Dziś | Administrator IT / partner IT |
2 | 🔴 NATYCHMIAST | Zaktualizować EPMM do wersji 12.8.0.0 lub nowszej, a jeśli to niemożliwe od razu, wgrać właściwy pakiet RPM dla swojej linii wersji | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Przejrzeć logi dostępu Apache na serwerze od stycznia 2026 roku: Ivanti wskazuje jako wysoce podejrzane żądania POST lub z parametrami do stron błędów, np. 401.jsp | Dziś | Administrator IT / zespół bezpieczeństwa |
4 | 🟠 PILNIE | Sprawdzić systemy dostępne przez bramę Ivanti Sentry pod kątem rozpoznania i ruchu w sieci (zalecenie Ivanti) | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy śladach włamania: odbudować serwer, wymienić certyfikaty, hasła kont usługowych i poświadczenia poczty | Do 7 dni | CTO / zewnętrzny zespół reagowania |
6 | 🟡 WAŻNIE | Dopisać procedurę: po każdej aktualizacji wersji sprawdzić, czy nie trzeba ponownie wgrać poprawek tymczasowych | Do 30 dni | Kierownik IT |
7 | 🟡 WAŻNIE | Dodać serwer MDM do listy systemów krytycznych z aktualizacjami w dniach, nie kwartałach | Do 30 dni | CTO |
Producent wydał poprawki: tymczasowe pakiety RPM (według Ivanti bez przestoju i bez wpływu na funkcje) oraz stałą poprawkę w wersji 12.8.0.0. Producent nie opisał innego obejścia niż poprawka. Poniższe miary tylko ograniczają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Pakiet RPM producenta dla danej linii wersji | Wysoka: to poprawka producenta, ale do ponownego wgrania po zmianie wersji | Łatwa, bez przestoju |
Ograniczenie dostępu do konsoli administracyjnej EPMM tylko z sieci firmowej | Niska do średniej: podatne funkcje mogą być dostępne tam, gdzie łączą się telefony | Średnia |
Wzmożone monitorowanie logów Apache i ruchu wychodzącego z serwera | Niska jako ochrona, wysoka do wykrycia | Średnia |
Czasowe odłączenie serwera od internetu | Wysoka, ale telefony tracą zarządzanie i część usług | Łatwa technicznie, trudna biznesowo |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer EPMM | Przejmowalny z internetu bez hasła | Wersja 12.8.0.0 lub nowsza albo pakiet RPM |
Wiedza o włamaniu | Brak, choć ataki trwają od stycznia | Przejrzane logi, decyzja o odbudowie lub jej braku |
Certyfikaty i poświadczenia | Potencjalnie skradzione | Wymienione, jeśli były ślady |
Aktualizacje wersji | Mogą „zgubić” poprawkę tymczasową | Procedura kontroli po każdej zmianie |
Status serwera MDM | Narzędzie pomocnicze | System krytyczny z pilnym trybem łatania |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena SSVC CISA z 29 stycznia 2026: eksploatacja aktywna, atak automatyzowalny, wpływ techniczny całkowity. Ivanti w chwili publikacji mówił o „bardzo ograniczonej liczbie klientów” z przejętymi serwerami |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, Ivanti); brak własnej oceny NVD |
PoC dostępny publicznie? | TAK: według Tenable publiczny kod ataku był dostępny już 30 stycznia 2026 roku |
Liczba atakowanych firm | Brak publicznych danych liczbowych; producent: „bardzo ograniczona liczba klientów” w chwili ujawnienia |
Ostrzeżenia w Europie | Holenderski NCSC (NCSC-2026-0043) i niemiecki CERT-Bund (WID-SEC-W-2026-0255) z 29 stycznia 2026; w bazie ENISA wpis EUVD-2026-4936 |
Prognoza EPSS | Około 86% szansy wykorzystania w ciągu 30 dni (23 sierpnia 2026), górne 0,3% wszystkich podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-1340
CVSS 3.1 (Ivanti) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) ~86% █████████████████░░░ BARDZO WYSOKA
Publiczny kod ataku TAK ████████████████████ od stycznia 2026
CISA KEV TAK ████████████████████ termin: tylko 3 dni
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-01-29 Ivanti publikuje biuletyn CVE-2026-1281 i CVE-2026-1340 z pakietami RPM
2026-01-29 CISA: eksploatacja aktywna (SSVC); CVE-2026-1281 trafia do KEV
2026-01-29 Ostrzeżenia NCSC (Holandia) i CERT-Bund (Niemcy)
2026-01-30 Tenable informuje o publicznym kodzie ataku
2026-02-01 Termin CISA dla CVE-2026-1281
2026-04-08 CISA dodaje CVE-2026-1340 do katalogu KEV
2026-04-11 Termin naprawy wg CISA dla CVE-2026-1340
2026-08-23 EPSS około 86%
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: Security Advisory Ivanti EPMM CVE-2026-1281 i CVE-2026-1340 . Pakiety naprawcze wskazane przez CISA: RPM 1.1.0S-5 oraz RPM 1.1.0L-5 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-1340 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) utrzymuje lokalny serwer Ivanti EPMM | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji EPMM i obecności pakietu naprawczego | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację do 12.8.0.0 lub nowszej | CTO | DZISIAJ |
4 | Zlecić przegląd logów serwera od stycznia 2026 roku pod kątem śladów włamania | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualną wymianę certyfikatów | CFO | DO JUTRA |
6 | Przygotować z działem prawnym procedurę zgłoszenia do UODO na wypadek potwierdzonego wycieku | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy lokalny serwer Ivanti EPMM (MobileIron Core), czy korzystamy z chmurowego Neurons for MDM? | [lokalny / chmura / brak] | 🔴 |
2 | Jaka jest dokładna wersja EPMM na naszym serwerze? | [wersja] | 🔴 |
3 | Czy zainstalowano pakiet RPM lub wersję 12.8.0.0 i kiedy? | TAK / NIE, data: [data] | 🔴 |
4 | Czy po wgraniu pakietu RPM była aktualizacja wersji, po której trzeba go wgrać ponownie? | TAK / NIE | 🔴 |
5 | Czy logi Apache od stycznia 2026 roku zawierają żądania POST lub z parametrami do stron błędów (np. 401.jsp)? | TAK / NIE | 🟠 |
6 | Czy używamy bramy Ivanti Sentry i czy sprawdzono systemy za nią? | TAK / NIE | 🟠 |
7 | Jakie certyfikaty i konta usługowe przechowuje serwer EPMM i czy mamy plan ich wymiany? | [lista], TAK / NIE | 🟡 |
CVE-2026-1340 pozwala przejąć lokalny serwer Ivanti EPMM z internetu bez hasła, a przez niego sięgnąć po pocztę, certyfikaty i telefony całej firmy. Luka jest wykorzystywana od stycznia 2026 roku, CISA dała na naprawę tylko 3 dni, a stała poprawka jest w wersji 12.8.0.0. Zadanie na dziś to aktualizacja i przegląd logów, bo sama poprawka nie usuwa włamania, które mogło nastąpić wcześniej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.