Due vulnerabilità critiche in Ivanti Endpoint Manager Mobile (EPMM) sono sotto sfruttamento attivo in rete. Si tratta di CVE-2026-1281 e CVE-2026-1340, entrambe classificate come zero-day di tipo remote code execution non autenticata, con la prima che raggiunge un punteggio CVSS di 9,8. Il problema è particolarmente grave perché EPMM è una piattaforma di mobile device management: chi la compromette ottiene un punto di controllo privilegiato sull'intero parco di dispositivi mobili gestiti da un'organizzazione.
Dove si nasconde la falla
La vulnerabilità risiede in alcuni vecchi script bash utilizzati dal web server Apache per la riscrittura degli URL. Il componente difettoso sfrutta configurazioni RewriteMap che richiamano script collocati nel percorso /mi/bin/map-appstore-url, pensati per gestire gli indirizzi della funzione di distribuzione interna delle applicazioni. Il difetto è una forma specifica di code injection che abusa dell'espansione aritmetica di bash: manipolando opportunamente una variabile, l'attaccante riesce a far valutare allo script un comando arbitrario, ottenendo così l'esecuzione di codice sul server.
Lo sfruttamento osservato
Gli attaccanti prendono di mira in particolare gli endpoint /mifs/c/aftstore/fob/ e /mifs/c/appstore/fob/. In diversi casi, una volta aggirata l'autenticazione, scaricano ed eseguono immediatamente un payload di seconda fase (lo script /slt) che installa una web shell, un cryptominer o una backdoor persistente per mantenere il controllo dell'appliance.
Un dato interessante riguarda le tecniche di verifica: circa l'85% dei payload osservati ricorre a callback DNS di tipo OAST per confermare l'avvenuta esecuzione dei comandi. Questo comportamento è tipico di chi sta catalogando i bersagli vulnerabili in vista di uno sfruttamento successivo, una tattica coerente con l'operato degli initial access broker che rivendono gli accessi ad altri gruppi criminali.
Cosa fare
Ivanti ha rilasciato gli aggiornamenti di sicurezza che correggono entrambe le vulnerabilità: l'applicazione tempestiva delle patch è la priorità assoluta per chiunque gestisca un'istanza EPMM esposta. Oltre all'aggiornamento, è opportuno verificare i log alla ricerca di richieste sospette verso gli endpoint citati, controllare la presenza di web shell o processi anomali sull'appliance e, in caso di sospetta compromissione, trattare il sistema come violato avviando le procedure di risposta agli incidenti. Limitare l'esposizione su Internet delle interfacce di gestione resta una misura difensiva fondamentale per ridurre la superficie d'attacco.
