Ivanti、ゼロデイ攻撃で悪用されているEPMMの脆弱性について警告（CVE-2026-1281、CVE-2026-1340）

佐々山 Tacos

2026.01.30

Ivanti、ゼロデイ攻撃で悪用されているEPMMの脆弱性について警告（CVE-2026-1281、CVE-2026-1340）

BleepingComputer – January 29, 2026

Ivantiは1月29日、Ivanti Endpoint Manager Mobile（EPMM）における重大な脆弱性CVE-2026-1281およびCVE-2026-1340に関するアドバイザリを公開。これらの脆弱性は、ゼロデイ攻撃において悪用されているという。

CVE-2026-1281とCVE-2026-1340はコードインジェクションの脆弱性で、リモートの攻撃者がその悪用に成功した場合、認証なしで任意のコードを実行できるようになるとされている。またこれにより、攻撃者はプラットフォーム上に保存された管理者やユーザーの名前、ユーザー名、メールアドレスのほか、管理対象モバイルデバイスの電話番号やIPアドレス、インストール済みアプリといった広範な情報へアクセスできるようになるという。いずれもCVSSスコアは9.8で、深刻度は「Critical」の評価。

Ivantiはアドバイザリにおいて、脆弱性開示の時点で「ソリューションを悪用されたごく限られた数の顧客を認識している」と述べ、これらの脆弱性がゼロデイとして悪用されていることを認めている。また米CISAも29日にCVE-2026-1281をKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加。2月1日までの対応を米連邦政府機関に命じた。一方で、CVE-2026-1340がカタログに追加されていない理由はわかっていない。

Ivantiは、影響を受けるEPMMバージョンに応じて以下2種類の緩和用スクリプトをリリース。パッチ適用にダウンタイムは求められず、機能面への影響もないとして可及的速やかな適用を強く推奨した。