Ivanti : le CERT-FR publie un nouvel avis, trois failles visent Endpoint Manager et Neurons for MDM

Le CERT-FR a publié le 12 août 2026 l'avis CERTFR-2026-AVI-1007, documentant trois vulnérabilités dans deux produits Ivanti largement déployés en entreprise : Endpoint Manager (EPM) et Neurons pour MDM. C'est le deuxième avis CERT-FR de l'année sur cet éditeur, après celui de mai — un rythme qui devrait alerter les DPO et RSSI qui pilotent un parc Ivanti.

Ce qui s'est passé

L'avis CERTFR-2026-AVI-1007 s'appuie sur trois bulletins de sécurité publiés par Ivanti le 11 août 2026 : un pour Neurons pour MDM, un pour Endpoint Manager, et un bulletin général d'août. Trois CVE sont documentées — CVE-2026-18125, CVE-2026-18127 et CVE-2026-18129 — exposant les organisations à un déni de service à distance, une atteinte à la confidentialité des données et une atteinte à leur intégrité, ainsi qu'à un contournement possible de la politique de sécurité.

Les versions concernées sont Endpoint Manager antérieures à 2024 SU7 et Neurons pour MDM antérieures à R124. Le CERT-FR renvoie vers les bulletins de l'éditeur pour l'obtention des correctifs, aucun contournement alternatif n'étant proposé dans l'avis.

C'est la deuxième fois en 2026 qu'Ivanti fait l'objet d'un avis du CERT-FR : le premier, CERTFR-2026-AVI-0576, publié le 13 mai, portait sur quatre CVE distinctes affectant Endpoint Manager, Secure Access Client, Virtual Traffic Manager et Xtraction, avec un risque d'exécution de code arbitraire à distance. Les deux avis sont indépendants, mais tous deux ciblent en partie Endpoint Manager, ce qui traduit une exposition récurrente de ce produit.

Pourquoi c'est important

Endpoint Manager et Neurons pour MDM sont des outils de gestion de parc et de terminaux mobiles : ils centralisent des inventaires de postes, des identifiants d'accès et, souvent, des données de géolocalisation ou de configuration liées aux utilisateurs. Une atteinte à la confidentialité sur ce type de plateforme constitue potentiellement une violation de données personnelles au sens de l'article 4 du RGPD, avec les conséquences qui en découlent pour les responsables de traitement.

L'article 32 du RGPD impose de mettre en œuvre des mesures de sécurité tenant compte de « l'état de l'art » — une notion qui inclut explicitement l'application diligente des correctifs de sécurité connus. Un DPO ou un RSSI qui a connaissance d'une vulnérabilité activement documentée par le CERT-FR et qui ne patch pas dans un délai raisonnable s'expose à voir cette inaction qualifiée de défaut de mesures appropriées en cas de contrôle ou d'incident, comme la CNIL l'a rappelé dans son scénario type sur les violations chez un sous-traitant.

Ce nouvel avis Ivanti s'inscrit dans une série d'alertes CERT-FR sur des logiciels de gestion informatique cette année, aux enjeux similaires — on pense notamment aux trois avis successifs sur GLPI, autre outil de gestion de parc très présent dans les collectivités et les hôpitaux.

Ce que ça change pour les organisations

Pour les organisations utilisant Ivanti EPM ou Neurons pour MDM, les actions attendues sous 72 heures sont les suivantes : inventorier les instances déployées et leur version exacte, appliquer les correctifs (EPM 2024 SU7, Neurons pour MDM R124), vérifier si les instances sont exposées sur Internet et les prioriser, puis documenter la décision et l'analyse de risque associée — un réflexe attendu par la CNIL en cas de contrôle a posteriori.

Si une exploitation de l'une de ces failles est constatée et qu'elle affecte des données personnelles, l'organisation doit engager la procédure de notification à la CNIL sous 72 heures au titre de l'article 33 du RGPD, et le cas échéant informer les personnes concernées. Le guide Leto sur la gestion d'une violation de données détaille pas à pas cette procédure et les délais à respecter. Les organisations soumises à NIS 2 doivent en parallèle évaluer une notification à l'ANSSI.

Ce que Leto pense de cette décision

Un deuxième avis CERT-FR sur Ivanti en trois mois n'est pas en soi un signal d'alarme disproportionné — c'est le rythme normal de la remédiation logicielle pour un éditeur aussi déployé. Ce qui doit retenir l'attention des DPO, c'est la récurrence d'Endpoint Manager dans les deux avis : un produit qui revient régulièrement dans les bulletins de sécurité mérite un suivi de patch management documenté et régulier, pas une réaction au coup par coup à chaque alerte. C'est ce suivi structuré, plus que la réactivité ponctuelle, que la CNIL valorisera en cas de contrôle.

Sources : CERT-FR — Avis CERTFR-2026-AVI-1007, Ivanti — August 2026 Security Update