La faille Ivanti EPMM CVE-2026-6973 est exploitée activement depuis le 7 mai 2026. Cette vulnérabilité critique de type RCE (Remote Code Execution) accorde un accès administrateur sur les serveurs Endpoint Manager Mobile, plateforme massivement déployée dans les PME‑ETI françaises pour la gestion de flotte mobile. Pour les équipes IT exposées, le délai de patch ne se compte plus en jours mais en heures — voici la procédure d’urgence.
Pourquoi la CVE-2026-6973 est un cas d’urgence pour les PME‑ETI
Ivanti a confirmé que la CVE-2026-6973 est utilisée comme zero-day depuis plusieurs jours avant la publication de l’avis. Les attaquants chaînent la faille avec une élévation de privilèges pour obtenir une session administrateur sans authentification préalable, ce qui ouvre la voie à :
- L’extraction massive de données mobiles (e-mails, certificats, identifiants Wi-Fi, profils MDM)
- Le déploiement silencieux d’applications malveillantes sur l’ensemble du parc géré
- La persistance dans le SI interne via les certificats de confiance signés par EPMM
- Le pivot vers Active Directory et les ressources OAuth/SAML connectées
Pour une PME‑ETI, une exploitation réussie signifie le contrôle de la totalité de la flotte mobile en moins d’une heure. Le patch n’est pas optionnel — c’est une priorité P0.
Procédure d’urgence pour patcher la CVE-2026-6973
Étape 1 — Identifier les serveurs EPMM exposés
Avant tout, lister les versions vulnérables et les serveurs exposés sur Internet :
- Connectez-vous au portail Ivanti EPMM et notez la version exacte (menu Settings → System Manager → Maintenance)
- Vérifiez si l’interface admin est accessible depuis Internet (typiquement port 443 sur un sous-domaine du type
mdm.entreprise.fr) - Cartographiez les agents mobiles connectés (Devices → All Devices) — ce sont les cibles secondaires
Étape 2 — Isoler immédiatement le serveur si non patchable sous 24h
Si l’application du patch nécessite une fenêtre de maintenance, mettez en place ces mesures de mitigation immédiates :
- Restreindre l’accès admin à des IP de confiance (ACL réseau ou WAF)
- Forcer l’authentification MFA sur tous les comptes admin EPMM
- Activer la journalisation détaillée sur le serveur EPMM et router les logs vers votre SIEM
- Couper temporairement l’enregistrement de nouveaux appareils jusqu’à patch complet
Étape 3 — Appliquer le correctif Ivanti
Téléchargez la version corrigée depuis le portail support Ivanti et procédez en respectant ces points clés :
- Sauvegarde complète de la base de données EPMM avant mise à jour (snapshot VM + dump SQL)
- Application du patch en suivant le runbook officiel Ivanti — n’autorisez aucun raccourci
- Test fonctionnel de l’enrôlement d’un appareil de test après patch
- Vérification que la version remontée par l’API correspond bien à la version patchée
Étape 4 — Chasser les indicateurs de compromission
Un patch ne suffit pas si le serveur a déjà été compromis. Effectuez systématiquement une chasse aux IOCs :
- Inspectez les logs Tomcat et applicatifs EPMM des 14 derniers jours pour des requêtes suspectes vers les endpoints admin
- Vérifiez la création de comptes administrateurs récents non documentés
- Listez les fichiers modifiés sur le serveur dans
/opt/mobileiron/et/var/log/mobileiron/sur les 30 derniers jours - Exportez la liste des tâches programmées (cron, systemd timers) et comparez à un état de référence
- Scrutez les processus en écoute sur des ports non standards via
ss -tlnp
Étape 5 — Rotation des secrets EPMM
Si vous avez la moindre suspicion de compromission, considérez tous les secrets de la plateforme comme brûlés :
- Rotation immédiate des certificats SCEP et de la chaîne PKI EPMM
- Renouvellement des credentials API (Apple APNs, Google FCM, Microsoft Graph)
- Réinitialisation des mots de passe administrateur et révocation des sessions actives
- Audit des tokens OAuth émis vers les applications fédérées
Détection long terme : monitorer Ivanti EPMM en continu
Patcher une fois ne suffit pas pour sécuriser Ivanti EPMM dans la durée. Mettez en place ces contrôles permanents :
- Alerte SIEM sur les requêtes HTTP non authentifiées vers les endpoints admin EPMM
- Intégration des flux CISA KEV dans votre processus de gestion des vulnérabilités
- Veille hebdomadaire sur les advisories Ivanti et abonnement à leur portail support
- Test annuel d’un scénario de compromission EPMM dans vos exercices red team
Pour les PME‑ETI qui n’ont pas l’équipe pour suivre cette cadence, l’externalisation du monitoring de la plateforme MDM auprès d’un MSSP devient une piste sérieuse — le coût d’une compromission EPMM dépasse largement le ticket d’un service managé.
À retenir sur la CVE-2026-6973
L’exploitation active de la CVE-2026-6973 sur Ivanti EPMM illustre une tendance lourde : les plateformes de gestion d’appareils mobiles sont devenues des cibles prioritaires car elles concentrent un accès privilégié à toute l’infrastructure mobile d’une entreprise. La séquence patch + chasse IOCs + rotation de secrets doit être votre réflexe sur toute faille critique d’une plateforme d’administration centralisée. Pour aller plus loin sur la sécurisation des agents et plateformes, consultez notre guide gouvernance des agents IA pour PME‑ETI et notre analyse adoption sécurisée de l’IA agentique selon CISA.