CVE-2026-1603

Falha de bypass de autenticação (CWE-288) no Ivanti Endpoint Manager (EPM) 2024, anterior à SU5, que permite a um atacante remoto não autenticado extrair dados de credenciais armazenadas específicas no produto. O CVSS de 8.6 reflete impacto total de confidencialidade sem exigir autenticação nem interação do usuário, mas o dano fica restrito a vazamento de credenciais — não há execução de código ou indisponibilidade reportados nesta CVE. Está no catálogo KEV da CISA com exploração confirmada em ambiente real, o que eleva a urgência independente do CVSS.

A CVE é classificada como CWE-288 — Authentication Bypass Using an Alternate Path or Channel. Esse padrão de falha ocorre quando um componente do sistema (endpoint, API ou serviço) expõe um caminho de acesso que não passa pelos mesmos controles de autenticação aplicados à interface principal de gerenciamento. O atacante, sem credenciais válidas, consegue acionar esse caminho alternativo e obter dados que deveriam estar protegidos.

O resultado prático descrito pelo fornecedor é vazamento de 'credenciais armazenadas específicas'. O advisory da Ivanti não foi lido em texto completo nesta pesquisa — não há confirmação pública detalhada de qual componente exato do EPM contém a rota vulnerável, nem de qual conjunto exato de credenciais fica exposto (se são credenciais de agentes, contas de serviço configuradas no Core Server, ou outro tipo de segredo armazenado). Qualquer afirmação mais específica sobre esse ponto seria especulação.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N) indica exploração via rede, sem complexidade adicional, sem privilégio prévio, sem interação do usuário e com mudança de escopo de segurança (S:C) — ou seja, o impacto atinge um componente diferente daquele explorado inicialmente, consistente com uma falha que expõe dados de um subsistema de credenciais a partir de uma interface externa não protegida da mesma forma.

Pré-requisito real: acesso de rede ao Core Server (ou componente equivalente) do Ivanti EPM que expõe a rota vulnerável. Não é exigida conta, token ou sessão válida — a falha é justamente a ausência de verificação de autenticação nesse caminho alternativo. A complexidade de exploração é baixa (AC:L), o que combinado com a ausência de autenticação explica o EPSS elevado (0.80) e a inclusão no catálogo KEV da CISA como vulnerabilidade com exploração confirmada in-the-wild.

Com o vazamento de credenciais armazenadas, o atacante ganha material para movimento lateral ou escalada — usar as credenciais expostas para autenticar em outros sistemas gerenciados pelo EPM, dependendo de que tipo de segredo é exposto. A CISA não classifica esta CVE como usada em campanhas de ransomware ('Unknown' no campo correspondente), e não há detalhes técnicos públicos sobre a cadeia de exploração observada além da confirmação de uso ativo.

Existe template Nuclei público para esta CVE, o que reduz a barreira de detecção automatizada da falha tanto para defensores quanto para atacantes que fazem varredura em massa contra instâncias expostas à internet.

A correção oficial é atualizar o Ivanti Endpoint Manager 2024 para a versão SU5 ou posterior. Não há informação apurada nesta pesquisa sobre paliativos oficiais (flags de configuração, desativação de endpoint específico) publicados pela Ivanti para quem não pode atualizar imediatamente — o advisory completo do fornecedor deve ser consultado diretamente para essa orientação, já que não foi possível confirmar esse detalhe nas fontes lidas.

Como controle compensatório genérico enquanto a atualização não é aplicada, restringir o acesso de rede ao Core Server do EPM apenas a hosts de gerenciamento confiáveis reduz a superfície de exposição da falha, já que o vetor de ataque é via rede sem autenticação. Isso não substitui o patch: se o componente vulnerável for acessível de dentro da rede corporativa (cenário comum em ambientes de gestão de endpoints), a restrição de perímetro externo não elimina o risco de um atacante já presente na rede interna.

A CISA determinou prazo de correção até 2026-03-23 sob BOD 22-01 para agências federais dos EUA, prazo que serve como referência de urgência para qualquer organização com exposição do produto.

Não há assinatura ou indicador de comprometimento detalhado publicado nas fontes consultadas para esta CVE. A existência de um template Nuclei público sugere que requisições automatizadas de varredura contra o endpoint vulnerável podem aparecer em logs de acesso do Core Server como tentativas não autenticadas repetidas contra a rota afetada — mas sem o texto completo do advisory técnico não é possível apontar o path exato ou o padrão de requisição a monitorar.

Na ausência de assinatura oficial, a recomendação prática é revisar logs de acesso ao Core Server do EPM por requisições não autenticadas anômalas no período próximo à publicação (fevereiro de 2026) e correlacionar com a atualização para SU5 como controle definitivo, já que detecção por log tende a ser reativa e incompleta para esta classe de falha.