Ivanti EPMM のゼロデイ脆弱性 CVE-2026-6973 などが FIX：実環境での悪用を確認

New Ivanti EPMM 0-Day Vulnerability Actively Exploited in Attacks

2026/05/07 CyberSecurityNews — Ivanti は、Endpoint Manager Mobile (EPMM) のセキュリティ・アドバイザリを公開し、すべてのオンプレミス環境に対して、修正された複数の脆弱性への即時のパッチ適用を強く求めている。この情報の公開時点において、Ivanti は CVE-2026-6973 の悪用を確認している。ただし、この脆弱性の悪用に際しては、管理者の認証情報が必要となる。

これらの欠陥が影響を及ぼす範囲は、オンプレミス版の EPMM のみであり、Ivanti Neurons for MDM／Ivanti EPM／Ivanti Sentry などの製品には影響しない。

公開時点における悪用は極めて限定的とされるが、AI モデルの進化により、脆弱性の公開から悪用までの時間が数日から数時間へと短縮されたと、同社は警告する。

Ivanti においても、脆弱性管理の戦略の変化として、複数の LLM ベース AI を製品セキュリティおよびエンジニアリング・レッドチームに統合したことが明らかにされている。この統合により、従来の SAST や DAST では検出が困難だった、新たな脆弱性の発見と修正の能力が向上している。

今回公開された脆弱性の一部は、この AI 支援プロセスにより発見されたものである。同社は HIL (Human in the Loop) ポリシーを維持し、自動的に検出された結果を人間が検証する運用としている。

Ivanti の EPMM は、継続的な攻撃対象とされている。 2021年以降において Cybersecurity and Infrastructure Security Agency (CISA) は 、少なくとも 31件の Ivanti 脆弱性を KEV カタログに登録している。また過去 2 年で 、19件以上が実際に悪用されている。

過去のゼロデイ攻撃では、CVE-2025-4427／CVE-2025-4428、CVE-2023-35078／CVE-2023-35082 などが悪用されたが、攻撃の一部は中国系の国家支援グループに関連付けられている。

今回の 2026年5月アドバイザリでは、オンプレミス EPMM のみに影響を及ぼす脆弱性が対処され、クラウド版 Ivanti Neurons for MDM には影響が生じない。

Ivanti は公式アドバイザリで詳細な修正手順を公開しており、最小限のダウンタイムで、パッチ適用が可能だとしている。

緩和策

オンプレミス EPMM 管理者にとって必要なことは、以下の対応である。

• 利用中の全 EPMM インスタンスに対して、パッチを即時適用する。
• “/var/log/httpd/https-access_log” の Apache ログを監視し、不審なアクセスを検知する。
• 管理インターフェイスへのアクセスを、信頼できるネットワークに限定する。
• ネットワーク分離を実施する。
• MDM ポリシーを見直し、攻撃対象領域を縮小する。
• Ivanti Security Blog／Ivanti Innovators Hub のサブスクリプションにより、最新情報を取得する。

Ivanti が示唆するのは、 今後の AI 活用において脆弱性公開が増加する可能性である。これは、セキュリティの低下ではなく製品強化に向けた、透明性向上の取り組みであると説明している。

訳者後書：Ivanti のモバイル・デバイス管理ツール Endpoint Manager Mobile EPMM) で発見された、新たな脆弱性について説明する記事です。問題の原因は、プログラム内部に存在する不備により、管理者の権限を持つユーザーに対して、システム上で許可されていない操作を許してしまう点にあります。脆弱性 CVE-2026-6973 は、すでに実際の攻撃に悪用されていることが確認されています。ご利用のチームは、ご注意ください。今回の発表で特に注目すべきは、 AI 技術の進化により、脆弱性が公開されてから攻撃が始まるまでの猶予が、数日から数時間に短縮されるという点です。よろしければ、2026/05/04 の「CISA KEV の修正期間が 3 日に短縮？ Anthropic Mythos などの登場が脆弱性への対応を変化させる」も、ご参照ください。