CISA KEV 警告 26/04/08：Ivanti EPMM の脆弱性 CVE-2026-1340 を登録

CISA Warns of Critical Ivanti EPMM Code Injection Vulnerability Exploited in Attacks

2026/04/09 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Ivanti Endpoint Manager Mobile (EPMM) に存在する深刻なセキュリティ欠陥について緊急警告を発出した。この脆弱性 CVE-2026-1340 は、実環境におけるサイバー攻撃での活発な悪用が確認され、Known Exploited Vulnerabilities (KEV) カタログに追加された。

この脆弱性は、ソフトウェアが処理するコードの制限と、不十分なサニタイズに起因する。この欠陥を悪用するリモート攻撃者は、認証を必要とせずにリモート・コード実行 (RCE) が可能となる。攻撃に際して、有効な認証情報は必要とされず、細工されたリクエストを脆弱な Ivanti EPMM サーバへ送信するだけで、システムに悪意のコマンドを実行させることが可能になる。

この Ivanti EPMM のコード・インジェクションの脆弱性を悪用する攻撃者は、標的システムにおける管理者レベルの制御を取得し、機密データの窃取／マルウェア展開／企業ネットワーク内での横方向移動が可能となる。Ivanti EPMM のようなモバイル・デバイス管理ソリューションは、企業のスマートフォンやタブレットに対して特権的な権限を保持していることから標的としての価値が高い。ひとたびサーバが侵害されると、セキュリティ・ポリシーの改変や多数のデバイスに対する悪意のコンフィグの同時配布が可能となる。

CISA は、現時点における CVE-2026-1340 の悪用を確認しているが、被害組織や攻撃主体に関する詳細情報の公開は限定的である。この脆弱性とランサムウェア攻撃との関連性は不明であるが、完全なシステム制御を可能とする特性から、APT グループ／金銭目的のサイバー犯罪者の双方にとって魅力的な標的である。

2026年4月8日に脆弱性 CVE-2026-1340 を KEV に追加した CISA は、Federal Civilian Executive Branch (FCEB) 機関に対して、2026年4月11日までに対策を完了するよう指示している。この 3日間という期限は、Binding Operational Directive (BOD) 22-01 に基づくものであり、CISA は民間組織に対しても、同様の迅速な対応を強く推奨している。

管理者は Ivanti の指示に従い、すべての利用可能なパッチと緩和策を適用する必要がある。クラウド環境を利用する組織は、BOD 22-01 に基づくクラウド・サービス向けガイダンスへの準拠も確認する必要がある。必要な対策を適用できない場合には、Ivanti EPMM の使用を直ちに停止し、ネットワークから切り離すことが推奨される。

訳者後書：Ivanti EPMM の脆弱性 CVE-2026-1340 は、プログラムが外部からの入力を受け取る際の、不十分なサニタイズ処理に起因します。この不備を突く攻撃者は、本来は許可されないはずの悪意ある命令を紛れ込ませ、システムを自由に操作するリモート・コード実行 (RCE) を引き起こします。特にモバイル・デバイス管理のような、組織内で高い権限を持つサーバでコード・インジェクションが発生すると、影響が広範囲に及ぶため非常に危険です。ご注意ください。よろしければ、CVE-2026-1340 での検索結果と、CISA KEV ページを、ご参照ください。