Citrix en Ivanti hebben patches uitgebracht voor 19 kwetsbaarheden, waaronder kritieke fouten die leiden tot remote code execution en privilege escalation.
Citrix en Ivanti hebben recent updates uitgebracht om in totaal 19 kwetsbaarheden in hun producten te verhelpen, waaronder meerdere met een kritieke of hoge ernst. Ivanti repareerde 13 kwetsbaarheden verspreid over vijf producten, waaronder twee kritieke fouten in Cloud Services Application (CSA) en Endpoint Manager (EPM).
De kwetsbaarheid in CSA, geregistreerd als CVE-2026-121683 met een CVSS-score van 9,4, betreft een ontbrekende authenticatie die een externe, niet-geauthenticeerde aanvaller in staat kan stellen om willekeurige vertrouwde EPM Core certificaatvermeldingen toe te voegen en te verwijderen. Deze fout is opgelost in CSA versie 5.0.8.1. Ivanti meldt dat implementaties met een Dual NIC-configuratie niet extern kunnen worden aangevallen. De kritieke kwetsbaarheid in EPM, CVE-2026-121653 met een CVSS-score van 9,8, is een SQL-injectiefout die kan leiden tot remote code execution zonder authenticatie. Deze is verholpen in EPM versie 2024 SU8, die ook een middelzware kwetsbaarheid oplost waarbij gevoelige informatie in cleartext wordt verzonden en via man-in-the-middle-aanvallen kan worden onderschept.
Daarnaast bracht Ivanti patches uit voor vier kwetsbaarheden in Sentry, waaronder een hoge ernst remote code execution-kwetsbaarheid (CVE-2026-105425). Deze fout is ook verholpen in Endpoint Manager Mobile (EPMM), samen met vijf middelzware problemen. Tevens is een middelzware kwetsbaarheid in User Workspace Manager (UWM) aangepakt. Volgens Ivanti is er geen bewijs dat deze kwetsbaarheden in het wild worden misbruikt.
Citrix heeft updates uitgebracht voor zes beveiligingsfouten in XenServer, waaronder CVE-2026-102705, een hoge ernst bug waarmee aanvallers het Pool Secret kunnen achterhalen en de host kunnen compromitteren. De overige vijf kwetsbaarheden kunnen leiden tot privilege escalation of stellen beheerders met elke rol in staat om lopende taken van andere rollen te beëindigen. Tevens zijn er XenServer-updates beschikbaar die verschillende AMD CPU-kwetsbaarheden mitigeren, welke het mogelijk maken dat gast-VM’s de host compromitteren of het actieve geheugen van andere VM’s kunnen inzien.
