Ivanti EPMMの脆弱性CVE-2026-6973の悪用
Ivantiの2026年5月7日の発表では、オンプレミス版Endpoint Manager Mobile（EPMM）の脆弱性CVE-2026-6973について、公表の段階でごく限定的な悪用を把握しており、悪用の成功には管理者認証が要る［1］。CISAは同じ日に、これをKnown Exploited Vulnerabilities（KEV）カタログに登録した［3、4］。6月9日には同じCVEを題に含むアドバイザリが出た［6］。
脆弱性の内容
脆弱性の性質と評価
IvantiがCNA（採番機関）として登録したCVEレコードでは、CVE-2026-6973はEPMMの不適切な入力検証の脆弱性〔注1〕で、管理者権限を持つ遠隔の認証済み利用者が遠隔コード実行に至りうる［3］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS 3.1 | 7.2（HIGH、Ivantiの評価）、CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H | ［3］ |
| CWE | CWE-20（Improper input validation） | ［3］ |
| CAPEC | CAPEC-176（Configuration/Environment Manipulation） | ［3］ |
| SSVC（CISAの付記） | Exploitation: active、Automatable: no、Technical Impact: total | ［3］ |
Ivantiの5月7日のブログでは、社内で複数の高度なLLMを製品セキュリティの工程に組み込み、従来のツールが見逃した脆弱性を見つけており、その日に公表した脆弱性の一部も含まれる［1］。CyberScoopが伝えたIvantiの広報担当者の説明では、これらの脆弱性はここ数週間、高度なAIに支えられた社内の検出工程と顧客との協力、責任ある開示によって見つかった［10］。
同時に修正された脆弱性
Security NEXTの記事では、5月7日のアドバイザリで公表された脆弱性は5件で、重要度はいずれも「高（High）」である［17］。
| CVE | 概要 | CVSS | 資料 |
|---|---|---|---|
| CVE-2026-5786 | 遠隔の認証済みの攻撃者が管理者権限を得る不適切なアクセス制御 | 8.8 | ［12］ |
| CVE-2026-5787 | 未認証の攻撃者が登録済みのSentryホストになりすまし、CAが署名した有効なクライアント証明書を得る不適切な証明書検証 | 8.9 | ［12］ |
| CVE-2026-5788 | 未認証の攻撃者が任意のメソッドを呼び出せる不適切なアクセス制御 | 7.0 | ［12］ |
| CVE-2026-7821 | 未認証の攻撃者が未登録の端末の一部を登録でき、EPMMの情報の漏えいと新たに登録した端末の識別情報の完全性に影響する | 7.4 | ［12］ |
Help Net Securityの記事によると、IvantiはアドバイザリでApple Device Enrollmentを構成も利用もしていない顧客にはCVE-2026-7821のリスクが無いと説明した［11］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Ivanti | EPMMのCVE-2026-1281とCVE-2026-1340の更新を公表し、悪用された顧客はごく少数と把握しているとした | ［14］ |
| 2026年 | Ivanti | CNAとしてCVE-2026-6973の番号を予約した | ［3］ |
| 2026年 | Ivanti | EPMMの脆弱性に対処する更新とアドバイザリを公表し、CVEレコードを公開した | ［1、3］ |
| 2026年 | Canadian Centre for Cyber Security | 注意喚起AV26-435を出した | ［5］ |
| 2026年 | The Shadowserver Foundation | 日次の走査にCVE-2026-6973の検知を加え、562件のIPアドレスを未修正とみた | ［16］ |
| 2026年 | The Shadowserver Foundation | 未修正とみたIPアドレスが362件に減った | ［16］ |
| 2026年 | JPCERT/CC | Weekly Report 2026-05-13号で取り上げ、Ivantiによると一部の脆弱性が悪用されていると記した | ［15］ |
| 2026年 | Ivanti | EPMMとSentryの脆弱性を公表し、EPMM 12.9.0.1・12.8.0.3・12.7.0.2を出した | ［2、13］ |
| 2026年 | Canadian Centre for Cyber Security | 注意喚起AV26-567を出した | ［6］ |
対象の製品と版
Ivantiは5月7日の発表で、問題はオンプレミスのEPMMだけに影響し、クラウド型のIvanti Neurons for MDM、名前の似た別製品のIvanti EPM、Ivanti Sentry、その他のIvanti製品には存在しないと説明した［1］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| EPMM（CVEレコード） | 修正版より前の版 | 12.6.1.1・12.7.0.1・12.8.0.1 | ［3］ |
| EPMM（NVDのCPE） | 12.6.1.1より前、12.7.0.0、12.8.0.0 | - | ［4］ |
| EPMM（6月9日のアドバイザリ） | 12.9.0以前、12.8.0.2以前、12.7.0.1以前 | 12.9.0.1・12.8.0.3・12.7.0.2 | ［8］ |
Security NEXTは、5月の修正版に1月に公表されたCVE-2026-1281とCVE-2026-1340の修正も含まれると報じた［17］。
悪用の状況
Ivantiの5月7日の発表では、同じ日に公表した他の脆弱性で悪用された顧客は把握していない〔注2〕［1］。The Hacker Newsが引用したアドバイザリでは、IvantiはCVE-2026-6973で悪用された顧客を「ごく少数」と把握しているとした［12］。
Ivantiは同じアドバイザリで、1月の推奨に従い、CVE-2026-1281とCVE-2026-1340で悪用された場合に認証情報を入れ替えた顧客は、CVE-2026-6973で悪用されるリスクが大きく下がると述べた［9、12］。
CyberScoopの5月7日の記事では、Ivantiの広報担当者が、前回の脆弱性の影響を受けなかった顧客もリスクがずっと低いと述べた［10］。CISAはIvantiの公表から数時間以内にKEVに登録した［10］。VulnCheckのセキュリティ研究担当の副社長は、別の方法で初期侵入する攻撃の連鎖の一部として悪用された可能性があると述べた［10］。
The Shadowserver Foundationは、日次の走査で見つけたEPMMのIPアドレスを、Vulnerable HTTPレポートで「cve-2026-6973」の印を付けて提供している［16］。
Kudelski Securityの5月7日の分析では、管理者の認証情報が要ることから、攻撃者は以前に侵害したアカウントを使っているか、未公表の認証回避と連鎖させている可能性が高い［7］。同時に修正された4件は管理者権限や機微な情報の取得に至りうるため、CVE-2026-6973の前提である管理者の認証情報を不要にしうるとも評価した［7］。執筆の段階では、公開の攻撃コードは無かった［7］。
Help Net SecurityとSecurity NEXTは、CVE-2026-6973による侵害を検知するための信頼できるIoC（侵害の指標）は無いと報じた［11、17］。
修正と回避策
同じブログでIvantiは、高度なAIモデルにより公表から悪用までの時間が数日から数時間に縮んだとして、オンプレミスのEPMMにパッチを速やかに適用するよう顧客に強く勧めた［1］。Help Net Securityは、Ivantiがアドバイザリでオンプレミスの利用組織に3つの措置を勧めたと報じた［11］。
- 修正版への更新［11］
- 管理者権限を持つアカウントの見直しと、その認証情報の入れ替え［11］
- SentryはEPMMの機器と構成に依存するため、EPMMと同時にSentryの機器の安全性も見直すこと［11］
Kudelski Securityは、不正な管理操作や侵害の兆候がないか、アプリケーションとシステムのログを確かめるようにも勧めた［7］。
NVDの記録では、KEVの項目の対応期限は5月10日である［4］。必要な対応には、ベンダーの指示による緩和策の適用、クラウドサービスでのBOD 22-01の指針への準拠、緩和策が無い場合の製品の使用の中止が並ぶ［4］。The Hacker Newsは、KEVへの登録により連邦文民行政機関（FCEB）がこの期限までに修正を適用する必要があると報じた［12］。
Beazley Securityの解説では、Ivantiは6月9日のアドバイザリでパッチのほかに緩和策や回避策を示していない［8］。パッチはRPM形式で、Ivanti Download Portalへの認証済みのアクセスが要る［8］。
未公表の事項
- 悪用された顧客の数と組織名
- 最初の悪用の時期
- 悪用した攻撃者と攻撃の目的
- 攻撃者が管理者の認証情報を得た経路
- 5月の修正と6月9日のアドバイザリでの修正との関係
注
出典
当事者
- ［1］Ivanti, Inc.『May 2026 EPMM Security Update』（2026年5月7日公開）
- ［2］Ivanti, Inc.『June 2026 Security Update』（2026年6月9日公開）
公的機関
- ［3］CVE Program『CVE-2026-6973』（2026年5月7日公開、2026年6月11日更新）
- ［4］National Institute of Standards and Technology『CVE-2026-6973』（2026年5月7日公開、2026年10月26日更新）
- ［5］Canadian Centre for Cyber Security『Ivanti security advisory (AV26-435)』（2026年5月7日公開）
- ［6］Canadian Centre for Cyber Security『Ivanti security advisory (AV26-567) – Update 1』（2026年6月9日公開、2026年6月11日更新）
- ［15］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-05-13号』（2026年5月13日公開、2026年5月15日更新）
調査・観測
- ［7］Kudelski Security『Ivanti EPMM CVE-2026-6973 Allows RCE with Admin Credentials, Under Active Exploitation』（2026年5月7日公開）
- ［8］Beazley Security『Critical Vulnerabilities in Ivanti Sentry & EPMM (CVE-2026-6973, CVE-2026-10727, CVE-2026-10520, CVE-2026-10523)』（公開日不明、2026年11月4日閲覧）
- ［16］The Shadowserver FoundationのMastodonアカウント（@shadowserver@infosec.exchange）『We are tagging CVE-2026-6973 Ivanti EPMM instances seen in our daily scans』（2026年5月11日公開）
報道機関
- ［9］SecurityWeek『Ivanti Patches EPMM Zero-Day Exploited in Targeted Attacks』（2026年5月8日公開）
- ［10］CyberScoop『Ivanti customers confront yet another actively exploited zero-day』（2026年5月7日公開）
- ［11］Help Net Security『Ivanti EPMM vulnerability exploited in zero-day attacks (CVE-2026-6973)』（2026年5月8日公開）
- ［12］The Hacker News『Ivanti EPMM CVE-2026-6973 RCE Under Active Exploitation Grants Admin-Level Access』（2026年5月7日公開）
- ［13］SecurityWeek『Critical Vulnerabilities Patched in Fortinet, Ivanti Products』（2026年6月10日公開）
- ［17］株式会社ニュースガイア『「Ivanti EPMM」に複数脆弱性 - ゼロデイ攻撃も発生』（2026年5月8日公開）
背景資料
- ［14］Ivanti, Inc.『January 2026 EPMM Security Update』（2026年1月29日公開）
更新記録
- 2026年5月10日：公開した。
- 2026年5月11日：The Shadowserver FoundationのMastodonの投稿（出典16）を加え、時系列と悪用の状況の節を改めた。
- 2026年5月13日：JPCERT/CCのWeekly Report 2026-05-13号（出典15）を加え、時系列の節を改めた。
- 2026年5月15日：JPCERT/CCのWeekly Report 2026-05-13号の5月15日の更新（出典15）に合わせ、出典の節を改めた。
- 2026年6月9日：IvantiのJune 2026 Security Update（出典2）、Canadian Centre for Cyber SecurityのAV26-567（出典6）、Beazley Securityの注意喚起（出典8）を加え、リード、脆弱性の内容、時系列、対象の製品と版、修正と回避策の節と注を改めた。
- 2026年6月10日：SecurityWeekの6月10日の記事（出典13）を加え、時系列の節を改めた。
- 2026年6月11日：CVEレコード（出典3）とCanadian Centre for Cyber SecurityのAV26-567（出典6）の6月11日の更新に合わせ、出典の節を改めた。
- 2026年10月26日：NVDの記録（出典4）の10月26日の更新に合わせ、対象の製品と版と出典の節を改めた。