A CISA registrou a CVE-2026-1340 no catálogo de Vulnerabilidades Conhecidamente Exploradas em 8 de abril de 2026. Trata-se de uma falha de injeção de código no Ivanti Endpoint Manager Mobile (EPMM), anteriormente conhecido como MobileIron Core, que permite execução remota de código sem autenticação, com pontuação CVSS 9,8 e exploração ativa confirmada pela agência. O prazo estabelecido pela CISA para a aplicação da correção foi 11 de abril de 2026, apenas três dias após a entrada no catálogo. Assim como a entrada da CVE-2026-58644 no SharePoint no KEV e a falha crítica no Langflow CVE-2026-5027, registros com exploração ativa exigem prioridade operacional imediata sobre o inventário e a atualização dos servidores afetados.
Detalhes técnicos da falha
A CVE-2026-1340 é classificada como injeção de código, registrada sob a categoria CWE-94 — controle inadequado na geração de código — pelo fabricante Ivanti. O vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que significa ataque pela rede, baixa complexidade, ausência de privilégio prévio e nenhuma interação do usuário. O impacto atinge confidencialidade, integridade e disponibilidade do servidor com severidade total. Como a exploração não exige credenciais nem ação do usuário, a falha é considerada propagável: um atacante pode automatizar a varredura da internet por servidores vulneráveis e comprometê-los em sequência, sem barreira de autenticação.
A descrição do NVD confirma que se trata de uma injeção de código no Ivanti Endpoint Manager Mobile que permite a invasores alcançar execução remota de código não autenticada. A pontuação-base 9,8 foi atribuída pela CNA Ivanti e reflete o cenário de pior caso para um servidor alcançável pela rede. A fonte primária do registro CVE é a própria Ivanti, que é responsável por divulgar a classificação e o vetor de severidade.
Versões afetadas e correção
O registro no NVD indica que a falha afeta o Ivanti Endpoint Manager Mobile em versões até 12.7.0.0 inclusive. As versões rotuladas como 12.x.1.x RPM e 12.x.0.x RPM aparecem no registro como não afetadas, o que significa que administradores devem comparar a versão exata do pacote instalado, e não apenas o nome comercial do produto. A orientação da CISA é aplicar as mitigações segundo as instruções do fabricante, seguir a diretriz BOD 22-01 para serviços em nuvem ou descontinuar o uso do produto quando as correções não estiverem disponíveis.
| Produto | Intervalo afetado | Versões não afetadas |
|---|---|---|
| Ivanti Endpoint Manager Mobile | Até 12.7.0.0 (inclusive) | 12.x.1.x RPM e 12.x.0.x RPM |
O fabricante divulgou um advisory de segurança que abrange também a CVE-2026-1281, outra falha corrigida no mesmo pacote de atualização. A leitura do advisory é necessária para identificar o pacote correto para cada combinação de versão e sistema operacional do servidor. Sem a atualização aplicada, qualquer instância exposta à internet dentro do intervalo afetado permanece suscetível a comprometimento remoto imediato.
Exploração ativa e impacto
A inclusão no KEV confirma que a CISA possui inteligência concreta de exploração em andamento. Servidores de gerenciamento de dispositivos móveis costumam ficar expostos à internet e funcionam como porta de entrada para a rede corporativa. O comprometimento de um servidor EPMM pode dar controle administrativo total sobre todos os dispositivos móveis conectados, permitir a distribuição remota de aplicativos ou perfis maliciosos, roubar dados sensíveis dos dispositivos gerenciados e servir como ponto de pivô para ataques mais amplos, incluindo a implantação de ransomware. A avaliação SSVC registrada pela CISA marca a exploração como ativa, a automação como possível e o impacto técnico como total.
O prazo de remediação de três dias, entre 8 e 11 de abril de 2026, está entre os mais curtos do catálogo KEV e reflete a gravidade de uma falha não autenticada em um servidor exposto à internet. Organizações que não conseguiram aplicar a correção dentro desse intervalo devem presumir comprometimento e iniciar a investigação forense imediata do servidor afetado.
Detecção de comprometimento
Equipes de segurança devem procurar sinais de invasão nos logs do servidor EPMM. Os principais indicadores incluem o processo do servidor web — w3wp.exe no Windows ou httpd no Linux — gerando processos filho anômalos, como cmd.exe, powershell.exe ou /bin/sh. A criação de arquivos inesperados em diretórios acessíveis pela web, como páginas .aspx ou .jsp, também é um sinal clássico de exploração bem-sucedida de uma falha desse tipo. Conexões de saída do servidor EPMM para endereços IP arbitrários na internet são altamente suspeitas, pois um servidor de gerenciamento de dispositivos móveis deveria comunicar-se apenas com um conjunto previsível e limitado de destinos externos.
- Monitorar o processo do servidor web gerando shells ou interpretadores de comando.
- Inspecionar logs de requisições HTTP por URLs anômalas ou payloads com formato suspeito.
- Alertar sobre conexões de saída não previstas na lista de destinos autorizados.
- Verificar a criação de arquivos novos em diretórios web acessíveis remotamente.
Procedimento de resposta
- Inventariar todas as instâncias de Ivanti EPMM e registrar a versão exata do pacote instalado em cada servidor.
- Comparar a versão com o intervalo afetado e priorizar as instâncias expostas à internet.
- Aplicar a atualização de segurança do fabricante ou a mitigação equivalente sem atraso adicional.
- Isolar servidores que rodavam versões vulneráveis e iniciar investigação forense de comprometimento.
- Redefinir todas as credenciais administrativas associadas ao EPMM e auditar perfis de dispositivos em busca de alterações maliciosas.
- Restringir o tráfego de saída do servidor apenas aos destinos necessários, como serviços de notificação push e servidores de atualização do fabricante.