Ivanti EPMM, Neurons and Sentry Vulnerabilities Enable Privilege Escalation and RCE Attacks
2026/09/08 CyberSecurityNews — Ivanti が2026年9月8日に公開したアドバイザリでは、同社の主要なエンタープライズ製品である Endpoint Manager Mobile／Neurons for ITSM／Sentry に影響する 10件の CVE が取り上げられており、そのうち数件は Critical と評価されている。これらの脆弱性を悪用する攻撃者は、権限昇格から完全なリモート・コード実行 (RCE) に至るリスクに組織をさらす可能性があり、Ivanti のモバイル・デバイス管理／IT サービス管理の環境全体に影響することが懸念される。
Ivanti EPMM の脆弱性
アドバイザリで最初に取り上げられたのは、Ivanti Endpoint Manager Mobile (EPMM) に存在する High の認可の欠如による脆弱性 CVE-2026-18851 (CVSS：8.8) である。この脆弱性 (CWE-862) を悪用する認証済みのリモート攻撃者は、完全な管理者アクセスまで権限を昇格する可能性がある。影響を受けるのはバージョン 12.10.0.0 未満／12.9.0.2 未満／12.8.0.4 未満の全ビルドである。すでに Ivanti は、バージョン 12.10.0.0／12.9.0.2／12.8.0.4 を修正版として提供し、この問題に対処している。
Ivanti Neurons for ITSM では 8 件の CVE が公表されており、そのうち 3 件は最大深刻度の Critical (CVSS 9.9) と評価されるきわめて深刻な脆弱性である。CVE-2026-12744／CVE-2026-12745 の 2 件は、信頼できないデータをデシリアライズする処理 (CWE-502) に関連する脆弱性で、それぞれ CVSS 9.8 と評価されており、未認証の攻撃者によるサーバ上での任意のコード実行につながる可能性がある。
残る脆弱性のうち、CVE-2026-12651／CVE-2026-12650／CVE-2026-12648 はデシリアライズ処理に関する脆弱性で、悪用には認証が必要だが、リモート・コード実行 (RCE) が可能になる。一方、認可の欠如による脆弱性 CVE-2026-12645／CVE-2026-12646／CVE-2026-12647 が認証済みの攻撃者により悪用されると、コード実行に至る可能性がある。これらの脆弱性の CVSS 値は 8.8～9.9 と評価されている。
Ivanti の公表で注目されるのは、これらの ITSM の脆弱性の発見が、同社の製品セキュリティ／エンジニアリングのワークフローに統合された高度な LLM によって実現された点である。AI を利用した脆弱性の発見が、正式なアドバイザリで明記されるのは珍しい事例である。
Neurons for ITSM の対応状況について、クラウド／SaaS 版では 2026年8月9日に全環境でのパッチの適用が完了しており、顧客側での対応は必要ない。一方、オンプレミス環境でバージョン 2025.2 ～ 2026.1 を使用する顧客は、2026年9月のセキュリティ・パッチを適用する必要がある。オンプレミス環境向けのバージョン 2026.2 は、9月21日にリリースされる予定である。
今回公表された別の脆弱性 CVE-2026-83527 (CVSS：8.1) は Ivanti Sentry に影響するものであり、対象となるのは EPMM／Neurons for MDM を介して管理される環境である。この認証バイパスの脆弱性は CWE-288 に分類されており、悪用する未認証のリモート攻撃者は管理者レベルのアクセス権を取得する可能性がある。すでに修正版となるリリース R10.8.2／R10.7.3／R10.6.4 が提供されている。この脆弱性を責任ある形で開示したのは、Aquila Sec Lab の研究者 btaol である。
| Product Line | CVE Identifier(s) | Severity & CVSS | Vulnerability Type & Impact | Remediation Status |
|---|---|---|---|---|
| Endpoint Manager Mobile (EPMM) | CVE-2026-18851 | High (8.8) | Missing Authorization (CWE-862) leading to full admin privilege escalation | Fixed in versions 12.10.0.0, 12.9.0.2, and 12.8.0.4 |
| Neurons for ITSM | CVE-2026-12744, CVE-2026-12745 | Critical (9.8) | Deserialization of Untrusted Data (CWE-502) enabling unauthenticated RCE | Patched in Cloud; Sept 2026 patches for On-Prem 2025.2–2026.1 |
| Neurons for ITSM | CVE-2026-12645, CVE-2026-12646, CVE-2026-12647 | Critical (9.9) | Missing Authorization allowing authenticated remote code execution | Patched in Cloud; Sept 2026 patches for On-Prem 2025.2–2026.1 |
| Neurons for ITSM | CVE-2026-12651, CVE-2026-12650, CVE-2026-12648 | High / Critical | Deserialization of Untrusted Data permitting authenticated RCE | Patched in Cloud; Sept 2026 patches for On-Prem 2025.2–2026.1 |
| Ivanti Sentry | CVE-2026-83527 | High (8.1) | Authentication Bypass (CWE-288) granting remote unauthenticated admin access | Fixed in releases R10.8.2, R10.7.3, and R10.6.4 |
Ivanti は、これらの脆弱性について、公表前に実環境で悪用されていたことを示す証拠は確認していないとしている。ただし、Ivanti のエッジ／モバイル管理インフラが過去に攻撃者から標的とされてきたことを考慮すると、セキュリティ・チームは、特にインターネットへ公開された Neurons for ITSM インスタンスに対するパッチ適用を速やかに優先する必要がある。
組織のモバイルやサービス管理を支える Ivanti EPMM／Neurons for ITSM／Sentry に深刻な欠陥が確認されました。認証回避や不適切な処理により、権限昇格やリモートでのコード実行を引き起こし、システム制御を奪われる恐れがあります。CVE-2026-18851／CVE-2026-12744／CVE-2026-12745／CVE-2026-12651／CVE-2026-12650／CVE-2026-12648／CVE-2026-12645／CVE-2026-12646／CVE-2026-12647／CVE-2026-83527 が対象です。対策として、公式修正版の適用／オンプレミス環境へのパッチ適用／インターネット公開機器への優先対応が求められます。
IoT OT Security News 
You must be logged in to post a comment.