Ivantiの5製品が脆弱性に対応、2製品で「クリティカル」

Ivantiは現地時間2026年11月10日、5製品向けにセキュリティアップデートを提供し、CVEベースで13件の脆弱性に対応したと明らかにした。2製品では重要度「クリティカル」と評価された脆弱性も修正した。

事案の詳細

Ivantiが公開したセキュリティアドバイザリによれば、対象となるのは「Ivanti Endpoint Manager（EPM）」「Ivanti Cloud Services Application（CSA）」「Ivanti Sentry」「Ivanti Endpoint Manager Mobile（EPMM）」「Ivanti User Workspace Manager（UWM）」の5製品。複数製品に共通する脆弱性もあり、重複を除くとCVEベースで13件の脆弱性に対処している。

このうち「Ivanti EPM」では2件の脆弱性を修正した。「CVE-2026-121653」は、Coreコンポーネントに確認された「SQLインジェクション」の脆弱性で、認証なしにコードを実行されるおそれがある。共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」で、重要度は「クリティカル」と評価されている。

「Ivanti CSA」でも、重要度「クリティカル」の脆弱性「CVE-2026-121683」に対処した。同脆弱性は認証不備に関するもので、「EPM Core」の証明書に関する登録情報を任意に追加、削除できる。CVSS基本値は「9.4」で、「CSA 5.0.8」のみ影響を受けるとしている。

影響と背景

今回のアップデートでは、5製品でCVEベース13件の脆弱性に対応しており、製品ごとに「クリティカル」から「高（High）」まで重要度の異なる修正が含まれる。特に「Ivanti EPM」の「CVE-2026-121653」は認証なしにコードを実行されるおそれがあり、「Ivanti CSA」の「CVE-2026-121683」は「EPM Core」の証明書に関する登録情報を任意に追加、削除できる。

対策・今後の展望

• 対象製品の有無を確認する：「Ivanti Endpoint Manager（EPM）」「Ivanti Cloud Services Application（CSA）」「Ivanti Sentry」「Ivanti Endpoint Manager Mobile（EPMM）」「Ivanti User Workspace Manager（UWM）」を利用しているか、運用環境を確認する。
• アップデートを適用する：Ivantiが提供したセキュリティアップデートの適用を検討し、特に「クリティカル」とされた脆弱性への対処を優先する。
• CSAの該当バージョンを確認する：「CVE-2026-121683」について、「CSA 5.0.8」のみ影響を受けるとしているため、該当バージョンかどうかを確認する。

CSRIからのアドバイス

脆弱性対応のニュースでは、複数製品にまたがる修正や共通脆弱性の重複があり得るため、対象製品の洗い出しと、どのCVEがどの製品・どの版に影響するのかを整理して把握することが重要になる。

例えるなら、製品の安全上の欠陥が見つかり、メーカーが修理部品を配っている状態のようなものだ。つまり「クリティカル」は、放置すると重大な影響につながり得るため、後回しにせず更新の優先度を上げる必要がある。

まず利用中の製品名とバージョンを確認し、「Ivanti CSA」が「CSA 5.0.8」かどうかを押さえる。次に担当者へ、Ivantiが現地時間2026年11月10日にアドバイザリを公開した点と、更新適用の要否を共有し、計画を立てて進める。

参照: Ivantiの5製品が脆弱性に対応 – 2製品に「クリティカル」