Ivantiは火曜日、Endpoint Manager (EPM)における十数件の脆弱性に対するパッチを発表しました。これには2025年10月に最初に開示された問題が含まれています。
新しいアドバイザリにおいて、同社はEPMで解決された高深刻度のバグと中深刻度の欠陥について警告しています。これらはいずれもリモートから悪用される可能性があります。
CVE-2026-1603として追跡されている高深刻度の脆弱性は、認証情報データの公開につながる認証バイパスとして説明されています。
CVE-2026-1602として追跡されている中深刻度の欠陥は、SQLインジェクションのセキュリティ欠陥であり、認証された攻撃者がデータベースから任意のデータを読み取ることを可能にする可能性があります。
両方の問題はEPM 2024 SU5で解決されました。このバージョンには、Ivantiが10月に警告した11件の中深刻度の脆弱性に対する修正も含まれています。
これらの問題は2024年11月にIvantiに報告され、Trend MicroのZero Day Initiative (ZDI)によって「0day」として公開開示されましたが、技術的にはゼロデイではありませんでした。これらのバグの悪用に成功すると、攻撃者が権限を昇格させ、リモートで任意のコードを実行することが可能になります。
2025年11月、Ivantiはこれらのバグのうち2件、いずれも高深刻度の脆弱性に対する修正を公開し、残りの欠陥に対するパッチを今回リリースしました。
同社は、これらの脆弱性が実際に悪用されている事例は把握していないとしていますが、ユーザーにはできるだけ早くEPM 2024 SU5にアップデートすることを推奨しています。
Ivantiが10月に警告したように、EPMバージョン2022はサポート終了(EOL)に達しており、セキュリティアップデートは提供されなくなっています。ユーザーはサポート対象のEPMバージョンに移行する必要があります。
火曜日、Ivantiはまた、最近開示されたEndpoint Manager Mobile (EPMM)の2件の脆弱性に関するアドバイザリを更新しました。これらはゼロデイとして悪用されました。
CVE-2026-1281およびCVE-2026-1340(CVSSスコア9.8)として追跡され、認証なしのリモートコード実行(RCE)につながるこれらの脆弱性は、Webシェルやリバースシェルを展開して永続性を確保するために悪用されたと、Ivantiは1月下旬に述べました。
先週、同社は侵害指標(IoC)と検出スクリプトを含めるためにアドバイザリを更新し、今回は誤検知に関するガイダンスを追加しました。
