CVE-2026-6973

Falha de validação de entrada (CWE-20) no Ivanti Endpoint Manager Mobile (EPMM) que permite a um usuário remoto já autenticado com privilégios administrativos executar código arbitrário no servidor. O CVSS de 7.2 reflete justamente essa barreira de entrada: não é uma falha pré-autenticação, é uma escalada de admin-para-RCE — grave para quem já opera o console, mas não expõe a instância a qualquer atacante na internet. Está no catálogo KEV da CISA com exploração confirmada, o que eleva a prioridade independente do CVSS.

A Ivanti classifica a causa raiz como Improper Input Validation (CWE-20): algum campo ou parâmetro processado pelo EPMM não é sanitizado corretamente antes de ser usado em uma operação que resulta em execução de código no servidor. O advisory oficial da Ivanti (maio de 2026) cobre múltiplas CVEs no mesmo boletim, e a descrição pública desta CVE específica não detalha qual endpoint, componente ou tipo de injeção (comando, deserialização, template, etc.) está envolvido — essa granularidade não está disponível nas fontes consultadas.

O vetor CVSS (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) é a informação técnica mais concreta que temos: ataque via rede, baixa complexidade de exploração, privilégios altos (PR:H) exigidos, sem interação do usuário, e impacto total em confidencialidade, integridade e disponibilidade sem mudança de escopo. PR:H é o dado central — o atacante precisa já possuir uma conta administrativa válida no console EPMM antes de acionar a falha.

A CWE-20 associada é genérica por natureza; cobre desde falta de checagem de tipo/tamanho até ausência de escaping em campos que alimentam comandos ou configurações internas do servidor. Sem o texto completo do advisory técnico da Ivanti (não disponível nas fontes lidas), não é possível precisar o mecanismo exato — qualquer detalhamento além disso seria especulação, e a regra aqui é não especular.

Pré-requisito real e limitante: o atacante precisa de uma conta com acesso administrativo ao EPMM já autenticada na aplicação. Isso normalmente significa credenciais de admin comprometidas (phishing, reuso de senha, credencial vazada) ou um insider malicioso — não é uma falha explorável por qualquer usuário anônimo na internet. Uma vez com essa sessão administrativa, a exploração em si tem baixa complexidade (AC:L) e não exige interação de terceiros (UI:N), o que sugere um payload direto contra um endpoint ou funcionalidade do console.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV com prazo de mitigação extremamente curto (adicionada em 07/05/2026, due date 10/05/2026 — três dias), padrão reservado a falhas sendo usadas em campanhas reais no momento do registro. O campo "uso em ransomware" está marcado como "Unknown" pela CISA, ou seja, não há atribuição confirmada a esse tipo de campanha até a publicação.

O cenário mais plausível de exploração combina esta CVE com outra falha de roubo de credenciais ou escalada de privilégio no mesmo advisory multi-CVE — atacantes frequentemente encadeiam uma vulnerabilidade que rouba/obtém acesso administrativo com uma segunda que converte esse acesso em RCE. Essa é uma leitura de contexto, não um fato confirmado pelas fontes; o advisory da Ivanti trata várias CVEs no mesmo boletim de maio de 2026, o que reforça essa hipótese de encadeamento sem confirmá-la.

A correção definitiva é atualizar o Ivanti EPMM para 12.6.1.1, 12.7.0.1 ou 12.8.0.1 (ou versão posterior dentro de cada ramo), conforme o advisory oficial da Ivanti. Não há detalhe nas fontes sobre workaround de configuração que neutralize a falha sem atualizar — se a organização não pode aplicar o patch imediatamente, o controle compensatório mais efetivo é restringir e monitorar rigorosamente quem possui contas administrativas no console EPMM, já que a exploração depende inteiramente desse acesso.

A CISA, na entrada do KEV, recomenda aplicar as mitigações do fornecedor, seguir a orientação da BOD 22-01 para serviços em nuvem, ou descontinuar o uso do produto caso não haja mitigação disponível — texto padrão do catálogo, não uma mitigação específica para esta falha. Não existe indicação nas fontes de que WAF, segmentação de rede ou desativação de módulo específico resolvam o problema; qualquer afirmação nesse sentido seria invenção.

Mito a descartar: como a falha exige PR:H (privilégio administrativo), não basta apenas expor o EPMM só na intranet ou VPN — se o atacante já obteve ou comprometeu uma credencial de admin (por phishing, reuso de senha ou vazamento), a exposição de rede não é a barreira relevante. O controle real é reduzir a superfície de contas admin, exigir MFA nelas e aplicar o patch.

Não há, nas fontes consultadas, indicadores de comprometimento específicos (assinaturas de log, padrões de requisição, hashes) publicados para esta CVE. Dado o pré-requisito de acesso administrativo, o sinal mais relevante a monitorar é atividade anômala em contas admin do EPMM: logins fora do padrão de horário/geolocalização, criação de tarefas ou alterações de configuração incomuns, e execução de processos inesperados no servidor que hospeda o EPMM logo após uma sessão administrativa. A ausência de IOCs públicos é, em si, uma limitação real para detecção — organizações devem tratar qualquer atividade administrativa fora do padrão no EPMM como suspeita até que a versão corrigida seja aplicada.