「Ivanti Neurons for ITSM」に脆弱性 - アップデートを提供

IvantiのITサービス管理製品「Ivanti Neurons for ITSM」に、複数の脆弱性が明らかとなった。アップデートが提供されている。

同社は各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあたる現地時間4月14日、セキュリティアドバイザリを公開し、脆弱性2件を修正するアップデートをリリースした。

「CVE-2026-4913」は、代替パスの保護が不十分である脆弱性。アカウントが無効化された場合も、リモートからのアクセスにおいて認証された状態が維持される。

一方「CVE-2026-4914」は、格納型クロスサイトスクリプティング（XSS）の脆弱性。細工したコンテンツを通じて、セッションから限定的な情報を取得される可能性がある。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは、「CVE-2026-4913」が「5.7」、「CVE-2026-4914」が「5.4」とされており、重要度は4段階中、上から3番目にあたる「中（Medium）」とした。アドバイザリの公開時点で悪用は確認されていない。

同社では、オンプレミス版において「Ivanti Neurons for ITSM 2025.4」でこれら脆弱性を修正。アップデートを適用するよう呼びかけている。クラウド版については、2025年12月12日に修正済みだという。

（Security NEXT - 2026/04/16 ）ツイート