Ivanti Neurons for ITSM: Sechs kritische Lücken erlauben Codeausführung
Ivanti hat für seine IT-Service-Management-Plattform „Neurons for ITSM“ acht Schwachstellen geschlossen, sechs davon gelten als kritisch mit CVSS-Werten bis 9.9. Zwei der Lücken lassen sich ohne gültige Zugangsdaten aus der Ferne ausnutzen und erlauben im Erfolgsfall die Ausführung von beliebigem Code auf dem Server. Wer die selbst betriebene On-Premises-Variante einsetzt, sollte die September-Updates zügig einspielen. Für die Cloud-Version musste niemand aktiv werden, sie wurde bereits im August automatisch gepatcht.
Was ist passiert
Am 8. September 2026 hat Ivanti im Rahmen seines September-Sicherheitsupdates mehrere Advisories zu Neurons for ITSM, Endpoint Manager Mobile (EPMM) und Sentry veröffentlicht. Der größte Teil der Meldungen entfällt auf Neurons for ITSM, eine weit verbreitete Plattform zur Verwaltung von IT-Tickets, Anlagedaten und Service-Prozessen. Nach Angaben des Herstellers gibt es bislang keine Hinweise auf eine Ausnutzung.
Bemerkenswert ist, wie Ivanti die Fehler gefunden hat. Das eigene Product-Security-Team hat mehrere große Sprachmodelle in den Prüfprozess eingebunden und damit nach eigener Darstellung Schwachstellen aufgespürt, die klassische Analysewerkzeuge übersehen.
Die Schwachstellen im Detail
Von den acht Lücken in Neurons for ITSM stuft Ivanti sechs als kritisch ein:
- CVE-2026-12645, CVE-2026-12646 und CVE-2026-12647 (jeweils CVSS 9.9) sind fehlende Berechtigungsprüfungen (CWE-862). Ein authentifizierter Angreifer mit niedrigen Rechten kann geschützte Server-Funktionen aufrufen und darüber Code ausführen.
- CVE-2026-12650 (CVSS 9.9), CVE-2026-12744 und CVE-2026-12745 (jeweils CVSS 9.8) beruhen auf der unsicheren Verarbeitung nicht vertrauenswürdiger serialisierter Daten, also einer Deserialisierungs-Schwachstelle.
Entscheidend für die Dringlichkeit ist, dass sich nur CVE-2026-12744 und CVE-2026-12745 ohne Authentifizierung ausnutzen lassen. Ein Angreifer sendet dabei ein präpariertes Datenpaket an einen erreichbaren ITSM-Endpunkt, der Server verarbeitet es und führt den darin eingebetteten Code aus. Die übrigen kritischen Lücken setzen ein gültiges, wenn auch niedrig privilegiertes Konto voraus.
Zwei weitere Deserialisierungs-Lücken, CVE-2026-12648 und CVE-2026-12651 (jeweils CVSS 8.8), sind als hoch eingestuft und führen ebenfalls zur Codeausführung.
Wer ist betroffen
Betroffen sind die On-Premises-Installationen von Neurons for ITSM in allen Versionen vor 2026.2, konkret die Versionsreihen 2025.2, 2025.3, 2025.4 und 2026.1. Die Cloud- und SaaS-Variante hat Ivanti bereits am 9. August 2026 über alle Landschaften hinweg gepatcht, hier ist kein Eingreifen der Kundschaft nötig. Die Korrekturen fließen zudem in die für den 21. September 2026 geplante On-Premises-Version 2026.2 ein.
Neben Neurons for ITSM hat Ivanti zwei weitere Produkte abgesichert. In Sentry schließt der Hersteller mit CVE-2026-83527 eine als hoch bewertete Authentifizierungs-Umgehung, über die ein nicht authentifizierter Angreifer aus der Ferne Administratorrechte erlangen kann. In Endpoint Manager Mobile behebt CVE-2026-18851 eine weitere Rechteausweitung, die allerdings gültige Zugangsdaten voraussetzt.
- Die On-Premises-Version von Neurons for ITSM auf eine der bereitgestellten Fassungen aktualisieren. Die im September ausgerollten Patches decken die Reihen 2025.2 bis 2026.1 ab.
- Sentry auf R10.8.2, R10.7.3 oder R10.6.4 sowie EPMM auf 12.10.0.0, 12.9.0.2 oder 12.8.0.4 aktualisieren.
- Nach dem Patchen prüfen, ob der Anwendungsdienst unerwartete Kindprozesse gestartet hat oder ungewöhnliche ausgehende Verbindungen bestehen.