-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Ivanti Endpoint Manager Mobile
Advisory ID     : NCSC-2026-0135
Versie          : 1.00
Kans            : high
CVE ID          : CVE-2026-5786, CVE-2026-5787, CVE-2026-5788,
                  CVE-2026-6973, CVE-2026-7821
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Access Control
                  Improper Input Validation
                  Missing Authentication for Critical Function
                  Improper Certificate Validation
Uitgiftedatum   : 20260507
Toepassing      : Ivanti Endpoint Manager Mobile
Versie(s)       :
Platform(s)     :

Beschrijving
   Ivanti heeft vijf kwetsbaarheden verholpen in Endpoint Manager Mobile
   (EPMM), ook wel bekend als MobileIron.

   De kwetsbaarheid met het kenmerk CVE-2026-6973 stelt een
   geauthenticeerde kwaadwillende met administratieve toegang in staat
   om op afstand willekeurige code uit te voeren met beheerdersrechten.
   Van de kwetsbaarheid met kenmerk CVE-2026-6973 meldt Ivanti dat deze
   actief is misbruikt bij een zeer beperkt aantal klanten. Om succesvol
   misbruik te bewerkstelligen moet de kwaadwillende beschikken over
   valide inloggegevens van een account met adminrechten. Ivanti geeft
   aan dat klanten die het advies in januari hebben opgevolgd om hun
   inloggegevens te vernieuwen, aanzienlijk minder risico lopen.
   De kwetsbaarheid met CVE-2026-5786 stelt een geauthenticeerde
   kwaadwillende op afstand in staat om beheertoegang
   te verkrijgen. De kwetsbaarheid met CVE-2026-5787 stelt een niet-
   geauthenticeerde kwaadwillende in staat om zich voor te doen als
   een geregistreerd Sentry systeem, om zodoende door een Certificate
   Authority (CA) ondertekende client certificaten
   te verkrijgen. De kwetsbaarheid CVE-2026-5788 stelt een niet-
   geauthenticeerde kwaadwillende op afstand in staat om willekeurige
   code uit te voeren. De kwetsbaarheid CVE-2026-7821 stelt een niet-
   geauthenticeerde kwaadwillende in staat om een apparaat te
   registreren
   aan een set van niet-geregistreerde apparaten en toegang te
   verkrijgen tot (gevoelige) gegevens.
   Het NCSC verwacht dat op korte termijn Proof-of-Concept code publiek
   beschikbaar komt. Dit vergroot de kans grootschalig misbruik
   aanzienlijk.

Mogelijke oplossingen
   Ivanti heeft updates beschikbaar gesteld om de kwetsbaarheden te
   verhelpen. Lees het beveiligingsadvies van Ivanti in onderstaande
   referentie voor meer informatie.

   Referenties:
      Reference
      https://hub.ivanti.com/s/article/May-2026-Security-Advisory-
      Ivanti-Endpoint-Manager-Mobile-EPMM-Multiple-CVEs?language=en_US

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmn8u2oACgkQgupWoL0Z
hGGD9Av/YOqOwn0v4MsyB2wph5kZvxXcqBn17VJ7SBQhmmvRZpLbpT6dzaXrU41Q
j7s0istJdCaxBC5oZzS2v+dKwyLOSojVYF1+jTF5irS6JlpFEiI+mHvAkFvbGkMJ
5+W6SukLmAGl1q7hbjhStMQ7GjzJGn5MtMmdoMxCFpmo2kbUCi3ysIU+DR3kQcvT
roBPxy1E8P7rxjpFFvLPa+FPhcobr5mB/ABtoKw7Km3CicApVAOPzdNIysLrtrh6
4+/+6zUZcxP4SPJBDnymoWoPyavFZXRmDEjuYA5yi11ePTiVYdIVHD891gA4H7C0
JZ1Ifdoqf9ZlPG6Bl5Z2JopeYW8+/Hg0FqcMXFnwNIHWySnrOD0adHkclj6hwu/G
42lBm2rZ3TfgGgb7f/5kr9IDAbONUYmwZQdb1ytYIt5jdNdOzDxiCyx2Mr/i8NVv
jNRe76utXLEche0AVHE645FWXWM9msrruNfUdLO2uGqu6grZtg4l5GA/d2uSx1bM
r0/l5E61
=Hw9A
-----END PGP SIGNATURE-----