しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Imprivata Enterprise Access Managementの脆弱性とは？ RSA鍵を更新できない問題 CVE-2026-82356（2026年9月23日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングImprivataSSO認証基盤

この記事のポイント: 米国 CERT/CC は2026年9月23日、Imprivata の認証・SSO基盤「Enterprise Access Management（EAM）」26.2.6以前に、RSA 鍵ペアをデプロイ後に更新（ローテーション）する手段が存在しない脆弱性 CVE-2026-82356 があると公表しました（JVN でも2026年9月24日に公表）。秘密鍵を入手した攻撃者は SSO トークンや認証情報を含む認証トラフィックを傍受できる恐れがあります。執筆時点で修正版は未提供で、秘密鍵の保護と PFS 強制が暫定的な緩和策です。

Imprivata Enterprise Access Managementの脆弱性とは？ RSA鍵を更新できない問題 CVE-2026-82356（2026年9月23日公表）

Imprivata 社の認証・シングルサインオン（SSO）基盤「Enterprise Access Management（EAM）」に、RSA 鍵ペアをデプロイ後に更新（ローテーション）する手段が存在しない問題があり、CVE-2026-82356 として採番されています（出典: CERT/CC）。秘密鍵を入手した攻撃者は、デプロイが稼働し続ける限り有効かつ信頼されたアプライアンス識別情報を保持し続け、SSO トークンや認証情報を含む認証トラフィックの持続的で検出困難な傍受が可能になります。執筆時点で修正版は未提供のため、秘密鍵の保護と Perfect Forward Secrecy（PFS）の強制が暫定的な緩和策です。

何が起きたか（要点）

米国の CERT/CC が2026年9月23日に Vulnerability Note VU#273940 を公表し、JPCERT/CC も2026年9月24日に JVN として公表しました（出典: JVN）。Imprivata EAM は RSA 鍵ペアでアプライアンスの X.509 証明書を生成し、この証明書は臨床ワークステーション・EHR（電子カルテ）プラットフォーム・共有デバイスのワークフローがアプライアンスを信頼するために使われています。CERT/CC はドキュメントの確認と Imprivata サポートへの問い合わせの結果、「デプロイ後にこの RSA 鍵ペアをローテーションするサポートされた手段は存在しない」と確認したとしています（出典: CERT/CC）。

影響する製品とバージョン

対象は Imprivata Enterprise Access Management（EAM）26.2.6 以前です（出典: CERT/CC）。病院などの臨床環境で使われる認証・SSO 基盤であり、アプライアンスが SSO の認証経路に位置する点がこの問題の特徴です。

運用者が今すべきこと

執筆時点（2026年9月29日）で修正版は提供されておらず、タイムラインも示されていません。Imprivata は問題を認識し、解決に向けて作業中と報告されています（CERT/CC は2026年7月13日に通知、2026年9月23日に更新・出典: CERT/CC）。CERT/CC が挙げる暫定的な緩和策は次の3点です。

  1. ファイルシステムおよび管理アクセスの制限による秘密鍵の保護。
  2. バックアップおよびハイパーバイザースナップショットの保護（持ち出しは秘密鍵入手の経路になるため）。
  3. 上流接続への Perfect Forward Secrecy（PFS）の強制による、鍵漏えい時の影響限定。

加えて本メディアとしての一般的な推奨として、EAM を経由するアカウントの不審なログイン記録の確認と、管理アカウントへの二段階認証の有効化を推奨します（この項目は CERT/CC が指示した対策ではありません）。

よくある質問

Q. CVE-2026-82356（Imprivata EAMの脆弱性）とは何ですか？

Imprivata Enterprise Access Management（EAM）26.2.6 以前にあり、デプロイ後に RSA 鍵ペアを更新（ローテーション）する手段が存在しない問題です。秘密鍵を入手した攻撃者はアプライアンスになりすまし、SSO トークンや認証情報を含む認証トラフィックを持続的かつ検出困難な形で傍受できる恐れがあります（出典: CERT/CC VU#273940・2026年9月23日公表）。

Q. Imprivata EAMの対策はどうすればよいですか？

執筆時点（2026年9月29日）で修正版は未提供です。CERT/CC の暫定的な緩和策として、ファイルシステム・管理アクセスの制限による秘密鍵の保護、バックアップとハイパーバイザースナップショットの保護、上流接続への PFS の強制が挙げられています（出典: CERT/CC）。修正版の情報はベンダ（Imprivata）と CERT/CC の Vulnerability Note で確認してください。

Q. 影響を受けるバージョンはどれですか？

Imprivata Enterprise Access Management（EAM）26.2.6 以前です（出典: CERT/CC）。

Q. SSOの傍受はいつから可能になりますか？

攻撃の前提条件は攻撃者が秘密鍵を入手することです。入手経路の例として、バックアップの持ち出し、ハイパーバイザーのスナップショット、アプライアンスファイルシステムへの特権アクセスが挙げられています（出典: CERT/CC）。鍵ペアがローテーションできないため、一度秘密鍵が漏れるとアプライアンスを再デプロイするまで攻撃アクセスが継続します。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。認証基盤の脆弱性のように「今すべきこと」が変わる発表は、一次情報だけをもとに当日お届けします。

出典: JVN（JVNVU#92710088 Imprivata製Enterprise Access Managementにおける脆弱性）、2026年9月24日公開（2026年9月29日取得）。CERT/CC Vulnerability Note VU#273940、2026年9月23日公表（2026年9月29日取得）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針