Ivanti Neurons for ITSMに8件の脆弱性、EPMMにも権限昇格　未認証RCEを含む9件を修正(CVE-2026-12744,CVE-2026-12745)他

セキュリティニュース

投稿日時: 更新日時:

Ivanti Neurons for ITSMに8件の脆弱性、EPMMにも権限昇格　未認証RCEを含む9件を修正(CVE-2026-12744,CVE-2026-12745)他

Ivantiは2026年9月8日、Ivanti Neurons for ITSMとIvanti Endpoint Manager Mobile（EPMM）に関するセキュリティアドバイザリを公開しました。

Neurons for ITSMでは8件の脆弱性が修正され、このうちCVE-2026-12744とCVE-2026-12745は、認証なしのリモート攻撃者がサーバ上で任意コードを実行できる可能性があります。両脆弱性のCVSS v3.1は9.8（Critical）です。

さらに、認証済みの攻撃者による任意コード実行につながる6件も公開されており、CVE-2026-12645、CVE-2026-12646、CVE-2026-12647、CVE-2026-12650はCVSS 9.9（Critical）です。

EPMMではCVE-2026-18851が公開されました。認証済みのリモート攻撃者が管理者権限へ昇格できる脆弱性で、CVSS v3.1は8.8（High）です。

Ivantiは2026年9月のセキュリティアップデートで、今回公表した脆弱性について実際の攻撃で悪用された証拠はないと説明しています。Neurons for ITSMのクラウド環境には修正が適用済みで、オンプレミス版とEPMMの利用組織は自環境のバージョンを確認し、該当する更新を適用する必要があります。

Ivantiの9件の脆弱性のサマリー

確認できている内容：

  • Ivantiは2026年9月8日、Neurons for ITSMとEPMMに関する2件のセキュリティアドバイザリを公開しました。
  • Neurons for ITSMでは8件のCVEが公開されています。
  • CVE-2026-12744とCVE-2026-12745は、未認証のリモート攻撃者による任意コード実行につながる可能性があり、CVSS v3.1は9.8です。
  • CVE-2026-12645、CVE-2026-12646、CVE-2026-12647は認可不備により、認証済みのリモート攻撃者が任意コードを実行できる可能性があります。CVSS v3.1はいずれも9.9です。
  • CVE-2026-12648、CVE-2026-12650、CVE-2026-12651は信頼できないデータのデシリアライズに関する脆弱性で、認証済みのリモート攻撃者による任意コード実行につながります。
  • CVE-2026-12650のCVSS v3.1は9.9、CVE-2026-12648とCVE-2026-12651は8.8です。
  • EPMMのCVE-2026-18851は認可不備で、認証済みのリモート攻撃者が管理者権限へ昇格できる可能性があります。CVSS v3.1は8.8です。
  • Neurons for ITSM Cloud/SaaSは修正済み環境へ更新されているとIvantiは案内しています。
  • Neurons for ITSM On-Premは各リリース系列向けのSeptember 2026 Security Patch、または2026.2への更新が必要です。
  • EPMMは12.10.0.0、12.9.0.2、12.8.0.4が修正版として示されています。
  • Ivantiは9月8日時点で、今回の脆弱性が実際の攻撃で悪用された証拠はないとしています。
  • 9月11日時点で、今回の9件についてCISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載は確認できませんでした。
  • 一般公開されたPoCについて、今回確認したIvantiの一次情報では案内されていません。

9件のCVE一覧

CVE 製品 脆弱性 攻撃条件 影響 CVSS v3.1
CVE-2026-12744 Neurons for ITSM 信頼できないデータのデシリアライズ / CWE-502 未認証・リモート 任意コード実行 9.8 Critical
CVE-2026-12745 Neurons for ITSM 信頼できないデータのデシリアライズ / CWE-502 未認証・リモート 任意コード実行 9.8 Critical
CVE-2026-12645 Neurons for ITSM 認可不備 / CWE-862 認証済み・リモート 任意コード実行 9.9 Critical
CVE-2026-12646 Neurons for ITSM 認可不備 / CWE-862 認証済み・リモート 任意コード実行 9.9 Critical
CVE-2026-12647 Neurons for ITSM 認可不備 / CWE-862 認証済み・リモート 任意コード実行 9.9 Critical
CVE-2026-12648 Neurons for ITSM 信頼できないデータのデシリアライズ / CWE-502 認証済み・リモート 任意コード実行 8.8 High
CVE-2026-12650 Neurons for ITSM 信頼できないデータのデシリアライズ / CWE-502 認証済み・リモート 任意コード実行 9.9 Critical
CVE-2026-12651 Neurons for ITSM 信頼できないデータのデシリアライズ / CWE-502 認証済み・リモート 任意コード実行 8.8 High
CVE-2026-18851 Endpoint Manager Mobile 認可不備 / CWE-862 認証済み・リモート 管理者権限への昇格 8.8 High

Neurons for ITSMでは未認証RCEを含む8件を修正

Neurons for ITSMで公表された8件は、大きく3つに分類できます。

最も攻撃条件が少ないのがCVE-2026-12744とCVE-2026-12745です。

いずれもCWE-502「Deserialization of Untrusted Data」に分類され、リモートから認証なしで悪用できる可能性があります。ユーザー操作も必要ありません。

IvantiがCNAとして登録したCVSS v3.1のベクトルは、両方とも次のとおりです。

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

基本値は9.8で、機密性、完全性、可用性のすべてへの影響がHighと評価されています。

ITSMのサーバへネットワーク経由で到達可能な構成では、認証を必要としない2件を優先して確認する必要があります。

CVSS 9.9の認可不備3件、低権限ユーザーからRCE

CVE-2026-12645、CVE-2026-12646、CVE-2026-12647は、CWE-862「Missing Authorization」に分類されています。

いずれも認証済みのリモート攻撃者が、サーバ上で任意コードを実行できる可能性があります。

CVSS v3.1は9.9です。

ベクトルは、

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

となっており、攻撃には低い権限のアカウントが必要ですが、ユーザー操作は不要です。

この3件については「認証が必要」であることを理由に優先度を下げるべきではありません。ITSMの一般アカウントや低権限アカウントが侵害された場合、その認証済みセッションからサーバ側のコード実行へ進める可能性があるためです。

認証済みユーザーから悪用できるデシリアライズ脆弱性3件

CVE-2026-12648、CVE-2026-12650、CVE-2026-12651もCWE-502に分類されるデシリアライズの脆弱性です。

3件とも認証済みのリモート攻撃者がサーバ上で任意コードを実行できる可能性があります。

このうちCVE-2026-12650はCVSS 9.9で、ScopeがChangedと評価されています。

CVE-2026-12648とCVE-2026-12651はCVSS 8.8です。

CVE CVSS Scope
CVE-2026-12648 8.8 High Unchanged
CVE-2026-12650 9.9 Critical Changed
CVE-2026-12651 8.8 High Unchanged

脆弱性の説明はいずれも、認証済みのリモート攻撃者による任意コード実行とされています。

Neurons for ITSMの影響バージョンと修正版

Canadian Centre for Cyber Securityは、Ivantiのアドバイザリを基に、影響を受けるバージョンを次のように整理しています。

Cloud / SaaS

製品 影響する状態 対応
Neurons for ITSM Cloud / SaaS mo2026.2より前 Ivanti側で修正済み

Ivantiはクラウド環境へパッチを適用済みと説明しており、SaaS利用者側でオンプレミス版と同じパッチ作業を行う必要はありません。

On-Premises

利用中の系統 修正版・対応
2025.2 2025.2 September 2026 Security Patch
2025.3 2025.3 September 2026 Security Patch
2025.4 2025.4 September 2026 Security Patch
2026.1 2026.1 September 2026 Security Patch
2026.2 修正済みの系列として案内

オンプレミス環境では、利用しているリリース系列を確認したうえで、Ivantiのアドバイザリに対応するSeptember 2026 Security Patchを適用します。

既存の記事で取り上げたCVE-2026-9614とは別の脆弱性群です。CVE-2026-9614については「Ivanti Neurons for ITSMに管理者権限取得の脆弱性 CVE-2026-9614」で整理しています。

EPMMのCVE-2026-18851は管理者権限への昇格

Ivanti Endpoint Manager MobileではCVE-2026-18851が公開されました。

脆弱性はCWE-862「Missing Authorization」に分類されます。

攻撃には事前の認証が必要ですが、低い権限を持つリモート攻撃者が管理者権限へ昇格できる可能性があります。

CVSS v3.1は8.8で、ベクトルは次のとおりです。

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPMMはモバイルデバイス、アプリケーション、コンテンツなどを管理するMDM基盤です。管理者権限が取得された場合、個々の利用者アカウントだけでなく、管理対象端末に対する設定・管理機能へ影響する可能性があるため、Highであっても管理基盤として優先して修正したい脆弱性です。

EPMMの影響バージョンと修正版

IvantiのCVEレコードとCanadian Centre for Cyber Securityが示す修正版は以下です。

系統 修正版
12.10 12.10.0.0
12.9 12.9.0.2
12.8 12.8.0.4

少なくとも12.9.0.1以前、12.8.0.3以前は影響対象として案内されています。

EPMMについては2026年1月にも、CVE-2026-1281とCVE-2026-1340という未認証RCEが実際の攻撃で悪用されました。今回のCVE-2026-18851は別の脆弱性であり、Ivantiは9月8日時点で今回の脆弱性について実悪用の証拠はないとしています。

過去のEPMMゼロデイについては「Ivanti、EPMMの重大RCE 脆弱性2件を公表　ゼロデイ悪用も確認（CVE-2026-1281、CVE-2026-1340）」で整理しています。

Ivantiは実悪用を確認せず、9月11日時点でKEV掲載も確認できず

Ivantiは2026年9月のセキュリティアップデートで、今回公表した脆弱性について実際の攻撃で悪用された証拠はないと説明しています。

CISAのVulnrichmentでも、今回の各CVEについて公表時点のExploitationは「none」とされています。

また、2026年9月11日時点で、Neurons for ITSMの8件とEPMMのCVE-2026-18851について、CISA Known Exploited Vulnerabilities Catalogへの掲載は確認できませんでした。

今回確認したIvantiの一次情報では、一般公開されたPoCへの案内もありません。

ただし、KEVに掲載されていないことや悪用報告がないことは、更新を見送る理由にはなりません。

Neurons for ITSMの2件は認証不要でRCEに至り、複数の脆弱性がCVSS 9.9です。インターネットから到達可能なオンプレミス環境がある場合は、実悪用の確認を待たず、修正版への更新を優先する対象です。

情報システム部門が確認したいポイント

最初に、Neurons for ITSMとEPMMの利用有無とバージョンを資産台帳から確認します。

Neurons for ITSM Cloud/SaaSはIvanti側で修正済みとされていますが、企業側でも自社テナントが対象のサービス更新を受けていることを管理画面やIvantiサポート情報で確認しておくと、対応記録を残せます。

Neurons for ITSM On-Premでは、2025.2、2025.3、2025.4、2026.1を利用している場合、各系列向けのSeptember 2026 Security Patchが適用されているかを確認します。

特にCVE-2026-12744とCVE-2026-12745は認証を必要としません。外部からITSMサーバへ直接到達できる構成では、更新までの間もアクセス元制限や外部公開状況を確認してください。

認証が必要な6件についても、低権限アカウントの侵害や不正利用を前提に考える必要があります。ITSMの一般利用アカウント、サービスアカウント、不要アカウントを確認し、不要な外部アクセスを停止します。

EPMMは12.10.0.0、12.9.0.2、12.8.0.4のいずれか、自社が利用する系列の修正版へ更新します。

EPMMはMDM管理基盤であるため、更新後は管理者アカウント、管理操作ログ、設定変更履歴も確認対象です。今回のCVE-2026-18851は認証済みの低権限アカウントから管理者権限へ昇格できる脆弱性のため、パッチ適用前の期間に不審な管理者追加や権限変更がなかったか確認できる状態にしておきます。

出典

関連記事

Rancher Kubernetesプラットフォームに3件の重大な脆弱性(CVE-2026-44939,CVE-2026-41052,CVE-2026-41053)Rancher Kubernetesプラットフォームに3件の重大な脆弱性(CVE-2026-44939,CVE-2026-41052,CVE-2026-41053) 鹿児島県知事 塩田康一氏のなりすましSNSアカウントが確認される【注意喚起】鹿児島県知事 塩田康一氏のなりすましSNSアカウントが確認される【注意喚起】 九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存 AI コーディング エージェント 10種に共通する構造的欠陥 GuardFall-数十年前のBashの欠陥がガードレールを回避AI コーディング エージェント 10種に共通する構造的欠陥 GuardFall-数十年前のBashの欠陥がガードレールを回避 大阪樟蔭女子大学、Microsoft 365アカウントへの不正サインインで大量メール送信大阪樟蔭女子大学、Microsoft 365アカウントへの不正サインインで大量メール送信 アサヒ グループホールディングス、サイバー攻撃の再発防止策を発表アサヒ グループホールディングス、サイバー攻撃で11万超の個人情報漏洩-再発防止策を発表 ChromeとEdgeのTikTok 動画 ダウンロード 拡張機能でサイバー攻撃 キャンペーンChromeとEdgeのTikTok 動画 ダウンロード 拡張機能でサイバー攻撃 キャンペーン AppleのUSB制限モードが回避される深刻な脆弱性、極めて高度な攻撃で悪用が可能(CVE-2025-24200)AppleのUSB制限モードが回避される深刻な脆弱性、極めて高度な攻撃で悪用が可能(CVE-2025-24200) ランサムウェア グループに身代金を支払ってもデータは完全復旧しない-Hiscox調査ランサムウェア グループに身代金を支払ってもデータは完全復旧しない-Hiscox調査