Ivanti Endpoint Manager（EPM）にある、認証なしでリモートコード実行に至り得るSQLインジェクションの解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。
- CVE
- CVE-2026-121653（Ivanti Endpoint Manager。SQL injection in the Core）
- 重大度
- CVSS 9.8（Critical。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。Ivantiが付与。勧告は3.0表記、CVEの記録・NVDは3.1表記）
- 種別
- SQLインジェクション（CWE-89）
- 影響
- リモートの認証されていない攻撃者によるリモートコード実行
- 対象
- Ivanti Endpoint Manager 2024 SU7以前（CVEの記録では2024 SU8より前）
- 修正
- 2024 SU8（Ivantiのダウンロードポータル ILS で提供）
- 公開日
- 2026年11月10日
- 悪用状況
- Ivantiは公開時点で悪用された顧客を把握していないと表明。KEV未掲載（2026年11月12日時点）
放置の危険度
別製品ですが、Ivanti Connect Secureの脆弱性は、2026年10月30日に2件がKEVへ追加されています（Ivanti Connect Secureの記事を参照）。今回のEPMの欠陥について悪用は把握されていませんが、認証不要・ネットワーク経由・低複雑度の組み合わせは、公開後に調べられやすい条件です。
どんな脆弱性か
Ivantiの勧告は、EPMのCoreにあるSQLインジェクションで、リモートの認証されていない攻撃者がリモートコード実行に至り得ると説明しています。CWE-89に分類されます。
- 認証は要りません（PR:N）。ネットワーク経由で、利用者の操作も要りません（UI:N）。攻撃の複雑度は低い（AC:L）とされています。
- CISAのSSVC評価は、悪用なし（none）、自動化可能（yes）、技術的影響は全面的（total）です。
- 攻撃の入口となる機能や、細工の方法は、勧告にも書かれておらず、当サイトも記載しません。
- 発見は、Ivantiの責任ある開示プログラムを通じたものだとIvantiは説明しています。
影響範囲
| 項目 | 内容 |
|---|---|
| 製品 | Ivanti Endpoint Manager（EPM）のCore |
| 影響を受ける版 | 2024 SU7以前（勧告）。CVEの記録は2024 SU8より前 |
| 修正版 | 2024 SU8（ILSから入手） |
| 回避策・緩和策 | 勧告に記載を確認できなかった |
| 同じ勧告の別CVE | CVE-2026-18128（Agentの平文通信・CVSS 6.8・中間者の位置の攻撃者が対象）。同じく2024 SU8で修正 |
| 別の勧告 | Cloud Services Application（CSA）5.0.8のCVE-2026-121683（認証の欠落・CVSS 9.4）。修正はCSA 5.0.8.1。CSA 5.0.7以前は対象外 |
- 2024より前の系列（2022など）は、勧告に記載がありません。使っている場合はIvantiに確認してください。
- CSAについて、Ivantiは、Dual NICの構成（Ivantiの推奨）なら露出は内部インターフェースに限られ、外部からは悪用できないと案内しています。
自分が対象か確かめる方法
EPMの版を確認する
EPMのコンソールで、現在の版とサービスアップデート（SU）の番号を確認します。2024 SU7以前なら対象です。複数のCoreを運用している場合は、すべて確かめます。端末が多い場合は、資産棚卸しチェックリストの要領で一覧にします。
EPM Coreの公開範囲を確認する
EPM Coreがインターネット側から届く経路（ポート開放、リバースプロキシ、クラウド上の公開設定）がないかを確かめます。リモートの端末の管理に使っている場合は、どの経路で届いているかを整理します。
CSAを使っているか確認する
Cloud Services Applicationを使っている場合は、版が5.0.8かを確かめます。5.0.8なら5.0.8.1へ更新します。
今日やること
EPMを2024 SU8へ更新する（最優先）
Ivantiのダウンロードポータル（ILS）から2024 SU8を入手して適用します。更新前に、データベースとCoreの設定のバックアップを取ります。
更新までの間、Coreへのアクセスを絞る
勧告に回避策はありません。当サイトの補足として、Coreへのアクセスを管理用のネットワークと必要な端末に限り、インターネットへ直接公開しないでください。リモート端末の管理に必要な経路は、先に影響を確かめてから絞ります。
更新前のログを確認する
Webサーバーとデータベースのログに、想定しないエラーや、不審な操作の跡がないかを確かめます。Ivantiは、現時点で侵害を示す既知の指標は公開されていないとしています。見つかった場合の手順は脆弱性が公表されたときの対応手順に従います。
CSAを使っていれば5.0.8.1へ更新する
CSA 5.0.8を使っている場合は、5.0.8.1へ更新します。Dual NICの構成になっていることも確かめます。
Ivantiの通知を購読する
Ivantiは定例で勧告を公開しています。担当者が公開日にすぐ気づける仕組みにしておくと、次回の対応が早くなります。
悪用状況
- Ivantiの勧告は、公開時点でこの脆弱性で悪用された顧客を把握していないと述べています。
- CISAのKEVに、このCVEは載っていません（KEVの版 2026.11.10、2026年11月12日に確認）。
- CISAのSSVC評価は、悪用なし（none）です。
- NVDの状態は「Received（受付済み）」で、分析は終わっていません。9.8はIvantiが付けた値です。
- 攻撃の規模・手口・攻撃者についての公開情報は、確認できませんでした。
出典
- Ivanti — Security Advisory Ivanti Endpoint Manager (EPM) November 2026（2026年11月10日公開。対象・修正版・悪用の表明）
- Ivanti — Security Advisory Ivanti CSA (CVE-2026-121683)（CSAの勧告。回避策あり）
- CVE.org — CVE-2026-121653（2026年11月10日公開。CISAのSSVC評価を含む）
- NVD — CVE-2026-121653（Received。CVSS 9.8）
- CISA — Known Exploited Vulnerabilities Catalog（このCVEは未掲載）
Coreへのアクセスを管理用のネットワークに限る対策は、当サイトが一般的な防御として挙げたもので、Ivantiの勧告に書かれた回避策ではありません。最終確認：2026年11月12日。
次に読む
- 同じベンダー：Ivanti Connect Secureの脆弱性 ／ 悪用が確認された境界機器の脆弱性まとめ
- 実務：脆弱性対応の実務手順 ／ 資産棚卸しチェックリスト
- 判断：CVSS・EPSS・KEVで優先順位を決める
- 用語：SQLインジェクションとは ／ RCEとは