Błąd w Ivanti Endpoint Manager Mobile pozwala zalogowanemu administratorowi uruchomić własny kod na serwerze. CISA potwierdza ataki i dała 3 dni na naprawę. Zaktualizuj EPMM i przejrzyj konta administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają telefonami służbowymi przez Ivanti Endpoint Manager Mobile (EPMM). Werdykt: jeśli Wasz serwer EPMM działa na wersji starszej niż 12.6.1.1, 12.7.0.1 lub 12.8.0.1, zaktualizuj go dziś i przejrzyj listę kont administratorów, bo luka jest aktywnie wykorzystywana.
Amerykańska agencja CISA 7 maja 2026 roku dopisała CVE-2026-6973 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Ivanti EPMM, platformy do zarządzania telefonami i tabletami służbowymi. Osoba zalogowana z uprawnieniami administratora może przez niego uruchomić własny kod na serwerze EPMM, czyli przejść od panelu aplikacji do pełnej kontroli nad maszyną.
CISA dała agencjom federalnym tylko 3 dni na naprawę (do 10 maja 2026 roku), choć zwykle termin liczy się w tygodniach. To sygnał, że zwłoka była oceniana jako groźniejsza niż pośpieszna aktualizacja. Od tego terminu minęły ponad 4 miesiące.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-6973 (w europejskiej bazie EUVD-2026-28396) |
Data dodania do CISA KEV | 2026-05-07 |
Termin naprawy wg CISA | 2026-05-10 (3 dni od wpisu) |
Produkt | Ivanti Endpoint Manager Mobile (EPMM), serwer zarządzania urządzeniami mobilnymi |
Wersje zagrożone | Wszystkie wydania starsze niż 12.6.1.1 oraz 12.7.0.0 i 12.8.0.0. Warunek ataku: napastnik musi być zalogowany jako administrator |
Wersje bezpieczne | 12.6.1.1 (gałąź 12.6), 12.7.0.1 (gałąź 12.7), 12.8.0.1 (gałąź 12.8) i nowsze. Najnowszej dostępnej wersji nie udało się zweryfikować, sprawdź ją w portalu producenta |
Typ podatności | Niewłaściwa walidacja danych wejściowych prowadząca do zdalnego wykonania kodu; CWE-20 |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1, ocena producenta Ivanti przeniesiona do NVD; NVD nie wystawił własnej). Atak przez sieć, niska złożoność, wymagane wysokie uprawnienia, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie firmową szatnię z tablicą kluczy do wszystkich szafek pracowników. Kierownik szatni ma formularz, w którym wpisuje, której osobie wydać klucz. Okazuje się, że jeśli w rubryce „uwagi” wpisze się odpowiednio sformułowane zdanie, szatnia wykonuje je jak polecenie, na przykład oddaje klucz do samego pomieszczenia z tablicą. Żeby to zrobić, trzeba najpierw być kierownikiem szatni, ale po udanej próbie ma się władzę nie nad jedną szafką, tylko nad całym budynkiem.
Serwer EPMM to właśnie taka tablica kluczy do wszystkich telefonów w firmie: wgrywa konfigurację poczty, certyfikaty dostępu do sieci, listę aplikacji i potrafi zdalnie wyczyścić urządzenie. Luka pozwala administratorowi aplikacji wyjść poza jej panel i uruchomić dowolne polecenia na samym serwerze. W praktyce „administratorem” bywa też ktoś, kto ukradł albo znalazł hasło do takiego konta.
💡 MDM (zarządzanie urządzeniami mobilnymi) to system, który centralnie konfiguruje i kontroluje telefony służbowe. Walidacja danych wejściowych to sprawdzanie, czy to, co wpisał użytkownik, ma dozwoloną postać. Zdalne wykonanie kodu (RCE) oznacza, że napastnik uruchamia na cudzym serwerze własne polecenia. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator loguje się do panelu EPMM | Zarządza telefonami w zakresie funkcji aplikacji | Może przejąć cały serwer, na którym działa EPMM |
Ktoś zdobywa hasło starego konta administratora | Widzi konfigurację urządzeń | Uruchamia własny program na serwerze i instaluje ukryty dostęp |
Wysyłanie profili na telefony | Tylko zatwierdzone ustawienia firmy | Możliwe rozesłanie złośliwej konfiguracji, np. własnego serwera poczty lub certyfikatu |
Dane na serwerze | Lista urządzeń, użytkowników, certyfikaty | Dostępne dla napastnika w całości |
Ocena ryzyka przez IT | „Wymaga konta administratora, więc nie pilne” | CISA potwierdza aktywne ataki i daje tylko 3 dni na naprawę |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie zaczyna się od „każdego z internetu”: najpierw trzeba zdobyć dostęp do konta administratora EPMM. CISA ocenia, że wykorzystania nie da się zautomatyzować, co wskazuje na ataki ręczne i celowane.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T-dni do tygodni | Wyłudzenie hasła administratora podszytą wiadomością, użycie hasła z innego wycieku lub starego konta wdrożeniowego | Login i hasło administratora EPMM |
2. Logowanie | T+0 min | Wejście do panelu administracyjnego EPMM, najczęściej wystawionego do internetu | Sesja administratora |
3. Wykorzystanie luki | T+kilka do kilkudziesięciu minut | Wysłanie spreparowanych danych, których serwer nie sprawdza poprawnie | Wykonanie poleceń na serwerze EPMM |
4. Utrwalenie | T+1 godzina | Instalacja ukrytego dostępu, dodanie własnych kont | Dostęp niezależny od hasła, które firma może zmienić |
5. Nadużycie MDM | T+godziny do dni | Pobranie listy urządzeń i użytkowników, certyfikatów, konfiguracji; możliwe rozesłanie złośliwych profili | Kontrola nad flotą telefonów i dane do dalszych ataków |
6. Ruch w głąb sieci | T+dni do tygodni | Wykorzystanie serwera jako punktu wyjścia do sieci wewnętrznej i poczty | Kradzież danych, szpiegostwo, przygotowanie większego ataku |
Serwer zarządzania telefonami ma władzę nad każdym urządzeniem służbowym. Jego przejęcie oznacza, że nie można już ufać całej flocie: trzeba wyzerować telefony, unieważnić certyfikaty i zmienić hasła do usług, z których korzystały. Warunek „tylko administrator” brzmi uspokajająco, ale po kilku latach użytkowania kont administracyjnych bywa więcej, niż ktokolwiek pamięta.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zerowanie i ponowna konfiguracja wszystkich telefonów, przerwa w dostępie do poczty mobilnej | Dni od wykrycia | 20 tys. do 150 tys. PLN (praca IT, przestój pracowników) |
Bezpieczeństwo danych | Wyciek danych użytkowników, certyfikatów, możliwy podsłuch poczty służbowej | Godziny do dni od włamania | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana certyfikatów) |
Finansowy | Koszty zewnętrznych specjalistów, możliwe oszustwa na podstawie przechwyconej korespondencji | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania od ubezpieczyciela | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z EPMM bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie serwera zarządzającego telefonami), a prawdopodobieństwo średnie, bo atak wymaga konta administratora; ryzyko rośnie do krytycznego w firmach, które mają wiele kont administracyjnych, nie używają MFA i wystawiają panel EPMM do internetu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję serwera EPMM i porównać z 12.6.1.1 / 12.7.0.1 / 12.8.0.1 | Dziś | Administrator EPMM |
2 | 🔴 NATYCHMIAST | Zaktualizować EPMM do wersji z poprawką dla swojej gałęzi, zgodnie z majowym biuletynem Ivanti | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Przejrzeć listę kont administratorów EPMM, wyłączyć konta nieprzypisane do konkretnej osoby i konta byłych pracowników lub wykonawców | Dziś | CTO / administrator |
4 | 🟠 PILNIE | Zmienić hasła wszystkich kont administracyjnych i włączyć dla nich uwierzytelnianie wieloskładnikowe | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Ograniczyć dostęp do panelu administracyjnego EPMM do sieci wewnętrznej lub VPN | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Przejrzeć logi logowań administratorów i zmian konfiguracji od maja 2026 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczny przegląd kont uprzywilejowanych i włączyć EPMM do tego samego rygoru aktualizacji co serwery krytyczne | Do 30 dni | CTO |
Producent wydał poprawki dla trzech utrzymywanych gałęzi (12.6, 12.7 i 12.8), więc aktualizacja jest dostępna i to ona zamyka lukę. Do czasu okna serwisowego można ograniczyć ryzyko poniższymi miarami. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do panelu administracyjnego tylko z sieci wewnętrznej lub przez VPN | Wysoka: odcina większość zewnętrznych prób | Średnia |
Redukcja kont administracyjnych do niezbędnego minimum | Wysoka: zmniejsza liczbę kont, które mogą zostać przejęte | Łatwa |
Uwierzytelnianie wieloskładnikowe dla administratorów | Średnia do wysokiej: utrudnia użycie skradzionego hasła | Średnia |
Alerty o logowaniu administratora z nowego adresu lub o nietypowej porze | Niska jako ochrona, przydatna do wykrycia | Średnia |
Czasowe wyłączenie serwera EPMM (dopuszczone przez CISA, gdy brak poprawki) | Wysoka | Trudna: wstrzymuje zarządzanie telefonami, poczta na urządzeniach zwykle działa dalej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja EPMM | Podatna, aktywnie atakowana | 12.6.1.1 / 12.7.0.1 / 12.8.0.1 lub nowsza |
Konta administratorów | Nieznana liczba, w tym konta byłych pracowników i wykonawców | Tylko imienne, potrzebne, z MFA |
Panel administracyjny | Dostępny z internetu | Dostępny tylko z sieci firmowej lub VPN |
Wiedza o włamaniu | Brak przeglądu logów | Logi od maja 2026 przejrzane, wynik udokumentowany |
Zgodność z terminem CISA | Zaległość ponad 4 miesiące | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, automatyzacja niemożliwa, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1, ocena producenta); podwynik skutków 5.9 (maksymalny), podwynik łatwości wykorzystania 1.2 z powodu wymogu uprawnień administratora |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 34% szansy wykorzystania w ciągu 30 dni, górne 2% wszystkich podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-6973
CVSS 3.1 (Ivanti) 7.2/10 ██████████████░░░░░░ WYSOKA
Skutki (podwynik) 5.9/5.9 ████████████████████ MAKSYMALNE
EPSS (próba w 30 dni) ~34% ███████░░░░░░░░░░░░░ WYSOKA (top 2%)
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05 Majowy biuletyn Ivanti dla EPMM obejmujący kilka CVE
2026-05-07 Publikacja CVE-2026-6973 w NVD
2026-05-07 CISA dodaje lukę do katalogu KEV
2026-05-10 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-21 Luka nadal w katalogu KEV (wg analizy źródłowej)
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Majowy biuletyn producenta z wersjami: hub.ivanti.com, May 2026 Security Advisory Ivanti EPMM . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-6973 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa Ivanti EPMM do zarządzania telefonami | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji EPMM i dacie ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe okno serwisowe na aktualizację | CTO | DZISIAJ |
4 | Otrzymać listę kont administratorów EPMM z przypisaniem do osób | CTO | DO JUTRA |
5 | Zlecić przegląd logów administracyjnych od maja 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualne ponowne wdrożenie telefonów | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji działa nasz serwer Ivanti EPMM? | [wersja] | 🔴 |
2 | Kiedy zainstalowano poprawkę z majowego biuletynu Ivanti? | [data] / NIE | 🔴 |
3 | Ile kont ma uprawnienia administratora EPMM i do kogo należą? | [liczba], [lista osób] | 🔴 |
4 | Czy panel administracyjny EPMM jest dostępny z internetu? | TAK / NIE | 🟠 |
5 | Czy konta administratorów mają włączone uwierzytelnianie wieloskładnikowe? | TAK / NIE | 🟠 |
6 | Czy przejrzeliśmy logi logowań i zmian konfiguracji od maja 2026 roku? | TAK / NIE, [data] | 🟠 |
7 | Czy mamy procedurę ponownego wdrożenia wszystkich telefonów, gdyby serwer został przejęty? | TAK / NIE | 🟡 |
CVE-2026-6973 pozwala osobie z kontem administratora Ivanti EPMM przejąć cały serwer zarządzający telefonami służbowymi. CISA potwierdza aktywne ataki i dała tylko 3 dni na naprawę, a termin minął 10 maja 2026 roku. Aktualizacja do 12.6.1.1, 12.7.0.1 lub 12.8.0.1 oraz porządek w kontach administratorów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.