情報取得日: 2026/01/29／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-1281 |
|---|---|
| 製品 | Ivanti / Ivanti Endpoint Manager Mobile (EPMM) |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-94 コードインジェクション |
| 登録／公開日 | 2026/01/29 |
| KEV 期限 | 2026/02/01 まで（米国連邦機関向け目安） |
| 推奨対応 | Ivanti の指針に従って露出を評価し、リスクを緩和すること。本脆弱性の影響を受けるインターネット到達可能な Ivanti 製品すべてについて侵害の兆候を確認し、ベンダーが提供する最終的な緩和策を可能な限り早く適用すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-1281 |
モバイル端末管理（MDM）製品 Ivanti Endpoint Manager Mobile にコードインジェクションがあり、攻撃者が未認証でリモートコード実行を達成できる。MDM は社員のスマートフォンやタブレットを管理するため、構造上インターネットに面して設置される。その位置で未認証 RCE が成立するという点が本件の危険度を決めており、成功すれば端末へ配布する構成プロファイルや証明書、そして管理対象端末の情報がまとめて攻撃者の手に渡る。影響は NVD の CPE によると 12.5.0.0 以下のすべて、および 12.5.1.0、12.6.0.0、12.6.1.0、12.7.0.0。CVSS は CNA の Ivanti による 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、NVD 自身の Primary スコアは付与されていない。NVD の vulnStatus は Analyzed。CISA KEV には 2026-01-29 に収載され、是正期限は 2026-02-01 と収載から3日という短さで、悪用が進行中であることを示している。CISA の要求アクションも定型文ではなく、Ivanti の指針に沿った露出評価と、インターネット到達可能な Ivanti 製品すべてに対する侵害痕跡の確認を明示的に求めている。ランサムウェア利用は Unknown（不明）。修正は Ivanti のセキュリティアドバイザリ（CVE-2026-1281 と CVE-2026-1340 を扱うもの）に記載され、MobileIron の配布サーバから RPM 形式のセキュリティアップデートが提供されている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（EPMM はベンダー提供の仮想／物理アプライアンスで、AWS のマネージドサービスに修正対象は無い）
AWS 上に EPMM の仮想アプライアンスを配置している場合は、そのアプライアンス自体が更新対象になる。外部公開が前提の製品なので、更新の緊急度が高い。
参照リンク
|
| GCP | 対象外 |
対象外（GCP のマネージドサービスに修正対象は無い）
GCP 上に EPMM を配置している場合はアプライアンスの更新が必要。NVD の CPE は ivanti:endpoint_manager_mobile のみ。
参照リンク
|
| Azure | 対象外 |
対象外（Azure のマネージドサービスに修正対象は無い）
Azure 上に EPMM を配置している場合はアプライアンスの更新が必要。
参照リンク
|
| Linux | ベンダーFW更新 |
Ivanti のアドバイザリに従い、MobileIron の配布サーバで提供されているセキュリティアップデート（ivanti-security-update の RPM）を EPMM アプライアンスへ適用する
アプライアンス内部は Linux ベースだが、ディストリのパッケージ更新では解消しない。ベンダー提供のパッケージで更新し、あわせて侵害痕跡の確認を行う。
参照リンク
|
MDM の未認証 RCE は「更新すれば終わり」ではなく、侵害調査から入るのが正しい。CISA の要求アクションも露出評価と痕跡確認を先に挙げている。判定は EPMM 管理コンソールの版確認で、12.5.0.0 以下および 12.5.1.0 / 12.6.0.0 / 12.6.1.0 / 12.7.0.0 なら該当する。同時に、EPMM がインターネットから到達可能かを確認する。MDM は端末の登録とチェックインのために外部公開が前提なので、ほぼすべての環境が到達可能だと考えたほうがよい。対応は Ivanti のアドバイザリに従って修正版へ更新することで、MobileIron の配布サーバから提供されているセキュリティアップデート（RPM）を当てる形になる。ここで重要なのは、KEV の要求アクションが「インターネット到達可能な Ivanti 製品すべてで侵害の兆候を確認する」と書いている点である。したがって更新と並行して、（1）EPMM アプライアンス上の不審なファイル・Web シェル・追加されたローカルアカウントと SSH 公開鍵、（2）想定外のプロセスや外部への常時接続、（3）管理コンソールの管理者アカウントの追加と権限変更、（4）端末へ配布された構成プロファイルやアプリの変更履歴を確認する。加えて、EPMM が保持する証明書と資格情報（APNs 証明書、AD/LDAP 連携アカウント、端末証明書の発行に使う CA 関連の鍵、SMTP）を侵害前提で再発行する。攻撃者が MDM を取った場合、正規の配布経路で端末に構成や証明書を送り込めるため、端末側の設定にも影響が残る可能性がある点が他製品と違う。更新までの緩和としては、EPMM への到達を可能な範囲で絞る（管理コンソール側だけでも社内限定にする）ことが挙げられるが、端末チェックインの経路は閉じられないため、緩和で凌ぐ余地は小さい。実質的に「速やかな更新」が唯一の道である。完了条件は、（1）Ivanti のアドバイザリに沿った修正版へ更新、（2）アプライアンスと端末側の痕跡確認が完了、（3）証明書と連携資格情報の再発行が済んでいることである。KEV 是正期限 2026-02-01 は大きく経過しているため、未対応なら期限超過として最優先で扱う。
Critical（CVSS 9.8）に分類されるIvanti Ivanti Endpoint Manager Mobile (EPMM)の脆弱性です。モバイル端末管理（MDM）製品 Ivanti Endpoint Manager Mobile にコードインジェクションがあり、攻撃者が未認証でリモートコード実行を達成できる。MDM は社員のスマートフォンやタブレットを管理するため、構造上インターネットに面して設置される。その位置で未認証 RCE が成立するという点が本件の危険度を決めており、成功すれば端末へ配布する構成プロファイルや証明書、そして管理対象端末の情報がまとめて攻撃者の手に渡る。影響は NVD の CPE によると 12.5.0.0 以下のすべて、および 12.5.1.0、12.6.0.0、12.6.1.0、12.7.0.0。CVSS は CNA の Ivanti による 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、NVD 自身の Primary スコアは付与されていない。NVD の vulnStatus は Analyzed。CISA KEV には 2026-01-29 に収載され、是正期限は 2026-02-01 と収載から3日という短さで、悪用が進行中であることを示している。CISA の要求アクションも定型文ではなく、Ivanti の指針に沿った露出評価と、インターネット到達可能な Ivanti 製品すべてに対する侵害痕跡の確認を明示的に求めている。ランサムウェア利用は Unknown（不明）。修正は Ivanti のセキュリティアドバイザリ（CVE-2026-1281 と CVE-2026-1340 を扱うもの）に記載され、MobileIron の配布サーバから RPM 形式のセキュリティアップデートが提供されている。
MDM の未認証 RCE は「更新すれば終わり」ではなく、侵害調査から入るのが正しい。CISA の要求アクションも露出評価と痕跡確認を先に挙げている。判定は EPMM 管理コンソールの版確認で、12.5.0.0 以下および 12.5.1.0 / 12.6.0.0 / 12.6.1.0 / 12.7.0.0 なら該当する。同時に、EPMM がインターネットから到達可能かを確認する。MDM は端末の登録とチェックインのために外部公開が前提なので、ほぼすべての環境が到達可能だと考えたほうがよい。対応は Ivanti のアドバイザリに従って修正版へ更新することで、MobileIron の配布サーバから提供されているセキュリティアップデート（RPM）を当てる形になる。ここで重要なのは、KEV の要求アクションが「インターネット到達可能な Ivanti 製品すべてで侵害の兆候を確認する」と書いている点である。したがって更新と並行して、（1）EPMM アプライアンス上の不審なファイル・Web シェル・追加されたローカルアカウントと SSH 公開鍵、（2）想定外のプロセスや外部への常時接続、（3）管理コンソールの管理者アカウントの追加と権限変更、（4）端末へ配布された構成プロファイルやアプリの変更履歴を確認する。加えて、EPMM が保持する証明書と資格情報（APNs 証明書、AD/LDAP 連携アカウント、端末証明書の発行に使う CA 関連の鍵、SMTP）を侵害前提で再発行する。攻撃者が MDM を取った場合、正規の配布経路で端末に構成や証明書を送り込めるため、端末側の設定にも影響が残る可能性がある点が他製品と違う。更新までの緩和としては、EPMM への到達を可能な範囲で絞る（管理コンソール側だけでも社内限定にする）ことが挙げられるが、端末チェックインの経路は閉じられないため、緩和で凌ぐ余地は小さい。実質的に「速やかな更新」が唯一の道である。完了条件は、（1）Ivanti のアドバイザリに沿った修正版へ更新、（2）アプライアンスと端末側の痕跡確認が完了、（3）証明書と連携資格情報の再発行が済んでいることである。KEV 是正期限 2026-02-01 は大きく経過しているため、未対応なら期限超過として最優先で扱う。
Ivanti Ivanti Endpoint Manager Mobile (EPMM) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-1281）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/01 です。推奨される対応: Ivanti の指針に従って露出を評価し、リスクを緩和すること。本脆弱性の影響を受けるインターネット到達可能な Ivanti 製品すべてについて侵害の兆候を確認し、ベンダーが提供する最終的な緩和策を可能な限り早く適用すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。