Casus: kwetsbaarheden Ivanti EPMM systemen

Op deze pagina biedt het NCSC een overzicht van de ontwikkelingen rond de kwetsbaarheden in Ivanti EPMM systemen. We bieden hierin de publicatie van checkscripts die voorzien zijn van Indicators of Compromise (IoC’s)en aanvullende context waarbij we belichten dat het hier om een aanval gaat waarbij meerdere Nederlandse organisaties aangevallen zijn. Daarnaast deelt het NCSC aanvullende adviezen in het licht van het misbruik van deze kwetsbaarheden. Hiermee willen we organisaties aansporen en ondersteunen om hun digitale weerbaarheid verder te verhogen en zich op de juiste onderdelen van digitale veiligheid te richten.

Op 29 januari is het NCSC misbruik van twee Ivanti EPMM kwetsbaarheden op het spoor gekomen. Sindsdien doen we veel onderzoek naar dit misbruik.

In het kort

• Op 29 januari 2026 heeft Ivanti twee kritieke kwetsbaarheden (CVE-2026-1281 en CVE-2026-1340) verholpen in Ivanti Endpoint Manager Mobile (EPMM) en hiervoor patches beschikbaar gesteld.
• Beide kwetsbaarheden stellen een ongeauthenticeerde aanvaller op een vergelijkbare manier in staat om willekeurige code uit te voeren op het kwetsbare systeem.
• Een kwaadwillende kan na misbruik van de kwetsbaarheden toegang verkrijgen tot de MobileIron File Service (MIFS)-database van de Ivanti EPMM. Dit is de centrale database waar informatie staat opgeslagen zoals persoonsgegevens, IMEI-nummers, accountgegevens met versleutelde en gehashte wachtwoorden. De precieze data hangen af van de wijze waarop Ivanti EPMM is ingericht.
• De eerste signalen van misbruik die bij het NCSC bekend werden, gingen over misbruik dat op 28 januari 2026 heeft plaatsgevonden. Het is onduidelijk of dit misbruik succesvol was.
• Verder onderzoek wijst uit dat succesvol misbruik bij meerdere organisaties op 29 januari heeft plaatsgevonden.
• Tijdens forensisch onderzoek in februari 2026 is gebleken dat de kwetsbaarheden in Ivanti EPMM op een vergelijkbare manier in augustus 2025 al succesvol zijn misbruikt. De Duitse BSI (Federal Office for Information Security) beschrijft in een publicatie dat het indicaties heeft ontvangen die misbruik in augustus 2025 onderschrijven.
• Bij het aantreffen van Indicators of Compromise (IOC’s) van deze specifieke aanval is vervolgonderzoek nodig om vast te stellen of er daadwerkelijk compromittatie heeft plaatsgevonden. Neem in dat geval contact op met cert@ncsc.nl voor verdere ondersteuning.
• Op basis van de resultaten van het lopende onderzoek naar compromittatie van Ivanti EPMM systemen, heeft het NCSC in samenwerking met Ivanti een scanscript (Exploitation Detection RPM Package) uitgebracht.

Tijdlijn

Scanscript met Indicators of Compromise (IoC’s)

Het NCSC heeft in samenwerking met Ivanti een scanscript (Security Advisory Ivanti Endpoint Manager Mobile (EPMM) (CVE-2026-1281 & CVE-2026-1340) beschikbaar gesteld om technisch onderzoek te doen op de Ivanti EPMM omgeving. Dit scanscript stelt organisaties in staat om zelf onderzoek te doen naar mogelijke compromittatie van hun systemen.

Op 6 februari is een eerste versie uitgebracht. Inmiddels is deze geüpdatet. Gebruik voor onderzoek de meest actuele versie die op 12 februari gepubliceerd is.

In deze geüpdatet versie zijn nieuwe IoC's toegevoegd en is de detectie van webshells verbeterd. Het scanscript is in de vorm van een RPM package uitgegeven.
Het is van belang om het script uit te voeren, ook wanneer je de vorige versie hebt uitgevoerd. Wanneer de resultaten niet gewijzigd zijn ten opzichte van de laatste keer, hoef je geen actie te ondernemen. In het geval van nieuwe bevindingen vraagt het NCSC je om contact op te nemen via cert@ncsc.nl.

Situatie

Ivanti Endpoint Manager Mobile (EPMM): wat is het?

Ivanti EPMM is een softwareplatform dat door organisaties wordt gebruikt om mobiele apparaten (zoals telefoons, laptops en tablets) centraal te beheren en te beveiligen (Mobile Management). Denk aan het uitvoeren van beveiligingsinstellingen, het doorvoeren van organisatiebeleid of het op afstand kunnen wissen van devices bij verlies of diefstal. Hierdoor fungeert het als een centraal punt voor het beheer van iOS, iPadOS, Android, macOS en Windows-apparaten.

Kwetsbaarheden

Op 29 januari 2026 heeft Ivanti twee kritieke kwetsbaarheden (CVE-2026-1281 en CVE-2026-1340) verholpen in Ivanti EPMM en patches beschikbaar gesteld. Beide kwetsbaarheden stellen een ongeauthentiseerde aanvaller in staat om willekeurige code (ook bekend als Remote Code Execution; RCE) uit te voeren op een kwetsbaar systeem. Voor deze beide kwetsbaarheden heeft het NCSC op 29 januari 2026 een beveiligingsadvies gepubliceerd.

Onderzoek naar misbruik

We hebben contact met partijen waar mogelijk misbruik heeft plaatsgevonden. We blijven organisaties adviseren om zelf nader onderzoek te blijven doen.

Daarnaast betekent het patchen van een kwetsbaarheid niet dat het probleem is opgelost. Een kwaadwillende kan de eerder verkregen toegang tot een systeem behouden, ook nadat de kwetsbaarheid is gepatcht. Hierdoor blijft het risico op aanhoudend misbruik aanwezig doordat een kwaadwillende kan terugkeren op het eerder gecompromitteerde systeem. Daarom adviseert het NCSC om uit te gaan van het assume breach scenario.

Het NCSC heeft daarnaast aanwijzingen gevonden dat misbruik op een vergelijkbare manier al in augustus 2025 aan de orde was, de zogeheten zero-day-fase. Daarom is het van belang om het forensisch onderzoek uit te breiden vanaf augustus 2025 tot heden.

Duiding

Zero-day-misbruik van Ivanti EPMM systemen

Mogelijk hebben kwaadwillende al toegang verkregen tot de Ivanti EPMM systemen vanaf augustus 2025. We spreken daarom over een zero-day-aanval, aangezien de kwetsbaarheid is misbruikt voordat deze publiekelijk bekend werd gemaakt. Hierbij heeft een kwaadwillende mogelijk niet alleen toegang gekregen tot het Ivanti EPMM systeem, maar ook andere acties kunnen uitvoeren zoals het lokaliseren van gevoelige gegevens en de exfiltratie daarvan.

Assume breach

Door het misbruiken van onbekende kwetsbaarheden is het voor organisaties niet met zekerheid te zeggen dat het op tijd patchen van Ivanti EPMM systemen ook betekent dat er geen compromittatie heeft plaatsgevonden. Op basis van hiervan adviseren we om een assume breach-scenario te hanteren wanneer er gebruikgemaakt wordt van een Ivanti EPMM systeem. Met een assume breach wordt er van uitgegaan dat een aanval succesvol heeft plaatsgevonden en een aanvaller toegang heeft (gehad) tot het netwerk.

Misbruik na publicatie Proof-of-Concept exploit

We hebben sinds de publicatie van de Proof of Concept (PoC) exploit op 30 januari 2026, grootschalig (pogingen tot) misbruik waargenomen. We achten het waarschijnlijk dat het grotendeels of volledig opportunistisch misbruik betreft. Dit komt onder andere door de timing van deze pogingen. In onderstaande visualisatie hebben we het aantal tot misbruik weer gegeven. In de grafiek is een duidelijke toename te zien in het aantal pogingen na 30 januari.

Daarnaast kunnen we door forensisch onderzoek vaststellen dat er slachtoffers zijn waarbij de kwetsbaarheden op een andere manier en in een later stadium uitgebuit zijn dan tijdens de zero-day-fase.

Risico op misbruik

Exfiltratie gegevens MIFS-database

De MIFS-database bevat veel informatie over de digitale infrastructuur van een getroffen organisatie. Deze gegevens kunnen worden misbruikt door een aanvaller om verder in een netwerk te bewegen. Met de verkregen toegang tot de MIFS-database op het Ivanti EPMM systeem krijgt een kwaadwillende inzicht in een grote hoeveelheid (mogelijk gevoelige) gegevens.

In de MIFS-database staan gegevens zoals:

• accountgegevens met versleutelde en gehashte wachtwoorden;
• lidmaatschappen van Active Directory-groepen;
• tokens zoals Office 365 refresh en access tokens;
• persoonsgegevens;
• telefoonnummers; 
• IMEI-nummers;
• Embedded Identity Document-nummers (EID);
• locatiegegevens (waaronder woon- en werklocaties);
• netwerkgegevens zoals IP- en MAC-adressen.

Het verschilt per organisatie en inrichting van Ivanti EPMM welke data precies zijn opgeslagen. Het NCSC adviseert organisaties om te inventariseren welke gegevens zijn opgenomen, om vervolgens op basis van een risicoanalyse mitigerende maatregelen te treffen.

Kans op beweging richting Ivanti Sentry

De twee kwetsbaarheden hebben niet direct betrekking op Ivanti Sentry. Echter is Ivanti Sentry nauw verbonden en afhankelijk van Ivanti EPMM. Ivanti adviseert daarom om ook te controleren op afwijkende of verdachte activiteit binnen Ivanti Sentry.

Ivanti Sentry fungeert als beveiligingsgateway tussen mobiele apparaten en de zakelijke back-end-systemen. Afhankelijk van de configuratie van EPMM kan deze toegang verlenen tot het Sentry systeem. Hierdoor kan compromittatie van het EPMM systeem kwaadwillende mogelijk toegang tot het Sentry systeem verschaffen. Met deze toegang kan een aanvaller mogelijk ook toegang krijgen tot gevoelige gegevens en/of een grote hoeveelheid achterliggende omgevingen.

Edge devices zijn een aantrekkelijk doelwit

Edge devices, zoals Ivanti EPMM, bevinden zich aan de rand van het netwerk en vormen een aantrekkelijk doelwit voor kwaadwillende. Hoewel edge devices vaak voorzien in de beveiliging van de rand van het netwerk blijkt de beveiliging van het edge device zelf vaak onderbelicht. Lees hier meer over de risico’s van edge devices en hoe je de weerbaarheid van edge devices verhoogt..

Handelingsperspectieven