Ivanti Endpoint Manager の 3件の脆弱性が FIX：エージェント・サービスのクラッシュなどの恐れ

Ivanti Endpoint Manager Vulnerabilities Let Remote Attackers Crash Agent Service

2026/08/11 CyberSecurityNews — Ivanti が発行した Ivanti Endpoint Manager (EPM) に関するセキュリティ・アドバイザリにおいて、3 件の深刻な脆弱性が開示された。これらの脆弱性を悪用するリモート攻撃者は、エージェント・サービスのクラッシュ／クラウド・ストレージの設定の乗っ取り／機密性の高いデータベース・認証情報の傍受を可能にする恐れがある。このアドバイザリは 2026年8月11日に公開され、EPM 2024 SU6 以下の展開環境が対象であることから、Ivanti はユーザーに対し、新たにリリースされた 2024 SU7 ビルドへ遅滞なくアップデートするよう強く推奨している。

Ivanti Endpoint Manager の脆弱性

開示された脆弱性は、エージェント・コンポーネント／コア管理サービス／外部連携にまたがって存在している。

1 つ目の脆弱性 CVE-2026-18125 (CVSS：7.5) は、EPM Agent の領域外読み取りに関する欠陥である。この脆弱性を悪用する未認証のリモート攻撃者は、細工された入力を送信することで、管理対象エンドポイント上のエージェント・サービスをクラッシュさせることが可能だが、ユーザー操作や有効な認証情報を必要としない。

コード実行は生じないが、この脆弱性の悪用により、エンタープライズ・フリート全体のエンドポイント管理機能が妨害され、障害発生中の管理者による状況把握が困難になる。さらに、メモリ安全性の問題 CWE-125 に該当することから、リスク・ベースのパッチ適用が、エンドポイント・セキュリティにとって不可欠となる。

2 つ目の脆弱性 CVE-2026-18127 (CVSS：7.7) は、EPM Core コンポーネントにおけるファイル名パラメータの外部制御 (CWE-73) に起因する。認証済みのリモート攻撃者は、セッション記録ストレージ用に設定された Amazon S3 バケットに対する完全な書き込み権限を取得できるほか、低レベルの権限を持つ攻撃者であっても、セッション記録アーカイブ内のファイルを上書き／変更／配置することが可能になる。これにより、監査証跡の破損や、クラウド・インフラ内におけるステージング・ポイントの確立につながる恐れがある。

3 つ目の脆弱性 CVE-2026-18129 (CVSS：8.1) は、EPM Core における機密性の高いデータの平文送信 (CWE-295) に関するものである。ネットワーク経路上で中間者攻撃が可能な位置にいる攻撃者は、暗号化されていないトラフィックを傍受して、外部 SQL データベース接続に使用される認証情報を窃取することが可能になる。この脆弱性の悪用では認証やユーザー操作が不要であるため、ネットワーク分離が行われていない環境を標的にする脅威アクターの、主要な標的となり得る。

公式の Ivanti Security Advisory に詳述されているとおり、これらのセキュリティ欠陥が示すのは、リモートおよびオンプレミスのエンドポイントを管理する組織における、厳格なネットワーク分離の必要性である。自動的なパッチ管理の実装などにより、脅威アクターがアクティブなエクスプロイトを開発する前に、分散した管理インフラ全体での効率的なセキュリティ更新の適用が可能になる。

CVE IDVulnerability Type & CWECVSS ScoreImpact / Exploitation Path
CVE-2026-18125Out-of-Bounds Read (CWE-125)7.5Unauthenticated remote crash of EPM Agent service
CVE-2026-18127External Control of Filename (CWE-73)7.7Authenticated write control over S3 session recording buckets
CVE-2026-18129Cleartext Information Transmission (CWE-295)8.1MitM interception of cleartext SQL database credentials

Ivanti Endpoint Manager のバージョン 2024 SU6 以下に影響が及ぶが、すでに Ivanti は EPM 2024 SU7 をリリースし、すべての問題に対処している。このバージョンは、すでに Ivanti License System (ILS) を通じてダウンロード可能であるため、外部 SQL データベースまたは S3 を利用したセッション記録に依存している組織は、この修正適用サイクルを優先すべきである。

Ivanti によると、これらの脆弱性は、同社の脆弱性の協調的開示プログラムを通じて特定されたものであり、開示前に悪用されていた証拠はない。なお、脆弱性 CVE-2026-18125 の報告者として、セキュリティ研究者 Hieu Tran Nam (jkana101) が記載されている。

現時点で公開された侵害指標は存在しないため、検出に用いる兆候として、異常なエージェント・サービスのクラッシュ／未認可の S3 バケットへの書き込み／通常とは異なる SQL 認証パターンなどを、エンドポイント・テレメトリにより監視する必要がある。

Ivanti EPM には、深刻な脆弱性が繰り返して悪用されてきた経緯がある。したがって、セキュリティ・チームは、本番環境全体におけるテストとパッチ適用を迅速に進めるべきである。

組織内の端末群を集中的に管理する Ivanti Endpoint Manager において、エージェント・サービスの稼働停止／S3 バケット上のセッション記録の改竄／データベース接続用の認証情報の漏洩を引き起こす問題が発覚しました。このような事態が生じると、管理者によるシステム運用の妨害／監査ログの不備に伴う調査の難航／データベース層への不正侵入など、組織全体のセキュリティ基盤に大きな支障を来すリスクが発生します。該当システムを運用している場合には、公開済み修正プログラム 2024 SU7 への迅速な更新／厳格なネットワーク・セグメンテーションの導入／自動パッチ配布などによる対処が推奨されます。