Ivanti EPMM CVE-2026-1340・1281：KEV登録と初動確認・修正判断

何が起きたか：EPMMのコードインジェクションがKEVに登録

Ivanti Endpoint Manager Mobile（EPMM）の CVE-2026-1281・CVE-2026-1340 は、CISA KEVに掲載されたコードインジェクションの脆弱性です。CISAは、認証前の遠隔コード実行につながり得ると説明しています。

EPMMは端末管理に関わるため、情シス・モバイル管理担当者は、導入版だけでなく暫定修正、外部公開、管理基盤の変更履歴を確認します。修正済みと侵害されていないことは別です。攻撃再現や実対象への探索は行いません。

2026年10月10日の見直しで、二つのCVEの登録日・期限を分け、未確認の露出・被害数と攻撃再現につながる記述を削除しました。公開日は記事の公開日であり、脆弱性の公表日とは異なります。

KEVの登録日と対応期限の違い

CISAの公開JSONを2026年10月10日に再取得して確認しました。

CVE	KEV登録日	カタログの期限
CVE-2026-1281	2026年1月29日	2026年2月1日
CVE-2026-1340	2026年4月8日	2026年4月11日

期限はBOD 22-01に基づく米連邦民間行政機関向けのものです。日本のすべての組織に同じ法的期限が適用されるという意味ではありません。いずれも過去の期限なので、未対応の対象は現在の公開状態・影響・悪用情報を踏まえて責任者が対応を判断してください。

影響を確認する担当者と情報

端末管理担当者はEPMMの導入・稼働版と修正履歴を、ネットワーク担当者は外部公開と管理経路を、セキュリティ担当者はアクセス・設定変更・不審な動作のログを確認します。保守委託がある場合は、作業結果と未確認事項を委託先から受け取ります。

影響版・適用する修正・恒久版への移行は、Ivanti公式アドバイザリへ照合します。今回の取得環境ではベンダー本文に閲覧制限があり、現在の全修正条件を独立に確認できていません。そのため「12.8未満はすべて同じ対応」と一律に断定せず、保守窓口を含めて確認します。

まず確認するチェックリスト

• EPMMの対象資産、所有者、委託先、導入・稼働版を特定する。
• 暫定修正と恒久更新の適用日・結果・再起動後の状態を確認する。
• インターネット公開の有無と、過去に公開されていた期間を調べる。
• 管理者、サービスアカウント、端末登録、設定変更のログを保全する。
• ベンダーが案内する侵害兆候の確認結果を記録する。
• 停止・制限で影響する端末管理業務と、代替管理経路を整理する。
• 更新の責任者、承認者、期限、完了の証跡を決める。

• 対象確認

  導入版、修正履歴、公開期間、所有者を把握。

• 更新・制限

  公式案内と業務影響を照合し、責任者が判断。

• 侵害確認

  ログと変更履歴を保全し、更新後も不審な動作を確認。

初動対応・優先順位・やってはいけないこと

未修正で外部公開されている、修正状態が不明、未承認の管理者や設定変更がある場合は、責任者へ速やかに共有します。アクセス制限・更新・証跡保全を並行して検討し、侵害兆候がある時はインシデント対応へ切り替えます。

独断の初期化、ログ削除、管理者の全削除は避けます。修正のための操作が証跡を変える場合は、その内容も記録します。脆弱性を確認するために悪用を試したり、未確認の第三者スクリプトを管理基盤へ実行したりしないでください。

対応の記録と完了確認

記録する項目は、対象資産、版、修正の根拠、公開期間、ログの保管先、確認事実、未確認事項、操作、承認者、実施時刻、再確認結果です。認証情報そのものは記載しません。

更新後は稼働版、正規の端末管理、管理者・設定の状態、監視の継続を確認します。パッチ適用の成功だけで、過去の侵害がなかったと結論付けないでください。

関連する実務・学習

インターネット公開管理画面の緊急点検、KEVとは、CVEとCVSSの違い、管理プレーンの保護で次の確認へ進めます。

公式情報・参考情報

• Ivanti EPMM Security Advisory — ベンダーの修正・侵害確認案内。閲覧制限がある場合は保守窓口へ確認
• CISA Known Exploited Vulnerabilities Catalog — 悪用確認とCVEごとの登録日・期限
• CERT-EU: Critical vulnerabilities in Ivanti EPMM — 公的機関による概要とベンダー案内への参照