Ivanti Endpoint Manager Mobile (EPMM) にコードインジェクション（CVE-2026-1340）― 未認証で遠隔コード実行、モバイル端末管理基盤が標的
モバイル端末管理(MDM)基盤 Ivanti Endpoint Manager Mobile（EPMM／旧 MobileIron Core）に、コードインジェクション(CWE-94)の脆弱性。未認証の攻撃者が遠隔から任意のコードを実行しうる。CISAが2026年4月8日にKEVへ追加、是正期限4月11日＝3日後。NVDに掲載されたCVSSは9.8（CRITICAL）。
脆弱性の基本情報
- CVE番号CVE-2026-1340
- CVSS基本値9.8 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Ivanti Endpoint Manager Mobile (EPMM)
- CWECWE-94
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-04-11（米連邦民生機関・BOD 22-01）
要点
「コードインジェクション」（CWE-94）とは、本来データとして扱われるべき入力に攻撃者がコード（命令）を紛れ込ませ、システムにそれを実行させてしまう脆弱性を指す。入力の検証・分離が不十分だと、攻撃者は送り込んだコードをサーバ上で走らせ、事実上その機器を掌握できる。
本件はこれが Ivanti EPMM 上で、しかも未認証（ログイン不要）で成立しうるとされる点が深刻で、ベクトルの PR:N（権限不要）・UI:N（利用者操作不要）がそれを裏づける。
対象が MDM（モバイル端末管理）基盤であることが、本件の重さを決定づける。EPMM は組織が配布する多数のスマートフォン・タブレットに対し、設定・証明書・アプリを配る“配信元”として機能する。その配信元を未認証で掌握されれば、影響は1台の乗っ取りにとどまらず、管理下の端末群全体へ波及しうる＝1点突破が全社のモバイルに広がる構図だ。
加えて EPMM は、社外の端末が随時チェックインできるようインターネットに面して置かれることが多く、攻撃者から到達しやすい。
Ivanti の製品（EPMM や Connect Secure など）は近年KEVの常連であり、境界・管理を担う製品が繰り返し標的にされる構造を象徴している。CISAは是正期限を追加から3日後という短さに設定し、あわせて「侵害の兆候がないか点検する」ことを求めている＝すでに悪用が起きている前提での対応が要る。対応はIvantiの案内に沿った速やかな更新と、被害有無の確認である。
なぜ重要か
MDM基盤への未認証コード実行は、管理下の端末群全体への波及という点で被害範囲が極めて広い。EPMMはインターネットに面して置かれることが多く、未対応のまま放置すれば継続的に狙われる。CISAが3日の是正期限に加え侵害兆候の点検を求めていることは、すでに悪用が進んでいる前提での対応が要ることを示す。Ivantiの案内に沿った速やかな更新と、被害有無の確認・監視強化が要点となる。
よくある質問（FAQ）
コードインジェクションとは何ですか。
MDM基盤が狙われると何が問題ですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。