Casus: kwetsbaarheden Ivanti EPMM systemen

Op deze pagina biedt het NCSC een overzicht van de ontwikkelingen rond de kwetsbaarheden in Ivanti EPMM systemen. We bieden hierin de publicatie van checkscripts die voorzien zijn van indicators of compromise en aanvullende context waarbij we belichten dat het hier om een aanval gaat waarbij meerdere Nederlandse organisaties aangevallen zijn. Daarnaast deelt het NCSC aanvullende adviezen in het licht van het misbruik van deze kwetsbaarheden. Hiermee willen we organisaties aansporen en ondersteunen om hun digitale weerbaarheid verder te verhogen en zich op de juiste onderdelen van digitale veiligheid te richten.

Op 29 januari is het NCSC misbruik van twee Ivanti EPMM kwetsbaarheden op het spoor gekomen. Sindsdien is er veel onderzoek gedaan naar dit misbruik. Op dit moment is nog onzeker hoe omvangrijk het misbruik in Nederland is. Het NCSC blijft de situatie daarom onderzoeken. 

In het kort

• Op 29 januari 2026 heeft Ivanti twee kritieke kwetsbaarheden (CVE-2026-1281 en CVE-2026-1340) verholpen in Ivanti Endpoint Manager Mobile (EPMM) en hiervoor patches beschikbaar gesteld. 
• Beide kwetsbaarheden stellen een ongeauthenticeerde aanvaller op een vergelijkbare manier in staat om willekeurige code uit te voeren op het kwetsbare systeem. 
• Een kwaadwillende kan na misbruik van de kwetsbaarheden toegang verkrijgen tot de MobileIron File Service (MIFS)-database van de Ivanti EPMM. Dit is de centrale database waar kritieke informatie staat opgeslagen (met o.a. persoonsgegevens, IMEI-nummers, accountgegevens met versleutelde en gehashte wachtwoorden). De precieze data hangen af van de wijze waarop Ivanti EPMM is ingericht. 
• De eerste signalen van misbruik die bij het NCSC bekend werden, gingen over misbruik dat op 28 januari 2026 heeft plaatsgevonden. Het is onduidelijk of dit misbruik succesvol was.
• Verder onderzoek wijst uit dat succesvol misbruik bij meerdere organisaties op 29 januari heeft plaatsgevonden. 
• Tijdens forensisch onderzoek in februari 2026 is gebleken dat de kwetsbaarheden in Ivanti EPMM op een vergelijkbare manier in augustus 2025 al succesvol zijn misbruikt. De Duitse BSI (Federal Office for Information Security) beschrijft in een publicatie dat het indicaties heeft ontvangen die misbruik in augustus 2025 onderschrijven. Bij het aantreffen van Indicators of Compromise (IOC’s) van deze specifieke aanval is vervolgonderzoek nodig om vast te stellen of er daadwerkelijk compromittatie heeft plaatsgevonden. Neem in dat geval contact op met cert@ncsc.nl voor verdere ondersteuning.

Het NCSC heeft in samenwerking met Ivanti een scanscript (Security Advisory Ivanti Endpoint Manager Mobile (EPMM) (CVE-2026-1281 & CVE-2026-1340) beschikbaar gesteld om technisch onderzoek te doen op de Ivanti EPMM omgeving. Dit scanscript stelt organisaties in staat om zelf onderzoek te doen naar mogelijke compromittatie van hun systemen. 

Tijdlijn

Scanscript met Indicators of Compromise (IoC’s)

Op basis van de resultaten van het lopende onderzoek naar compromittatie van Ivanti EPMM systemen, heeft het NCSC in samenwerking met Ivanti een scanscript (Exploitation Detection RPM Package) uitgebracht. Let op: Op 6 februari is een eerste versie beschikbaar gesteld. Het is van belang om de laatste versie van 12 februari te gebruiken. 

In deze geüpdatet versie zijn nieuwe IoC's toegevoegd en is de detectie van webshells verbeterd. Het scanscript wordt in de vorm van een RPM package uitgegeven en is hier te vinden.
Het is van belang om het script uit te voeren, ook wanneer je de vorige versie hebt uitgevoerd. Wanneer de resultaten niet gewijzigd zijn ten opzichte van de laatste keer, hoef je geen actie te ondernemen. In het geval van nieuwe bevindingen vraagt het NCSC je om contact op te nemen via cert@ncsc.nl.

Situatie

Ivanti Endpoint Manager Mobile (EPMM): wat is het?

Ivanti EPMM is een softwareplatform dat door organisaties wordt gebruikt om mobiele apparaten (zoals telefoons, laptops en tablets) centraal te beheren en te beveiligen (Mobile Management). Denk aan het uitvoeren van beveiligingsinstellingen, het doorvoeren van organisatiebeleid of het op afstand kunnen wissen van devices bij verlies of diefstal. Hierdoor fungeert het als een centraal punt voor het beheer van iOS, iPadOS, Android, macOS en Windows-apparaten. 

Kwetsbaarheden

Op 29 januari 2026 heeft Ivanti twee kritieke kwetsbaarheden (CVE-2026-1281 en CVE-2026-1340) verholpen in Ivanti EPMM en patches beschikbaar gesteld. Beide kwetsbaarheden stellen een ongeauthentiseerde aanvaller in staat om willekeurige code (ook bekend als Remote Code Execution; RCE) uit te voeren op een kwetsbaar systeem. Voor deze beide kwetsbaarheden heeft het NCSC op 29 januari 2026 een beveiligingsadvies gepubliceerd. 

Risico op misbruik

Het NCSC heeft misbruik van de twee kwetsbaarheden waargenomen en doet op dit moment verder onderzoek. 

Sinds de publicatie van de Proof of Concept (PoC) exploit op 30 januari 2026, die gebruikt kan worden om de kwetsbaarheden uit te buiten, heeft het NCSC ook grootschalig (pogingen tot) misbruik waargenomen. 

Het NCSC heeft contact met partijen waar mogelijk misbruik is geconstateerd. Dit neemt het belang van dat organisaties zelf nader onderzoek doen niet weg. Daarnaast betekent het patchen van een kwetsbaarheid niet dat het probleem is opgelost. Een kwaadwillende kan de eerder verkregen toegang tot een systeem behouden, ook nadat de kwetsbaarheid is gepatcht. Hierdoor blijft het risico op aanhoudend misbruik aanwezig doordat een kwaadwillende kan terugkeren op het eerder gecompromitteerde systeem. Daarom adviseert het NCSC om uit te gaan van het assume breach scenario. 

Het NCSC heeft daarnaast aanwijzingen gevonden dat misbruik op een vergelijkbare manier al in augustus 2025 aan de orde was, de zogeheten zero-day fase. Daarom is het van belang om het forensisch onderzoek uit te breiden vanaf augustus 2025 tot heden. 

Duiding

Zero-day misbruik van Ivanti EPMM systemen

Mogelijk hebben kwaadwillende actoren al toegang verkregen tot de Ivanti EPMM systemen vanaf augustus 2025. We spreken daarom over een zero-day aanval, aangezien de kwetsbaarheid is misbruikt voordat deze publiekelijk bekend werd gemaakt. Hierbij heeft een kwaadwillende actor mogelijk niet alleen toegang gekregen tot het Ivanti EPMM systeem, maar ook andere acties kunnen uitvoeren zoals het lokaliseren van gevoelige gegevens en de exfiltratie daarvan. 

Door het misbruiken van onbekende kwetsbaarheden is het voor organisaties niet met zekerheid te zeggen dat het op tijd patchen van Ivanti EPMM systemen ook betekent dat er geen compromittatie heeft plaatsgevonden. Op basis van hiervan adviseert het NCSC om een assume breach-scenario te hanteren, indien de organisatie een Ivanti EPMM systeem gebruikt. Hierbij wordt ervan uitgegaan dat een aanval succesvol heeft plaatsgevonden en een aanvaller toegang heeft (gehad) tot het netwerk.

Exfiltratie gevoelige gegevens MIFS-database

De MIFS-database bevat veel informatie over de digitale infrastructuur van een getroffen organisatie. Deze gevoelige gegevens kunnen worden misbruikt door een aanvaller om verder in een netwerk te bewegen. Met de verkregen toegang tot de MIFS-database op het Ivanti EPMM systeem krijgt een aanvaller inzicht in een grote hoeveelheid (mogelijk gevoelige) gegevens. 

In de MIFS-database staan gegevens zoals:

• accountgegevens met versleutelde en gehashte wachtwoorden; 
• lidmaatschappen van Active Directory-groepen;
• tokens zoals Office 365 refresh en access tokens;
• persoonsgegevens;
• telefoonnummers; 
• IMEI-nummers;
• Embedded Identity Document-nummers (EID); 
• locatiegegevens (waaronder woon- en werklocaties);
• netwerkgegevens zoals IP- en MAC-adressen. 

Het verschilt per organisatie en inrichting van Ivanti EPMM welke data precies zijn opgeslagen. Het NCSC adviseert organisaties om te inventariseren welke gegevens zijn opgenomen, om vervolgens op basis van een risicoanalyse mitigerende maatregelen te treffen. 

Edge devices zijn een aantrekkelijk doelwit

Edge devices, zoals Ivanti EPMM, bevinden zich aan de rand van het netwerk en vormen een aantrekkelijk doelwit voor kwaadwillenden. Hoewel edge devices vaak voorzien in de beveiliging van de rand van het netwerk blijkt de beveiliging van het edge device zelf vaak onderbelicht. Lees hier meer over de risico’s van edge devices en hoe je de weerbaarheid van edge devices verhoogt.

Handelingsperspectieven