Ivanti は 5 月 7 日、モバイルデバイス管理製品 Endpoint Manager Mobile (EPMM) に脆弱性 CVE-2026-6973 が存在し、限定的ながら実環境での悪用を確認したと公表しました。CISA は同日 KEV カタログに追加し、米連邦民間機関 (FCEB) には 5 月 10 日までの修正適用を求めています。

主なポイント

  • CVE-2026-6973 (CVSS 7.2) は EPMM の入力値検証不備で、認証済み管理者による任意コード実行を許す
  • 修正済みバージョンは 12.6.1.1 / 12.7.0.1 / 12.8.0.1。これより前の系列はすべて影響対象
  • Ivanti は併せて CVE-2026-5786 / -5787 / -5788 / -7821 の 4 件 (CVSS 7.0-8.9) も同梱でパッチ
  • 攻撃に使われた管理者資格情報は、1 月公表の事前認証 RCE CVE-2026-1340 で漏えいしたものだと Ivanti 自身が「高い確度」で評価
  • CISA は KEV 登録、FCEB に 5/10 期限のパッチ適用を義務付け。一般組織にも即時対応が推奨される

出典: Ivanti EPMM CVE-2026-6973 RCE Under Active Exploitation Grants Admin-Level Access (The Hacker News)