Ivanti Endpoint Manager Mobile コードインジェクション（未認証RCE）

Critical（CVSS 9.8）に分類されるIvanti Endpoint Manager Mobile (EPMM)の脆弱性です。Ivanti Endpoint Manager Mobile (EPMM) のコードインジェクション脆弱性。認証を経ていない攻撃者がリモートから任意コードを実行できる。NVD 掲載の CVSS 3.1 基本値は 9.8（Critical）。CISA は 2026年4月8日に KEV カタログへ収載し、是正期限を 2026年4月11日としている（収載から3日）。KEV の注記では、影響を受けるインターネット公開の Ivanti 製品すべてについて侵害の兆候を確認するよう求めている。ベンダーのアドバイザリページは 2026年8月11日時点で外部から取得できず（HTTP 403）、影響版と修正版の一覧は本記事では未確認とする。

EPMM は社内の全モバイル端末を管理する位置にあり、未認証で任意コード実行が成立するため、優先度は最上位に置く。まず EPMM の管理画面がインターネットから到達できる状態かを確認し、到達できるなら即座にアクセス元を絞る。修正は Ivanti が配布するセキュリティ更新の適用で、KEV の注記では ivanti-security-update-1761642-1.1.0S-5 / 1.1.0L-5 の RPM が挙げられている。適用にあたっては必ず Ivanti のアドバイザリで自環境のバージョンに対応する手順を確認すること（本記事執筆時点でアドバイザリページは外部から取得できなかった）。是正期限（2026年4月11日）はすでに過ぎているので、未適用なら期限超過として扱い、あわせて侵害の有無を確認する。

Ivanti Endpoint Manager Mobile (EPMM) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-1340）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/11 です。早急な対応が推奨されます。