Ivanti Endpoint Manager の認証バイパスで保存資格情報が漏える（悪用確認済み）

情報取得日: 2026/03/09／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-1603
製品	Ivanti / Ivanti Endpoint Manager (EPM)
CVSS	7.5（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
種別 (CWE)	CWE-306 重要機能に対する認証の欠如（CNA は CWE-288 代替経路による認証バイパス）
登録／公開日	2026/03/09
KEV 期限	2026/03/23 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-1603

概要

IT 資産・端末管理製品 Ivanti Endpoint Manager に認証バイパスがある。2024 SU5 より前のバージョンで、未認証のリモート攻撃者が特定の保存済み資格情報データを読み出せる。読み取りに留まる欠陥だが、対象が「管理製品に保存された資格情報」であるため、そこから正規の管理経路を使った侵害へ発展する構図になる。EPM は端末へのソフトウェア配布とリモート操作を担うため、保持している資格情報にはドメイン参加用アカウントや配布用のサービスアカウントが含まれることが多い。影響は NVD の CPE によると 2024 より前のすべて、および 2024（無印）、2024 SU1、SU2、SU3、SU3 Security Release 1、SU4、SU4 Security Release 1。つまり 2024 SU5 で修正されている。CVSS は評価元で分かれており、NVD（Primary）は 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、CNA の Ivanti は 8.6 High（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N）としている。差はスコープ変更の有無（S:U か S:C）で、Ivanti は漏えいした資格情報が EPM の外側のシステムに効くことを評価に含めている。CWE の分類も NVD が CWE-306、CNA が CWE-288 と分かれている。NVD の vulnStatus は Analyzed。CISA KEV には 2026-03-09 に収載され、是正期限は 2026-03-23。ランサムウェア利用は Unknown（不明）。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: 対象外下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	対象外	対象外（Ivanti EPM は Windows Server 上に構築するオンプレミス製品で、AWS のマネージドサービスに修正対象は無い） EC2 上に EPM コアサーバを構築している場合は、そのサーバ自体が更新対象になる。セキュリティグループでの到達制限も見直す。参照リンク
GCP	対象外	対象外（GCP のマネージドサービスに修正対象は無い） Compute Engine 上に EPM を構築している場合はそのサーバの更新が必要。NVD の CPE は ivanti:endpoint_manager のみ。参照リンク
Azure	対象外	対象外（Azure のマネージドサービスに修正対象は無い） Windows Server 上の製品のため Azure VM に構築している例がある。その場合はサーバの更新と NSG での到達制限を行う。参照リンク
Linux	対象外	対象外（Ivanti EPM は Windows 向け製品で、Linux ディストリのパッケージではない） Linux 側に修正対象は無い。前段に Linux のリバースプロキシを置いている場合は、そこで外部からの到達を拒否する緩和が取れる。参照リンク

解決の方向性（パッチ／回避策／代替）

判定は EPM のコアサーバの版確認で、2024 SU5 より前（2024 SU4 Security Release 1 まで、および 2024 より前の系列）なら該当する。管理コンソールのヘルプ／バージョン情報で確認できる。到達性も必ず見る。EPM のコアサーバは社内向けだが、社外端末の管理のために Cloud Services Appliance などを介して外部から到達できる構成にしているケースがあり、その場合は未認証攻撃の的になる。対応は Ivanti のセキュリティアドバイザリ（EPM February 2026 for EPM 2024）に従って 2024 SU5 以降へ更新することである。この CVE の要点は、更新しても漏えいした資格情報は無効化されないという点にある。読み取り型の欠陥は「直したら終わり」にならない。したがって完了条件には資格情報の再発行が必ず入る。具体的には、EPM に保存しているすべての資格情報（ソフトウェア配布用のサービスアカウント、リモート操作用アカウント、ドメイン参加アカウント、データベース接続情報、スキャン用の認証情報）を洗い出し、パスワードを変更する。あわせて、それらのアカウントの利用履歴（ドメインコントローラの認証ログ、対象アカウントによるログオンイベント）を、脆弱な版を運用していた期間に遡って確認する。更新までの緩和は、EPM コアサーバへの到達を社内の管理セグメントに限定し、外部公開している場合は止めることである。未認証で成立するため、経路の遮断が直接効く。同じ Ivanti 製品群では EPMM 側の CVE-2026-1281 なども KEV に収載されており、Ivanti 製品はインターネット公開されている資産が狙われやすい傾向がある。CISA も Ivanti の指針に従って露出評価と侵害痕跡の確認を行うよう求めている。完了条件は、（1）2024 SU5 以降へ更新、（2）EPM に保存されていた資格情報をすべて再発行、（3）該当アカウントの認証ログを遡って点検、（4）外部到達を止めたこと。KEV 是正期限 2026-03-23 は経過している。

よくある質問（CVE-2026-1603）

CVE-2026-1603（Ivanti Endpoint Manager）の影響は？

High（CVSS 7.5）に分類されるIvanti Ivanti Endpoint Manager (EPM)の脆弱性です。IT 資産・端末管理製品 Ivanti Endpoint Manager に認証バイパスがある。2024 SU5 より前のバージョンで、未認証のリモート攻撃者が特定の保存済み資格情報データを読み出せる。読み取りに留まる欠陥だが、対象が「管理製品に保存された資格情報」であるため、そこから正規の管理経路を使った侵害へ発展する構図になる。EPM は端末へのソフトウェア配布とリモート操作を担うため、保持している資格情報にはドメイン参加用アカウントや配布用のサービスアカウントが含まれることが多い。影響は NVD の CPE によると 2024 より前のすべて、および 2024（無印）、2024 SU1、SU2、SU3、SU3 Security Release 1、SU4、SU4 Security Release 1。つまり 2024 SU5 で修正されている。CVSS は評価元で分かれており、NVD（Primary）は 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、CNA の Ivanti は 8.6 High（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N）としている。差はスコープ変更の有無（S:U か S:C）で、Ivanti は漏えいした資格情報が EPM の外側のシステムに効くことを評価に含めている。CWE の分類も NVD が CWE-306、CNA が CWE-288 と分かれている。NVD の vulnStatus は Analyzed。CISA KEV には 2026-03-09 に収載され、是正期限は 2026-03-23。ランサムウェア利用は Unknown（不明）。

CVE-2026-1603 の対応方法・回避策は？

自分の環境が CVE-2026-1603 の影響を受けるか確認するには？

Ivanti Ivanti Endpoint Manager (EPM) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-1603）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-1603 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/23 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。