【ITニュース解説】CISA Warns of Two Malware Strains Exploiting Ivanti EPMM CVE-2025-4427 and CVE-2025-4428

最近、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）が重要な警告を発した。これは、企業がスマートフォンやタブレットなどのモバイルデバイスを管理するために使用するソフトウェア、具体的には「Ivanti Endpoint Manager Mobile（EPMM）」に存在する二つのセキュリティ上の弱点（脆弱性）が悪用され、その結果として二種類の悪質なプログラム（マルウェア）が発見されたという内容だ。このニュースは、情報システムを扱う全てのエンジニアにとって、セキュリティがいかに重要であるかを改めて教えてくれる。

まず、この警告を発したCISAについて理解を深めよう。CISAは、アメリカの政府機関で、国の重要な情報システムやインフラをサイバー攻撃から守ることを主な任務としている。彼らは、サイバー脅威に関する情報を収集・分析し、企業や政府機関に警告を発したり、対策を助言したりすることで、国全体のサイバーセキュリティレベルの向上に貢献している。今回の警告も、多くの組織が同様の被害に遭うのを防ぐための重要な情報提供活動の一環だ。

次に、今回標的となった「Ivanti Endpoint Manager Mobile（EPMM）」について解説する。このソフトウェアは、企業が従業員に貸与するスマートフォンやタブレットといったモバイルデバイスを一元的に管理するためのツールだ。例えば、会社支給のスマートフォンのアプリを一括でインストールしたり、セキュリティ設定を強制したり、紛失時にデータを消去したりする機能を持つ。多くの企業がリモートワークの普及に伴い、従業員のモバイルデバイス管理を強化するためにこのようなツールを導入している。EPMMのようなモバイルデバイス管理（MDM）ツールは、企業のIT環境において非常に重要な役割を担っており、そのセキュリティは直接企業の安全性に関わる。

今回の問題の核心は、このEPMMソフトウェアに存在する二つの「セキュリティ脆弱性」だ。セキュリティ脆弱性とは、ソフトウェアやシステムに存在する設計上または実装上の欠陥のことで、これがあると、悪意のある攻撃者がその欠陥を突いて、本来許可されていない操作を実行できてしまう可能性がある。ニュース記事では「CVE-2025-4427」と「CVE-2025-4428」という番号が挙げられているが、これは「Common Vulnerabilities and Exposures（共通脆弱性識別子）」の略で、世界中のセキュリティ脆弱性に一意に割り当てられる識別番号だ。この番号を見れば、どのソフトウェアのどのような脆弱性であるかを具体的に特定できる。攻撃者は、これらの脆弱性を悪用して、EPMMが動作するサーバーに不正に侵入した。

CISAの報告によると、この脆弱性が悪用された結果、特定の組織のネットワーク内で二種類のマルウェアが発見された。これらのマルウェアは、サイバー攻撃者が侵害したサーバー上で「任意のコードを実行できる」ようにする、悪質なプログラムの読み込み装置（ローダー）を含んでいるとされている。ここで言う「任意のコードを実行できる」とは、攻撃者がそのサーバー上で、自分たちが用意したどのような命令でも自由に実行できてしまう状態を指す。例えば、サーバー内の機密情報を盗み出したり、システムを停止させたり、さらには他のシステムへの攻撃の踏み台にしたりと、想像しうるあらゆる悪意のある操作が可能になることを意味する。悪意のあるリスナーとは、攻撃者が外部からサーバーに接続するための「裏口」のようなもので、一度これがインストールされると、攻撃者は好きな時にサーバーにアクセスして操作できるようになる。

このような攻撃が成功すると、企業は甚大な被害を受ける可能性がある。EPMMは企業のモバイルデバイス全体を管理する重要なシステムであり、もしそのサーバーが乗っ取られれば、従業員のデバイスが遠隔操作されたり、機密データが漏洩したりする恐れがある。また、EPMMサーバー自体が、企業のネットワーク内にある他のシステムへの攻撃の足がかりとなる可能性もある。企業全体のシステムが停止したり、信頼が失われたりといった、金銭的・信用的な損害は計り知れない。

システムエンジニアを目指す皆さんにとって、このニュースは非常に重要な教訓を含んでいる。第一に、システムを構築・運用する上で、セキュリティ対策は最も優先すべき事項の一つであるという点だ。今回のような脆弱性は、どのソフトウェアにも潜在的に存在する可能性がある。そのため、使用しているソフトウェアの脆弱性情報に常に注意を払い、ベンダーから提供されるセキュリティパッチ（修正プログラム）は、速やかに適用することが不可欠となる。パッチ適用を怠ることは、攻撃者にシステムへの「裏口」を開け放っているようなものだからだ。第二に、システムエンジニアは、単にシステムを動かすだけでなく、システムが常に安全に稼働しているか監視する役割も担う必要がある。不審な通信がないか、予期せぬプログラムが動作していないかなどを常にチェックし、異常があれば即座に対応できる体制を整えることが求められる。これは、システムが攻撃を受けた際に被害を最小限に抑えるための重要な要素だ。

今回のCISAの警告は、最先端の技術を導入する一方で、その技術に潜むリスクにも目を向け、適切なセキュリティ対策を講じることの重要性を示している。システムエンジニアとして働く上で、サイバーセキュリティは避けて通れないテーマだ。常に最新の脅威動向を学び、予防策を講じ、万が一の事態に備える知識とスキルを身につけていくことが、これからのIT社会を支える上で不可欠となるだろう。