メインコンテンツへスキップ
見出し画像

Ivanti Connect Secure（アイヴァンティ）で3つのゼロデイを連鎖悪用｜ログインなしで最高権限を奪う攻撃

    Island

    会社の外から社内のシステムにつなぐVPN装置「Ivanti Connect Secure（アイヴァンティ・コネクトセキュア）」で、3つの欠陥を組み合わせて装置を乗っ取る攻撃が、修正が出る前から行われていました。

    確認が必要なのはこの装置を運用する企業・団体の担当者で、VPNに接続する社員が自分のパソコンで何かを更新する必要はありません。

    10月29日（米国時間）に最後の欠陥の修正が出そろい、米国の政府機関CISA（シーサ）は10月30日、残る2つの欠陥を「悪用が確認された脆弱性」の一覧に加えました。

    この記事の情報は、2026年10月31日までに確認したものです。

    まず、自分がすることを確認する

    ◼️ Ivanti Connect Secureを運用する管理者

    • 今すぐ、装置で実際に動いているバージョンを確認する。

    • Ivantiの公式案内で、自分の機種と系統に合う修正版を確かめ、更新する。
      10月29日の更新で、攻撃に使われた3つの欠陥すべてに修正が出そろいました。

    • 修正前に攻撃を受けていたかどうかは、更新しても分からない。更新とは別に、侵害の有無を調べる。

    ◼️ 侵害が疑われる組織

    • 装置を更新・再起動・初期化する前に、記録（ログ）とメモリの内容を保全する。

    • 専門の調査会社やIvantiのサポートに相談し、そのうえで初期化や再構築を進める。

    ◼️ 社内のログイン管理（Active Directoryなど）の担当者

    • 更新と並行して、VPN装置が社内システムへの接続に使うアカウントに、不審な利用がないかを確認する。

    • 侵害が疑われる場合は、パスワードや証明書を再発行する。

    ◼️ VPNを使う社員・一般の利用者

    • 自分で装置を更新する必要はありません。

    • 会社からパスワード変更などの案内が来たら、その案内に従います。
      案内を装った偽のメールにも注意してください。

    対象外の人

    • Ivanti Connect Secureを使っていない組織や個人は、今回の件で新しく作業する必要はありません。

    • Ivantiによると、22.7R2.14以前の22.7系は最初の欠陥（CVE-2026-104935）の対象外です。
      報道によると、残る2つの欠陥も22.7系以前には含まれません（詳しくは後半の「製品・バージョン別の確認事項」）。

    Ivanti Connect Secureを使う組織での役割分担。管理担当者は機器の版と侵入の痕跡を確認し、VPNを使う社員は組織からの案内に従う。
    図1：立場ごとの対応。どの立場も、Ivanti Connect Secureを使う組織に関するものです。

    Ivanti Connect Secureとは何か

    Ivanti Connect Secureは、社員や取引先が社外から社内のシステムへ安全に接続するための製品です。
    以前は「Pulse Connect Secure」という名前でした。

    出典：runZeroによる製品の説明
    https://www.runzero.com/blog/ivanti-connect-secure/

    VPNは、インターネット上に「社内へ通じる専用の通路」を作る仕組みです。VPN装置はその通路の入口にある受付のような役割をします。
    利用者が正しい人かを確認してから、社内に通します。

    入口に置く性質上、装置は多くの場合、インターネットから誰でも接続できる状態になっています。
    受付そのものに欠陥があると、ログインしていない人にも悪用されるおそれがあります。

    出典：watchTowrによる製品と脆弱性の説明
    https://watchtowr.com/intelligence/ivanti-connect-secure-cve-2026-104935-faq/

    何が起きたのか

    調査会社が見つけた攻撃

    米国の調査会社Volexity（ヴォレキシティ）は10月5日、顧客の組織で不審な動きの調査を始めました。
    原因をたどると、Ivanti Connect Secureの装置に行き着きました。

    この装置は、当時の最新版（22.8R2.4）に更新済みでした。
    Volexityによると、攻撃者は10月3日から欠陥を繰り返し悪用していました。Volexityはこの攻撃者を「UTA0576」と呼んでいます。

    出典：Volexityの調査報告（10月13日公開、10月29日追記）
    https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/

    修正が出る前から、3つの欠陥が攻撃に使われていた

    今回の欠陥は、修正が出る前から攻撃に使われていました。
    このような欠陥を「ゼロデイ」と呼びます。

    Ivantiは、3つの欠陥を組み合わせた攻撃で、限られた数の顧客が悪用の影響を受けたと説明しています。
    この説明は、Ivantiの公式案内を引用した報道で確認しました。公式案内のページは、確認に使った環境では表示できませんでした。

    出典：Ivantiの公式案内（セキュリティアドバイザリ）
    https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935

    出典：公式案内の記載を引用した報道（SecurityOnline、10月30日）
    https://securityonline.info/ivanti-connect-secure-vulnerability-exploited/

    今回新しく分かったこと

    • 10月13日：Ivantiが最初の欠陥CVE-2026-104935の修正を公開。CISAが同日、悪用確認済みの一覧（KEV）に追加。

    • 10月29日（米国時間）：Ivantiが最後の段階の欠陥CVE-2026-111357などの修正を公開。Volexityも同日、報告に追記。

    • 10月30日（米国時間）：CISAがCVE-2026-111357とCVE-2026-118527をKEVに追加し、注意喚起の対象バージョンを更新。

    CISAの一覧データは、日本時間10月31日2時2分に更新されています。
    KEVへの追加日は「10月30日」とだけ書かれており、追加の時刻は分かりません。

    出典：CISAの悪用確認済み脆弱性の一覧（KEV）
    https://www.cisa.gov/known-exploited-vulnerabilities-catalog

    出典：CISAの注意喚起（10月30日更新）
    https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerabilities-ivanti-connect-secure

    攻撃はどう進んだのか

    Volexityの報告によると、攻撃は3つの段階で進みました。

    第１段階：ログインせずに内部の処理へ届く

    装置には、誰でも開けるログイン画面があります。
    攻撃者は、ログイン画面への要求に、本来はログイン後にしか使えない別の処理の名前を書き添えました。

    装置は「ログイン画面への要求だから通してよい」と判断しました。
    一方で、実際の行き先は書き添えられた名前で決めていました。
    その結果、攻撃者の要求がログインなしで内部の処理に届きました。

    受付で「面会の手続きです」と言いながら、行き先の欄に「社長室」と書いた紙を出すと、そのまま社長室に案内されてしまうような状態です。

    第２段階：装置の上で命令を実行する

    内部の処理には、ファイルを受け取る機能がありました。
    この機能は、受け取ったファイルを決まった規則で名前を付けて一時的に保存します。
    中身が正しい形式かを確かめるのは保存した後で、正しくなければ消します。

    攻撃者は、名前を予測できるこの一時ファイルとして、自分のプログラムを送りました。
    そして、消される前のわずかな時間に、そのファイルを実行させる要求を何度も送りました。
    間に合えば、攻撃者のプログラムが装置の上で動きます。

    ただし、この段階で動くのは、権限の限られた利用者としてです。

    第３段階：保守用の処理に、最高権限で実行させる

    装置の保守機能は、共有設定で指定されたプログラムを最高権限（root）で起動します。

    攻撃者は、第2段階で操作できるようになった処理を使い、メモリ内のプログラム部品を改変して共有設定を書き換えました。
    起動先を「決められた保守用プログラム」から「渡されたファイルの命令を実行するプログラム」に変更しました。

    そのうえで、自分の命令を書いたファイルを渡し、保守作業を要求しました。
    保守機能は変更された起動先を最高権限で動かしたため、そのファイルに書かれた攻撃者の命令も実行されました。

    これにより、一般権限では読めない認証情報のファイルを読む操作もできるようになりました。
    攻撃用の処理は、そのファイルを読めるかどうかで成功を確認していました。

    実行後は、攻撃を隠すため改変した部品と設定を元に戻し、関連するログの一部を消す処理を行っていました。

    調査で確認されたVPN機器への侵入と、侵入後に機器の設定や記録が変更された事例。10月29日公開の修正版には、報告された3件すべての修正が含まれる。
    図2：Volexityが調査した事例での攻撃の流れ。
    10月29日に公開された修正版には、3つの欠陥すべての修正が含まれます。

    3つの欠陥と番号

    • CVE-2026-104935：第１段階の認証の回避と、段階2の命令の実行。深刻度の点数（CVSS）は8.6（重要度「高」）。10月13日に修正。

    • CVE-2026-118527：第２段階で使われた、一時ファイルの名前を予測できる問題。報道によると、Ivantiの評価は4.3。10月29日に修正。

    • CVE-2026-111357：第３段階の権限の引き上げ。NVD（米国の脆弱性データベース）に登録された点数は7.0。報道によると、Ivantiの評価は8.8。10月29日に修正。

    CVE-2026-111357は「ローカル」の攻撃と分類されています。
    ここでの「ローカル」は「社内ネットワークから」という意味ではありません。
    攻撃者がすでに装置の上でプログラムを動かせる状態が必要、という意味です。今回は第１段階と第２段階でその状態を作っていました。

    出典：NVDのCVE-2026-111357の情報
    https://nvd.nist.gov/vuln/detail/CVE-2026-111357

    出典：NVDのCVE-2026-104935の情報
    https://nvd.nist.gov/vuln/detail/CVE-2026-104935

    攻撃者は何をしたのか

    Volexityが調べた組織では、攻撃者は装置を乗っ取った後、次のことをしていました。

    • 装置に保存されていた、社内のログイン管理システムに接続するための認証情報を取り出した。

    • 社内のActive Directory（社員のアカウントやパソコンを一元管理する仕組み）から、情報の一部を持ち出した。

    • パソコンの管理者パスワードや、ディスク暗号化（BitLocker）の回復キーを探した。

    • 多くのアカウントに同じパスワードを試す攻撃をした。

    • 装置を通る通信を記録し、そこからパスワードを拾おうとした。

    攻撃者は、後から出入りするための裏口のプログラムを装置に置いていませんでした。
    命令を送るたびに3段階の攻撃をやり直し、結果を通常の暗号化通信の応答で受け取っていました。

    Volexityは、攻撃を途中で見つけて止めたため、最終的な目的は分からないとしています。
    ただし、社内のほかのコンピューターへ侵入を広げる準備だった、と高い確度で評価しています。
    記録を消す処理がどこまで成功したかも、確定していないとしています。

    攻撃者の正体は公表されていません。Volexityは、金銭目的の犯罪者である可能性を「低い確度」で挙げています。

    管理者が知っておくべき注意点

    更新しても過去の侵害は消えない

    修正版に更新すると、これからの攻撃は防げます。しかし、修正前にすでに侵入されていた場合、その事実は更新だけでは分かりません。

    Volexityによると、この攻撃はメモリ上だけで装置を書き換え、後で元に戻していました。そのため、Ivantiが提供する点検ツール（Integrity Checker Tool）では変更を見つけられませんでした。
    CISAも、このツールでは攻撃の痕跡を検出できない可能性があるとし、通信の記録とメモリの調査が必要だと述べています。

    再起動や初期化の前に保全する

    Volexityは、装置のメモリやディスクの写し、攻撃時に作られた異常終了の記録を分析して、攻撃の全体を突き止めました。
    メモリの内容は、再起動すると失われます。

    侵害が疑われる場合は、再起動の前に記録とメモリを保全し、専門家に相談してください。

    侵害が疑われるときの手順（CISAの案内）

    CISAは、Ivantiの復旧手順に沿って次の作業を勧めています。

    • 装置の設定のバックアップを取る。

    • 装置を工場出荷時の状態に戻し、最新版に更新する。クラウドや仮想環境の場合は、作り直してから最新版にする。

    • バックアップから設定を戻す。

    • ドメイン、管理者、装置内のアカウントを含む、すべてのパスワードを再設定する。

    • 装置に保存していた証明書を失効させて再発行し、APIキーやライセンスサーバーの認証情報も再設定する。

    Volexityは、ログイン画面への大量の要求や、要求の宛先と書き添えられた行き先が食い違う通信を監視することも勧めています。

    製品・バージョン別の確認事項

    影響するバージョン

    CISAが10月30日に更新した注意喚起では、3つの欠陥の影響を受けるのは次のバージョンです。

    • 25.1.1系：25.1.1.2以前

    • 25.1.2系：25.1.2.2以前

    • 22.8系：22.8R2.5以前

    10月13日に出た修正版（25.1.1.2や22.8R2.5）に更新済みでも、CVE-2026-111357とCVE-2026-118527は残っています。再度の更新が必要です。

    修正版

    報道が引用したIvantiの案内では、次の修正版への更新が求められています。

    • 25.1.1.3

    • 25.1.3.1

    • 22.8R2.6

    どの版を使えるかは、装置の機種によって異なります。
    報道によると、ISA6000とISA8000は25.1.1系、ISA4500・ISA6500・ISA8500と新しい仮想環境は25.1.3系です。数字の大小だけで判断せず、公式案内の機種別の手順を確認してください。

    25.1.3.0を使っている場合に追加の更新が必要かどうかは、今回確認できた資料からは判断できませんでした。公式案内で確かめてください。

    22.7系と22.8系のサポート終了

    Ivantiは22.7R2.14以前の22.7系を、最初の欠陥CVE-2026-104935の対象外としています。報道によると、残る2つの欠陥も22.7系以前には含まれません。
    ただし、CISAの注意喚起によると、22.8系は2027年1月にサポートが終了します。22.7系も同じ2027年1月31日に終了します。
    25.1系への移行計画も合わせて確認してください。

    米国政府機関の対応期限

    CISAは米国の連邦政府機関に対し、CVE-2026-111357を11月2日まで、CVE-2026-118527を11月13日までに対処するよう求めています。
    これは米国の連邦機関に対する期限です。
    日本の企業に同じ期限が課されるわけではありません。

    日本の公的機関の状況

    10月31日15時の時点で、JPCERT/CC（ジェーピーサート・シーシー）の注意喚起一覧に、本件の掲載は確認できませんでした。

    出典：JPCERT/CCの注意喚起一覧
    https://www.jpcert.or.jp/at/

    まとめ

    • Ivanti Connect Secureで、3つの欠陥を組み合わせて最高権限を奪う攻撃が、修正前から行われていました。

    • 10月29日に最後の欠陥の修正が出て、10月30日にCISAが残る2つを悪用確認済みの一覧に加えました。

    • 運用する組織は、修正版への更新と、過去に侵入されていないかの調査を、別々の作業として進めてください。

    • VPNを使う社員は、自分で装置を更新する必要はありません。会社の案内に従ってください。

    参考リンク

     
     

    Island

     
     
    AIを仕事に活かすべく、試行錯誤中です。分かったふりはせず、迷ったことや失敗も含めて、あとから始める人の役に立つ形で実体験や調査したことを書いていきます。 最近、セキュリティ脆弱性のニュースが多く不安になります。影響と何をすれば良いのかを分かりやすくお伝えできればと思います。

    あなたへのおすすめ