Ivanti Desktop and Server Management Vulnerability Allows Attackers to Escalate Privileges
2026/03/10 CyberSecurityNews — Ivanti が公開したのは、Desktop and Server Management (DSM) ソフトウェアのセキュリティ更新である。この脆弱性を悪用するローカルで認証済みの攻撃者は、影響を受けるシステム上で権限の昇格を達成する。この脆弱性 CVE-2026-3483 (CVSS：7.8) が影響を及ぼす範囲は、DSM 2026.1 以下の全バージョンである。
この脆弱性は、Ivanti DSM の危険なメソッドが外部に公開されていることに起因し、CWE-749 (危険なメソッドや関数の露出) に分類される。機密性の高い内部機能が、適切な制限なくアクセス可能な状態に置かれるため、すでにシステム上に足掛かりを持つ攻撃者にとって悪用可能な侵入口となる。
すでに対象マシンにログインしているローカル認証済みユーザーが、この公開メソッドを悪用することで、より高いシステム権限を取得する事態が生じる。この攻撃は、初期アクセスを確立した脅威アクターにより容易に実行され、複雑度は低くユーザー操作も必要とされない。機密性／完全性／可用性においては、高い影響評価が付与されており、権限昇格が成功した後に生じ得る被害の深刻さを示している。
Ivanti のような DSM ツールは、多数のエンドポイントおよびサーバー管理に使用されているため、権限昇格の脆弱性は企業環境において特に危険である。管理プラットフォーム上で権限昇格に成功した攻撃者は、悪意のコンフィグの配布／管理対象デバイス全体にわたる機密データへのアクセス／重要な IT 運用の妨害などを実行できる。
すでに Ivanti は、DSM 2026.1.1 をリリースし、この脆弱性に対処している。アップデート版は、Ivanti License System (ILS) を通じて提供されている。DSM 2026.1 以下のバージョンを運用している組織は、この更新を直ちに実施する必要がある。
Ivanti によると、公開時点において CVE-2026-3483 の悪用は確認されていない。この脆弱性は、同社の責任ある開示プログラムを通じて報告され、脅威アクターにより武器化される前に、パッチが開発／公開されている。なお、現時点では、公開された侵害指標 (IOC) は存在しない。
対応策
- パッチ適用に際して、エンドポイントにおける異常な権限アクティビティを監視する。
- Ivanti License System 経由で Ivanti DSM 2026.1.1 へ直ちに更新する。
- アップグレード手順については Ivanti 公式の Updating the Environment ドキュメントを参照する。
- 更新内容の詳細については DSM 2026.1.1 の Release Notes を確認する。
この脆弱性 CVE-2026-3483 は、 Ivanti DSM の本来は制限されるべき重要なメソッドが、外部から利用可能な状態になっていることに起因します。これは CWE-749 (危険なメソッドや関数の露出) と呼ばれる問題であり、内部的なプログラムの不適切な管理により発生しています。システムにログイン済みのユーザーが、この露出した窓口を悪用すると、本来持っていない高い権限を容易に取得できてしまいます。管理者向けの便利なツールだからこそ、内部機能へのアクセス管理が不十分だと、大きなリスクに繋がります。ご利用のチームは、ご注意ください。よろしければ、Ivanti での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.