CVE-2026-1281

Falha de code injection (CWE-94) no Ivanti Endpoint Manager Mobile (EPMM) que permite execução remota de código sem autenticação. Está no catálogo KEV da CISA com evidência de exploração ativa e prazo de correção de apenas 3 dias (29/01 a 01/02/2026), o que indica exploração em massa ou risco percebido como muito alto pela agência — não é um CVSS 9.8 teórico e sim uma falha já sendo usada contra alvos reais.

A vulnerabilidade é classificada como CWE-94 (Improper Control of Generation of Code / Code Injection): algum componente do EPMM aceita entrada de um usuário não autenticado e a interpreta como código executável em vez de tratá-la como dado. O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que o componente vulnerável é acessível pela rede, sem necessidade de autenticação, interação do usuário ou condições especiais de acesso — características típicas de um endpoint de API ou interface administrativa exposta que processa payloads controlados pelo atacante.

O advisory oficial da Ivanti (referenciado, mas cujo conteúdo técnico completo não foi disponibilizado nas fontes analisadas) trata esta CVE em conjunto com a CVE-2026-1340, sugerindo que ambas afetam o mesmo componente ou fluxo de código do EPMM e podem ter sido descobertas/corrigidas no mesmo ciclo. Sem o texto integral do advisory, não é possível precisar qual serviço, endpoint ou classe expõe a falha, nem o mecanismo exato de injeção (deserialização, template injection, chamada de função dinâmica, etc.) — essa informação deve ser buscada diretamente no advisory da Ivanti antes de qualquer análise de exposição.

Os pacotes de correção distribuídos pela Ivanti (via support.mobileiron.com) aparecem em duas variantes nos nomes de arquivo do RPM ('1.0.0S-5' e '1.0.0L-5'), sugerindo builds distintas por porte de instalação, mas as fontes disponíveis não detalham a que essas siglas correspondem nem a versão de base do EPMM a que se aplicam.

Como a falha não exige autenticação, interação do usuário nem condições de configuração não padrão (PR:N, UI:N, AC:L), o único pré-requisito prático é acesso de rede ao componente vulnerável do EPMM — o que normalmente significa exposição da interface de gestão do EPMM à internet ou a uma rede que o atacante já alcançou. A existência de módulo Metasploit e PoC pública reduz drasticamente a barreira técnica: a exploração deixou de exigir conhecimento profundo da falha e passou a ser executável por qualquer operador com acesso às ferramentas públicas.

A presença no catálogo KEV da CISA confirma exploração ativa em ambientes reais, mas as fontes disponíveis não descrevem o payload usado, os grupos de ameaça envolvidos, nem se há vínculo com campanhas de ransomware (a CISA marca esse campo explicitamente como 'Unknown' para esta CVE). O resultado final de uma exploração bem-sucedida é execução de código no contexto do servidor EPMM, o que historicamente em produtos de gestão de dispositivos móveis (MDM) equivale a comprometimento total da infraestrutura de gerenciamento de endpoints — de onde um atacante pode potencialmente empurrar configurações, apps ou comandos para todos os dispositivos móveis gerenciados.

O prazo de remediação de apenas 3 dias imposto pela CISA (bem abaixo do padrão de 2-3 semanas usado para a maioria das entradas do KEV) é um sinal forte de que a agência avalia risco de exploração generalizada e automatizada, coerente com a combinação de RCE não autenticado + PoC pública + exposição típica de servidores EPMM na internet.

A Ivanti publicou atualização de segurança via pacotes RPM distribuídos pelo portal support.mobileiron.com. As fontes disponíveis não confirmam o número de versão exato do EPMM corrigido nem a faixa de versões afetadas — essa informação deve ser obtida diretamente no advisory oficial da Ivanti (link nas referências) antes de qualquer decisão de patch, para evitar aplicar a correção errada ou assumir cobertura que não existe.

A CISA recomenda, além de aplicar as mitigações do fornecedor: seguir a orientação da BOD 22-01 para serviços em nuvem quando aplicável, e — caso não seja possível mitigar — descontinuar o uso do produto. Também orienta verificar sinais de comprometimento em todas as instâncias do EPMM acessíveis pela internet, o que sugere que a suposição correta é 'presumir exploração até prova em contrário' para instâncias expostas antes da correção.

Não há, nas fontes disponíveis, menção a uma mitigação por configuração (desativar feature, WAF, flag) que substitua o patch — trate a atualização como a única mitigação validada pelo fornecedor. Restringir o acesso de rede ao console/API do EPMM apenas a origens confiáveis reduz a superfície de ataque, mas não elimina o risco caso o atacante já tenha acesso interno ou VPN.

As fontes analisadas não fornecem indicadores de comprometimento (IOCs), assinaturas de rede ou padrões de log específicos para esta CVE. A CISA recomenda genericamente verificar sinais de comprometimento em todas as instâncias do EPMM acessíveis pela internet, sem detalhar quais. Na ausência de IOCs publicados, monitorar logs de acesso e de aplicação do EPMM por requisições anômalas a endpoints administrativos/API, picos de erro incomuns e criação inesperada de processos ou arquivos no servidor é a abordagem prática disponível até que a Ivanti ou pesquisadores publiquem indicadores específicos.