Ivantiは火曜日、Neurons for ITSM、Sentry、Endpoint Manager Mobile(EPMM)の各製品に存在する、深刻度が緊急および高と評価された脆弱性に対処するセキュリティアップデートを発表しました。
Neurons for ITSMでは、最も多くのセキュリティ上の欠陥が修正されました。8件のバグのうち6件は緊急レベルの深刻度で、リモートコード実行につながる可能性があるとIvantiは警告しています。
これには、権限チェックの欠落に起因するCVE-2026-12647、CVE-2026-12645、CVE-2026-12646(CVSSスコア9.9/10)、および信頼できないデータのデシリアライゼーションに起因するCVE-2026-12650(CVSSスコア9.9/10)、CVE-2026-12744、CVE-2026-12745(CVSSスコア9.8/10)が含まれます。
残る2件のバグ、CVE-2026-12651とCVE-2026-12648は、いずれも深刻度が高の信頼できないデータのデシリアライゼーションに関する欠陥で、こちらもリモートコード実行につながります。
Ivantiのアドバイザリによれば、認証なしで悪用可能なのはCVE-2026-12744とCVE-2026-12745の2件のみです。
これらの脆弱性はすべて、Neurons for ITSMバージョン2025.2、2025.3、2025.4、2026.1向けに展開された2026年9月のセキュリティアップデートで対処されました。この修正は、9月21日に予定されているバージョン2026.2にも含まれる予定です。
「オンプレミス版のIvanti Neurons for ITSMを利用している顧客は、脆弱性に対処するため、修正済みバージョンのいずれかにアップデートする必要があります」とIvantiは述べています。
火曜日、IvantiはSentryバージョンR10.8.2、R10.7.3、R10.6.4をリリースし、CVE-2026-83527を修正しました。これは深刻度が高の認証バイパスで、リモートの未認証攻撃者が管理者権限を取得できる可能性があります。
EPMMバージョン12.10.0.0、12.9.0.2、12.8.0.4は火曜日にリリースされ、別の深刻度が高の認証バイパスであるCVE-2026-18851を解決しました。Sentryのバグとは異なり、こちらの脆弱性の悪用には認証が必要です。
Ivantiは、これらの脆弱性のいずれについても、実際の悪用は確認されていないと述べています。他のIvanti製品への影響はないとのことです。
同じく火曜日、Citrixは、Windows版Workspaceアプリに存在する深刻度が中の2件の脆弱性に対する修正を発表しました。1件はローカルアクセスを要する境界外読み取り、もう1件は対象システムへの物理的アクセスを要する境界外書き込みです。
翻訳元: https://www.securityweek.com/ivanti-patches-critical-flaws-across-enterprise-security-products/
