Ivanti EPMM にゼロデイ2件（CVE-2026-1281 / 1340）— スマホ管理サーバーが認証なしで乗っ取られる

何が起きたか

Ivanti は 2026年1月29日、社用スマホを一括管理する Ivanti Endpoint Manager Mobile（EPMM）に、認証なしで外から好きなプログラムを動かされる脆弱性が2件（CVE-2026-1281、CVE-2026-1340、いずれも CVSS 9.8）あると公表しました。公表時点で「ごく少数の顧客」が被害を受けていたとされます。

CISA は同日 CVE-2026-1281 を KEV に登録し、CVE-2026-1340 も4月に追加しました。研究者が技術的な解説を公開した後は攻撃の試みが急増し、ログの消去やメモリ上のバックドアも報告されています。

影響を受けたのは

• EPMM 12.5.0.0 / 12.6.0.0 / 12.7.0.0 以前、12.5.1.0 / 12.6.1.0 以前
• 特にインターネットに公開していたサーバー。Ivanti Neurons for MDM や EPM は対象外

自社で確認したいこと

• 修正パッチ（RPM）をすぐ当てる。バージョンを上げると消えるため、更新後に当て直す
• 公開していたサーバーは「侵入済みかもしれない」前提で調べる（管理者の追加、SSO・LDAP 設定、配信アプリの変更など）
• 侵入の疑いがあれば作り直し、関連するアカウントのパスワードや証明書を入れ替える