Ivantiは、Endpoint Manager Mobile(EPMM)、Neurons for ITSM、Sentryにまたがる10件の脆弱性に関するセキュリティアドバイザリを公開しました。これらの中には、未認証のリモートコード実行(RCE)や管理者権限の取得を可能にする欠陥も含まれています。
2026年9月8日に公開されたこの発表は、企業環境で利用されるモバイルデバイス管理、ITサービス管理、ゲートウェイインフラにまたがる内容となっています。
EPMMに関するアドバイザリでは、CVSSスコア8.8の深刻度「高」に分類される権限チェック欠落の脆弱性CVE-2026-18851が取り上げられています。CWE-862に分類されるこの欠陥により、リモートの認証済み攻撃者が完全な管理者レベルへと権限を昇格できるおそれがあります。
影響を受けるEPMMのリリースは、バージョン12.9.0.1以前、12.8.0.3以前、および12.10.0.0より前のビルドです。Ivantiはバージョン12.10.0.0、12.9.0.2、12.8.0.4で修正を提供しています。
最も深刻な問題はIvanti Neurons for ITSMに存在しており、8件の脆弱性がサーバー側でのコード実行につながるおそれがあります。
CVE-2026-12744およびCVE-2026-12745は、CWE-502に分類される信頼できないデータの逆シリアル化に関する深刻な脆弱性です。それぞれCVSSスコア9.8を記録しており、認証なしでリモートから悪用され、脆弱なNeurons for ITSMサーバー上で任意のコードを実行できます。
さらに3件の逆シリアル化に関する脆弱性、CVE-2026-12648、CVE-2026-12650、CVE-2026-12651は、認証済みの攻撃者による悪用が前提となりますが、こちらもRCEにつながる可能性があります。
加えてIvantiは、認証済みユーザーによるリモートコード実行を可能にする権限チェック欠落の脆弱性として、CVE-2026-12645、CVE-2026-12646、CVE-2026-12647の3件を特定しています。これら3件はいずれもCVSSスコア9.9の深刻な脆弱性です。
Ivantiによると、Neurons for ITSMのクラウド版およびSaaS版については、全ランドスケープにわたり2026年8月9日にパッチを適用済みで、顧客側での対応は不要とのことです。
バージョン2025.2から2026.1までを利用しているオンプレミス環境の顧客は、2026年9月分のセキュリティパッチを適用する必要があります。なお、バージョン2026.2は2026年9月21日にリリースされる予定です。
注目すべき点として、Ivantiはエンジニアリングおよび製品セキュリティのワークフローに組み込んだ高度な大規模言語モデルが、今回のITSM関連脆弱性の発見に貢献したと述べています。
Sentryに関するアドバイザリでは、深刻度8.1の認証バイパスの問題であるCVE-2026-83527が取り上げられています。CWE-288に分類されるこの欠陥は、EPMMおよびNeurons for MDM経由で管理されるSentry環境に影響し、リモートの未認証攻撃者が管理者レベルのアクセス権を取得できるおそれがあります。
Ivantiは、これら10件の脆弱性のいずれについても、公開前に悪用された証拠は確認されていないと述べています。
とはいえ、各組織はインターネットに露出したNeurons for ITSMインスタンスやSentryゲートウェイを優先的に対応し、公開されている更新プログラムを速やかに適用するとともに、管理者アカウント、アクセスログ、サーバー側での不審な挙動を確認し、侵害の兆候がないか点検することが推奨されます。
16,000以上の組織から得られる最新のインテリジェンスにより、脅威検出率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/ivanti-patches-10-flaws-across-epmm-neurons-itsm-and-sentry/
