{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x","product":{"name":"Endpoint Manager Mobile (EPMM)","vendor":{"name":"Ivanti","scada":false}}},{"description":"Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x","product":{"name":"Endpoint Manager Mobile (EPMM)","vendor":{"name":"Ivanti","scada":false}}},{"description":"Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x","product":{"name":"Endpoint Manager Mobile (EPMM)","vendor":{"name":"Ivanti","scada":false}}},{"description":"Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x","product":{"name":"Endpoint Manager Mobile (EPMM)","vendor":{"name":"Ivanti","scada":false}}},{"description":"Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x","product":{"name":"Endpoint Manager Mobile (EPMM)","vendor":{"name":"Ivanti","scada":false}}}],"affected_systems_content":"","closed_at":null,"content":"## Solutions\n\nL'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de t\u00e9l\u00e9chargement d'Ivanti. L'\u00e9diteur pr\u00e9cise que les correctifs apport\u00e9s par ses scripts RPM sont temporaires et qu'il est n\u00e9cessaire de les r\u00e9installer \u00e0 chaque mont\u00e9e de version jusqu'\u00e0 l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0.","cves":[{"name":"CVE-2026-1340","url":"https://www.cve.org/CVERecord?id=CVE-2026-1340"},{"name":"CVE-2026-1281","url":"https://www.cve.org/CVERecord?id=CVE-2026-1281"}],"links":[{"title":"[3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment r\u00e9voquer un certificat","url":"https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/About_logs_CertMgmt.htm#troubleshooting_3631632413_1032053"},{"title":"[1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur syst\u00e8me, syst\u00e8me de sauvegarde","url":"https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/System_backup.htm"},{"title":"Compromission d'un \u00e9quipement de bordure r\u00e9seau - Endiguement","url":"https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-002/"},{"title":"Compromission d'un \u00e9quipement de bordure r\u00e9seau - Qualification","url":"https://www.cert.ssi.gouv.fr/fiche/CERTFR-2025-RFX-001/"},{"title":"Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026","url":"https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0110/"},{"title":"Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP","url":"https://help.ivanti.com/mi/help/en_us/CORE/12.x/dmga/DMGfiles/Cert_Enroll_s_1_ConfigSCEP.htm"},{"title":"Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur syst\u00e8me, exportation des donn\u00e9es : SysLog","url":"https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/Data_Export__SysLog.htm"},{"title":"[2] Prise en main d'Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP","url":"https://help.ivanti.com/mi/help/en_us/core/12.x/gsg/CoreGettingStarted/Configuring_LDAP_servers.htm"}],"reference":"CERTFR-2026-ALE-001","revisions":[{"description":"Version initiale","revision_date":"2026-01-30T00:00:00.000000"},{"description":"Une preuve de concept est disponible publiquement","revision_date":"2026-02-02T00:00:00.000000"},{"description":"Correction de  la date de publication de l'avis \u00e9diteur","revision_date":"2026-02-03T00:00:00.000000"},{"description":"Mises \u00e0 jour de l'\u00e9diteur et pr\u00e9cision concernant l'analyse des journaux.","revision_date":"2026-02-09T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"<span class=\"important-content\"><b>[Mise \u00e0 jour du 09 f\u00e9vrier 2026]</b></span></br>\nLe 6 f\u00e9vrier 2026, Ivanti a mis \u00e0 disposition des scripts RPM de d\u00e9tection d'indicateurs de compromission, \u00e0 utiliser en fonction de la version d'EPMM install\u00e9e.<br/>\nL'\u00e9diteur a \u00e9galement mis son guide d'analyse \u00e0 jour (cf. section Documentation).\n\n<b>[Mise \u00e0 jour du 02 f\u00e9vrier 2026]</b></br>\nUne preuve de concept est disponible publiquement.\n\n<b>[Publication initiale]</b></br>\nLe 29 janvier 2026, Ivanti a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant les vuln\u00e9rabilit\u00e9s critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile (EPMM). L'\u00e9diteur indique qu'elles permettent \u00e0 un attaquant non authentifi\u00e9 de provoquer une ex\u00e9cution de code arbitraire \u00e0 distance.\n\nIvanti indique que les vuln\u00e9rabilit\u00e9s CVE-2026-1281 et CVE-2026-1340 sont activement exploit\u00e9es dans le cadre d'attaques cibl\u00e9es.\n\n## Recherche de compromission\n\nEn cas de suspicion de compromission, l'\u00e9diteur recommande  :\n* d'isoler totalement les \u00e9quipements EPMM et Sentry concern\u00e9e du r\u00e9seau, vis-\u00e0-vis d'Internet comme du r\u00e9seau interne ; <br/>*Note : Sentry est con\u00e7u pour acheminer certains types de trafic depuis les terminaux mobiles vers le r\u00e9seau interne. Si vous pensez que votre \u00e9quipement EPMM est compromis, Ivanti recommande d'examiner les syst\u00e8mes auxquels Sentry peut acc\u00e9der afin de d\u00e9tecter d'\u00e9ventuelles traces de reconnaissances ou de mouvements lat\u00e9raux.*\n* de r\u00e9aliser un instantan\u00e9 ou effectuer une sauvegarde du disque ;\n* de rechercher les tentatives d'exploitations dans les journaux d'acc\u00e8s Apache <code>/var/log/httpd/https-access_log</code>.\n\nLes caract\u00e9ristiques des requ\u00eates HTTP malveillantes sont d\u00e9crites ci-dessous :\n\n<table class=\"specificStd\">\n    <thead>\n        <tr>\n            <th class=\"specificTitle\">Caract\u00e9ristiques HTTP</th>\n            <th class=\"specificTitle\">Valeur(s) \u00e0 rechercher</th>\n        </tr>\n    </thead>\n    <tbody><tr>\n            <td class=\"specificStd\">M\u00e9thode HTTP</td>\n            <td class=\"specificStd\">GET</td>\n        </tr><tr>\n            <td class=\"specificStd\">Chemin d'acc\u00e8s</td>\n            <td class=\"specificStd\">/mifs/c/aftstore/fob/<br/>/mifs/c/appstore/fob/<br/></td>\n        </tr><tr>\n            <td class=\"specificStd\">Code HTTP</td>\n            <td class=\"specificStd\">404</td>\n        </tr><tr>\n            <td class=\"specificStd\">Param\u00e8tres</td>\n            <td class=\"specificStd\">contenant des commandes bash</td>\n        </tr>\n    </tbody>\n</table>\n<br/>\nLes instances d'ivanti EPMM avec le correctif de s\u00e9curit\u00e9 appliqu\u00e9 produiront des faux positifs suivants lors de la recherche de requ\u00eates HTTP malveillantes qui ressemblent \u00e0 l'exemple ci-dessous :\n<pre>\n127.0.0.1:33354 - - 2026-01-28--12-00-01 \"GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1\" 404 \n</pre>\n<span class=\"important-content\"><b>[Mise \u00e0 jour du 09 f\u00e9vrier 2026]</b></br>\nPr\u00e9cision : La pr\u00e9sence du motif de requ\u00eate, cit\u00e9 ci-dessus, en provenance de l'adresse de l'h\u00f4te local <i>(localhost)</i>, dans les journaux Apache, permet de confirmer que le correctif a bien \u00e9t\u00e9 appliqu\u00e9.\n</span>\n<br/><br/>\n\nDeux moyens de persistance sont connus \u00e0 ce jour par l'\u00e9diteur :\n1. le d\u00e9ploiement de diff\u00e9rentes consoles web malveillantes *(webshells)*, en modifiant des pages d'erreur HTTP tel que <code>401.jsp</code> ou en introduisant des fichiers WAR ou JAR ;\n2. le d\u00e9ploiement d'invite de commande inverse *(reverse shell)*.\n\nToute requ\u00eate vers des pages d'erreur HTTP utilisant la m\u00e9thode POST ou des param\u00e8tres doit \u00eatre consid\u00e9r\u00e9e comme une suspicion de communication avec une porte d\u00e9rob\u00e9e.\nToute connexion de longue dur\u00e9e initi\u00e9e par un Ivanti EPMM doit \u00eatre consid\u00e9r\u00e9e comme une suspicion de communication par un invite de commande inverse.\n\n## Rem\u00e9diation\n\nEn cas de compromission, l'\u00e9diteur pr\u00e9conise de :\n* restaurer une sauvegarde saine d'un Ivanti EPMM [1] ;\n* s'il n'est pas possible de r\u00e9cup\u00e9rer l'EPMM \u00e0 partir d'une sauvegarde, Ivanti recommande de cr\u00e9er un EPMM de remplacement, puis de migrer les donn\u00e9es vers celui-ci ;\n* r\u00e9initialiser les mots de passe de tous les comptes EPMM locaux ;\n* r\u00e9initialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ;\n* r\u00e9voquer et remplacer les certificats publics utilis\u00e9s par l'EPMM [3] ;\n* r\u00e9initialiser les mots de passe de tous les comptes de service interne ou externe configur\u00e9 avec EPMM.\n\n","title":"[M\u00e0J] Multiples vuln\u00e9rabilit\u00e9s dans Ivanti Endpoint Manager Mobile","vendor_advisories":[{"published_at":"2026-01-29","title":"Bulletin de s\u00e9curit\u00e9 Ivanti","url":"https://www.ivanti.com/blog/january-2026-epmm-security-update"},{"published_at":"2026-01-29","title":"Bulletin de s\u00e9curit\u00e9 Ivanti","url":"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340"},{"published_at":"2026-01-29","title":"Guide d'analyse Ivanti Endpoint Manager Mobile","url":"https://forums.ivanti.com/s/article/Analysis-Guidance-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340"}]}