重大CVSS9.82026-11-12
CVE-2026-121653 — Ivanti Endpoint ManagerのSQLインジェクション（認証不要でリモートコード実行・CVSS 9.8）の解説と対応策（2024 SU8で修正）
Ivanti Endpoint Manager（EPM）のCoreにあるSQLインジェクション（CWE-89）。Ivantiの勧告は、リモートの認証されていない攻撃者がリモートコード実行に至り得ると説明し、CVSSは9.8（Critical）。対象は2024 SU7以前で、修正は2024 SU8。Ivantiは、公開時点で悪用された顧客を把握していないとし、KEVにも載っていない。同じ日に、別製品のCloud Services Application（CVE-2026-121683・9.4）も修正された。当サイトの結論：端末管理サーバーは侵入されると配下の端末に波及するため、悪用の記載がなくても2024 SU8へ早く上げ、管理サーバーを外部へ公開していないかも確かめる。