CVE-2026-18851

Sentinel/Defender KQL

// Überwachen Sie Ivanti Endpoint Manager Mobile-Anwendungsprotokolle auf ungewöhnliche Zugriffe auf administrative Funktionen
// Dies ist ein Platzhalter und muss an die spezifischen Protokollquellen und -formate angepasst werden.
// Beispiel: Suchen nach Anmeldeversuchen mit erhöhten Rechten von nicht-administrativen Benutzern oder ungewöhnlichen API-Aufrufen.
// SecurityEvent
// | where EventID == "<Ivanti_Admin_Access_EventID>" // Ersetzen Sie durch die tatsächliche EventID für Admin-Zugriff
// | where Account "<is not in Admin_Group>" // Ersetzen Sie durch die tatsächliche Logik zur Identifizierung von Nicht-Admins
// | project TimeGenerated, Computer, Account, Activity, ...

Splunk SPL

# Überwachen Sie Ivanti Endpoint Manager Mobile-Anwendungsprotokolle auf ungewöhnliche Zugriffe auf administrative Funktionen
# Dies ist ein Platzhalter und muss an die spezifischen Protokollquellen und -formate angepasst werden.
# Beispiel: Suchen nach Anmeldeversuchen mit erhöhten Rechten von nicht-administrativen Benutzern oder ungewöhnlichen API-Aufrufen.
# sourcetype="ivanti_epm_mobile_logs" "admin access" NOT "admin_user_group" | table _time, host, user, action, ...

Sigma

title: Ivanti Endpoint Manager Mobile Privilege Escalation Attempt (CVE-2026-18851)
id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx # Generate a unique UUID
status: experimental
description: Detects potential privilege escalation attempts in Ivanti Endpoint Manager Mobile due to missing authorization.
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2026-18851
logsource:
  product: ivanti
  service: endpoint_manager_mobile
detection:
  selection:
    # Placeholder: Adapt this to actual log fields indicating admin access or privilege changes
    # For example, look for events where a non-admin user attempts to perform admin actions.
    # This requires specific knowledge of Ivanti EPM Mobile log formats.
    EventID: 'AdminAccessAttempt'
    UserType: 'NonAdmin'
  condition: selection
level: high

Elastic ES|QL

// Überwachen Sie Ivanti Endpoint Manager Mobile-Anwendungsprotokolle auf ungewöhnliche Zugriffe auf administrative Funktionen
// Dies ist ein Platzhalter und muss an die spezifischen Protokollquellen und -formate angepasst werden.
// Beispiel: Suchen nach Anmeldeversuchen mit erhöhten Rechten von nicht-administrativen Benutzern oder ungewöhnlichen API-Aufrufen.
// FROM ivanti_epm_mobile_logs
// | WHERE event.id == "<Ivanti_Admin_Access_EventID>" AND user.roles NOT IN ("admin", "privileged")
// | SELECT @timestamp, host.name, user.name, event.action, ...