Ivanti проверила, как на Ivanti Endpoint Manager Mobile влияет уязвимость во встроенной базе MySQL (система управления базами данных, СУБД). Платформа управляет мобильными устройствами сотрудников: выдаёт им настройки, сертификаты и политики. Ошибка позволяет вызвать отказ в обслуживании базы. По мнению вендора, в стандартной установке ветки 12.9 база недоступна из сети, так что ошибка не срабатывает. Версии платформы с исправленным компонентом пока нет.
CVE-2026-46863 в обработке соединений MySQL
Ошибка находится в компоненте, который обрабатывает соединения с базой. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Успешный запрос приводит к зависанию или к повторяющемуся падению сервера баз данных. Отказ в обслуживании означает, что сервис перестаёт отвечать на запросы. Oracle оценила уязвимость в 7.5 из 10, это уровень High; на конфиденциальность и целостность данных ошибка не влияет.
Запись об уязвимости Oracle опубликовала 16 июня 2026 года; издателем описания выступает сам производитель продукта. Уязвимы несколько веток MySQL Server, от 8.4.0 до 8.4.9 и от 9.0.0 до 9.7.0. Затронута и MySQL Cluster - кластерная сборка базы, узлы которой распределены по нескольким машинам: ветки 8.0.11-8.0.46, 8.4.0-8.4.9 и 9.0.0-9.7.0. Oracle называет уязвимость легко эксплуатируемой.
Для EPMM картина иная. Ядро платформы версии 12.9.0.1 работает на MySQL 8.0.45, и это значение попадает в ветку 8.0.11-8.0.46, которую Oracle относит к уязвимым. Однако Ivanti указывает на архитектуру: база - внутренний компонент, наружу она не выставлена, прямого сетевого доступа к ней у пользователя без учётных данных нет. Поэтому в стандартной установке ошибка не приводит к отказу. Известных последствий для заказчиков вендор не называет.
Уведомление Ivanti опубликовано 28 сентября 2026 года, последняя правка - 23 октября. Номера версии EPMM с исправленным компонентом в нём нет. Вендор пишет, что следит за обновлениями MySQL и включит нужные доработки в будущий выпуск платформы после стандартной проверки. Искать номер исправления нужно в самом уведомлении Ivanti под номером 000109153.
В уведомлении, которое ссылается на Ivanti, сказано, что патчи для затронутых систем доступны и действовать нужно немедленно. Собственное уведомление вендора, более позднее, называет только будущий выпуск. Пока расхождение не снято, опираться нужно на текст Ivanti.
Границы влияния Ivanti обозначила отдельно: разбор касается ядра платформы, а уязвимость не затрагивает N-MDM, Sentry и Connector. Для остальных установок вывод держится на сетевой изоляции базы. Если в конкретной схеме доступ к MySQL всё же открыт, основание для вывода пропадает, и такую конфигурацию проверяют отдельно. Сведений об эксплуатации в реальных атаках нет: записи Oracle и Ivanti описывают только техническую сторону, а публикация деталей не означает, что уязвимость уже используют.
Вывод вендора держится на одном условии: база недоступна из сети. В своей установке это условие полезно проверить, особенно если схема отличается от типовой. Обновление EPMM с новым компонентом выйдет в одном из будущих выпусков, номер версии появится в уведомлении 000109153. До этого администраторам остаётся отслеживать уведомление и планировать обновление.
Практический риск для типовой установки EPMM ограничен: атака требует сетевого доступа к внутренней базе. Уровень High относится к самой СУБД, а не к платформе. Ошибка остаётся в коде MySQL 8.0.45, пока Ivanti не обновит компонент, поэтому уведомление вендора нужно держать на контроле.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-46863
- https://hub.ivanti.com/s/article/EPMM-Assessment-and-Impact-of-CVE-2026-46863-MySQL-Server?language=en_US
