Ivanti ITSMに脆弱性8件、認証不要RCEも

2026年9月8日、Ivantiが同社のITサービス管理製品「Ivanti Neurons for ITSM」の脆弱性8件（うち深刻度クリティカル6件）を公表しました。アドバイザリ公開時点で悪用は確認されていません。

報道では最大CVSS 9.9の4件が見出しになっていますが、実務上まず塞ぐべきはCVSS 9.8の2件（CVE-2026-12744／CVE-2026-12745）です。9.9の4件が「認証済みの攻撃者」を前提とするのに対し、9.8の2件は認証不要（PR:N）でリモートからサーバー上の任意コード実行に至ります。スコアの大小と、実際に踏まれやすいかは一致しません。

この記事でわかること

  • Neurons for ITSMとは何をする製品で、なぜ狙われると影響が大きいのか
  • CVSS 9.9より9.8を先に見るべき理由（認証要否の違い）
  • 影響バージョンと修正の提供状況（2026.2は9月21日予定）
  • 「悪用未確認」でも急ぐべき理由をKEVの実データで確認する

Neurons for ITSMとは何者か

Ivanti Neurons for ITSMとは、社内のITサービス管理（ITSM）を行うためのプラットフォームです。ヘルプデスクへの問い合わせ受付とチケット管理、インシデント管理、変更管理、IT資産管理といった業務をまとめて扱います。

重要なのは、これが情シス部門そのものが日常的に使う道具であり、社内の情報が構造的に集まる場所だという点です。全社員からの問い合わせ履歴、端末やライセンスの資産情報、担当者のアカウント、障害・変更の記録が一箇所に載ります。攻撃者にとっては、社内システムの構成を把握し、次にどこを狙うかを決めるための地図として使える対象です。

さらにオンプレミス版は、社員がどこからでも問い合わせできるようにWebのポータルとして公開されている構成が珍しくありません。「社内向けの管理ツールだから外からは触れない」という前提が、実際には成り立っていないことがあります。今回の認証不要RCE 2件は、まさにその前提が崩れている環境で効きます。

CVSS 9.9より、9.8の2件を先に塞ぐ

NVDに登録された内容を整理すると、6件のクリティカルは性質が2つに分かれます。

CVE CVSS v3.1 種別 認証 結果
CVE-2026-12744 9.8（AV:N/AC:L/PR:N/UI:N） 信頼できないデータのデシリアライズ 不要 サーバー上で任意コード実行
CVE-2026-12745 9.8（AV:N/AC:L/PR:N/UI:N） 信頼できないデータのデシリアライズ 不要 サーバー上で任意コード実行
CVE-2026-12650 9.9（AV:N/AC:L/PR:L/UI:N/S:C） 信頼できないデータのデシリアライズ 必要（認証済み） サーバー上で任意コード実行
CVE-2026-12645 9.9（AV:N/AC:L/PR:L/UI:N/S:C） 認可の欠如 必要（認証済み） サーバー上で任意コード実行
CVE-2026-12646 9.9（AV:N/AC:L/PR:L/UI:N/S:C） 認可の欠如 必要（認証済み） サーバー上で任意コード実行
CVE-2026-12647 9.9（AV:N/AC:L/PR:L/UI:N/S:C） 認可の欠如 必要（認証済み） サーバー上で任意コード実行

9.9のほうがスコアが高いのは、影響範囲が変化する（S:C＝スコープ変更あり）と評価されているためで、危険度そのものの順位ではありません。攻撃者の立場で見れば、アカウントを一切持たずに外から直接叩ける9.8の2件のほうが到達コストが低いということです。

もっとも、9.9の4件も軽視はできません。ITSMは業務の性質上、全社員に一般利用者アカウントを配ることが多い製品です。「認証済み」の条件は、フィッシングで社員のIDを1つ奪えば満たされます。認可の欠如（Missing Authorization）が3件並んでいるのは、一般利用者の権限でも本来触れないはずの機能に手が届いてしまう欠陥が複数あったということで、権限設計そのものに漏れがあった形です。

影響バージョンと修正の提供状況

区分 状況
クラウド版 2026年8月9日に修正済み
2026.1／2025.4／2025.3／2025.2 各バージョン向けにセキュリティパッチが提供済み
2026.2 2026年9月21日に提供予定

NVDの記載では対象が「2026.2より前」とされており、8件すべてが2026.2で解消される形です。運用中のバージョンが2026.1以前であれば、待たずに提供済みのパッチを適用できます。

「悪用未確認」でも急ぐべき理由

Ivantiのアドバイザリは、公開時点で悪用を確認していないと明記しています。ただしIvanti製品は、悪用実績という点で突出したベンダーです。

CISAが公開しているKEV（悪用が確認された脆弱性カタログ）を2026年9月10日時点で集計したところ、収録1,703件のうちIvanti製品は35件を占めていました。直近1年半でも、Connect Secure、Endpoint Manager Mobile（EPMM）、Endpoint Manager（EPM）、Sentryと、製品を替えながら継続的に追加されています（EPMMは2025年5月以降だけで4件）。

つまり、「今は悪用されていない」は「攻撃者がまだ手を付けていない」に過ぎない可能性が高い製品群です。境界に置かれる管理系製品は、公開直後に解析され攻撃コードが出回るまでが速い傾向があります。KEV追加の傾向を見ても、公開から悪用確認までの間隔は短くなっています。

現場目線：ITSMは「止めにくい」から後回しになる

この手の製品の更新が遅れる理由は、危険性の認識不足ではなく止められないからです。ITSMを止めるとヘルプデスクが機能しなくなり、他部署からの問い合わせが電話とメールに逆流します。障害対応中に更新するわけにもいかず、結果として「来月の定期メンテで」となりがちです。

加えて、ITSMは情シス自身の道具なので、脆弱性管理の対象台帳から漏れることがあります。業務システムは棚卸しの対象に入っていても、自部門の運用ツールは「自分たちが見ているから大丈夫」という前提で管理外になっている、という状況は珍しくありません。今回を機に、情シス部門が管理者として使っている製品群が資産台帳に載っているかを確認しておくと、次に似た告知が出たときの初動が変わります。

情シスはどうすべきか

  1. オンプレミス版の公開状況を確認する。インターネットから到達できる構成なら、認証不要の2件（CVE-2026-12744／12745）が直撃するため最優先で対処する。
  2. 提供済みパッチを適用する。2026.1／2025.4／2025.3／2025.2は適用可能。2026.2を使っている場合は9月21日の提供を待つことになるため、それまでのアクセス制限を検討する。
  3. すぐに更新できない場合は、到達経路を絞る。管理画面やポータルへのアクセスをVPN内や特定IPに限定するだけでも、認証不要の脆弱性に対する効果は大きい。
  4. 認証済み前提の4件に備え、利用者アカウントの保護を確認する。多要素認証の適用状況と、退職者アカウントの残存を点検する。

脆弱性の優先順位付けや資産管理の体制づくりを整理し直すなら、IPAの中小企業の情報セキュリティ対策ガイドラインが土台になります。また、認証済み前提の脆弱性を成立させる最初の一歩はフィッシングであることが多いため、IPAの対策のしおりを使った利用者向けの啓発も並行して効きます。

まとめ

  1. Ivanti Neurons for ITSMに8件（クリティカル6件）の脆弱性。まず塞ぐべきはCVSS 9.8の2件。9.9の4件と違い認証不要でリモートから任意コード実行に至る。
  2. 2026.1以前は提供済みパッチを適用できる。2026.2の修正は2026年9月21日提供予定。クラウド版は8月9日に対処済み。
  3. 「悪用未確認」を安心材料にしない。KEV収録1,703件のうちIvanti製品は35件を占め、製品を替えながら継続的に追加されている。

関連記事

出典

タイトルとURLをコピーしました