最新版でも乗っ取られたIvantiのVPN、10月3日から悪用

2026年10月27日 18:21

会社のVPNは最新版に更新してあるから大丈夫、と考えている人は多いと思います。ところが10月3日から攻撃されたIvantiのVPN装置は、発見した米国の調査会社Volexityによると当時の最新版（22.8R2.4）でした。米CISAは10月13日、すぐに更新するよう呼びかけています。

この記事で伝えたいこと：社外から社内のネットワークにつなぐためのVPN装置「Ivanti Connect Secure」に、修正版がまだない欠陥（ゼロデイ）があり、10月3日から実際に悪用されていました。ログインしなくても装置の上で好きな命令を実行でき、攻撃者はそこから社内の認証情報を集めていました。Ivantiは10月13日に入口側の欠陥の修正版を出し、米国のサイバー防衛機関CISAはすぐに更新するよう呼びかけています。

対象はIvanti Connect Secureの25.1.1.1以前、25.1.2.2以前、22.8R2.4以前。22.8系は2027年1月31日にサポートが終わる
発見した調査会社Volexityによると、攻撃された装置は当時の最新版（22.8R2.4）だった
命令はメモリの上だけで動き、Ivanti自身の検査ツールでは痕跡が見つからない可能性がある

米CISAの注意喚起（2026年10月13日）　出典：https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure

こんばんは、PuriMagicです。多くの企業が在宅勤務や出張先からの接続に使っているIvantiのVPN装置で、修正版のない欠陥が狙われました。攻撃者は装置の上でログイン情報を集め、自分の痕跡も消していました。

1. VPN装置は社内への入口で、24時間ネットに開いている

VPN装置：家や出張先のパソコンから会社のネットワークに安全につなぐための機械です。インターネットと社内ネットワークの境目に置かれ、社員がIDとパスワードを入れると社内に入れてくれます。社内に入るための受付のような役目なので、24時間インターネットに向けて開いています。

エッジ機器：VPN装置やファイアウォールのように、社内と社外の境目（エッジ）に置く機器の総称です。Ivanti、Fortinet、Cisco、Citrixなどが大手です。

脆弱性とCVE：脆弱性はソフトウェアの欠陥のうち、攻撃に使えるものです。見つかった脆弱性には「CVE-2026-104935」のような世界共通の番号がつきます。

ゼロデイ：メーカーが修正版を出す前に、攻撃者が先に見つけて使っている脆弱性です。修正までの日数がゼロ、という意味です。

KEV：CISAが管理する「実際に悪用が確認された脆弱性」のリストです。米国の政府機関は、このリストに載った脆弱性を期限内に直す義務があります。民間企業にとっても、どれから直すかを決める目安になります。

2. ログインなしで命令を実行できる3つの欠陥が、10月3日から悪用された

CISAの10月13日の注意喚起によると、CVE-2026-104935は認証を回避して、ログインしていない外部の人が任意の命令を実行できる脆弱性です。CISAは、攻撃者がこれを使って認証情報を盗み、データを持ち出していると書いています。同じ日にKEVにも追加しました。

詳しい手口は、発見した米国の調査会社Volexityが公開しています。10月5日、Volexityは監視を請け負っている顧客のネットワークで不審な動きを調べ始め、原因がIvantiのVPN装置だと突き止めました。その装置は当時の最新版の22.8R2.4でした。攻撃は10月3日から繰り返されていました。

Volexityの報告（2026年10月13日）　出典：https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/

Volexityによると、攻撃は3つの欠陥をつないだものです。

認証の回避：誰でも開けるログイン画面のプログラムあてに要求を送りつつ、要求の中の別の欄で、本来はログインが必要な別のプログラムを指定する。装置は通すかどうかを前者で判断し、処理は後者に渡してしまう
命令の実行：ファイルを受け取るプログラムに、名前の末尾だけ「.zip」にした命令のファイルを送る。装置はいったん保存してからZIPかどうかを確かめて消すので、消されるまでのわずかな時間に、同じ方法でそのファイルを実行させる
管理者権限の奪取：装置の中で管理者（root）の権限で動いている保守用のサービスの設定をメモリ上で書き換え、自分の命令を管理者として実行させる。終わったら設定を元に戻す

攻撃者はさらに、Ivantiの動作記録とLinuxの監査記録から、攻撃に関係する行を消していました。装置に裏口のプログラムも残していません。命令のたびに攻撃をやり直し、結果を通常のHTTPSの応答に混ぜて受け取っていました。Volexityはこの攻撃者を「UTA0576」と呼んでいて、正体はまだわかっていません。

10月13日の修正版で直ったのは、認証の回避と命令の実行の2つ（CVE-2026-104935）です。3つ目の管理者権限の奪取には、10月15日にCVE-2026-111357という別の番号がつきました。Volexityは10月13日の報告で、この欠陥の修正は今後のリリースに入ると書いています。10月27日時点で、この修正版が出たかどうかは公開情報で確かめられませんでした。

3. 攻撃者は装置から社内の認証情報を取り出していた

VPN装置の中には、社員のログインを確かめるために、社内の認証サーバー（Active Directory）につなぐためのIDとパスワードが保存されています。Volexityの報告では、攻撃者は装置からこの認証情報を取り出し、社内のActive Directoryから次のような情報を探していました。

各パソコンのローカル管理者のパスワード（LAPSという仕組みで管理されているもの）
ディスクを暗号化するBitLockerの回復キー
パスワードが書かれた属性

ほかにも、パスワードを片っ端から試す攻撃、社内のログイン通信の盗聴、ログイン記録からの有効なユーザー名探しなどをしていました。入口の機械を経由して、社内の認証情報を集めていました。

4. エッジ機器は、ネットから直接届くうえに監視しにくい

9月9日にCISAがKEVに追加した4件のうち3件も、Fortinet、Citrix NetScaler、CiscoのFirewall Management Centerという、エッジ機器や管理用の製品でした。私は、エッジ機器ならではの性質が3つ重なっていると考えています。

1つ目は、インターネットから直接届くことです。社員のパソコンを狙うには、メールを開かせるなどの一手間が要りますが、VPN装置にはインターネットから直接アクセスできます。

2つ目は、監視の手が届きにくいことです。パソコンやサーバーにはEDRと呼ばれる監視ソフトを入れられますが、VPN装置のような専用の機械には入れられないことが多いです。今回のように攻撃者がログを消すと、気づくのはさらに難しくなります。

3つ目は、取れるものが大きいことです。VPN装置を取られると、社内の認証情報までまとめて手に入ります。

日本の統計にも、この傾向が数字で出ています。警察庁が9月に公表した2026年上半期の統計では、ランサムウェア被害の企業・団体へのアンケートで、侵入経路はVPN機器が約5割を占めました。

表2　今回の経過（CISAとVolexityの発表をもとにPuriMagicが作成）

5. 過去の4件も、入口の機械から社内の認証情報を集める流れだった

今回の手口は初めてのものではありません。2022年から2024年にかけても、VPN装置やファイアウォールの欠陥から社内に入られた事件が、公的機関や調査会社の報告書に記録されています。

1. Ivanti Connect Secure（2023年12月〜2024年1月）

Volexityが2024年1月10日に公表した事件です。2023年12月、監視先の顧客のネットワークで、VPN装置から社内へ横に広がる不審な通信が見つかりました。原因は、のちにCVE-2023-46805（認証の回避）とCVE-2024-21887（命令の注入）と番号がついた2つの欠陥でした。攻撃者はこの2つをつなぎ、ログインなしで装置の上で命令を実行していました。

手順は次のとおりです。

装置のログを消し、記録の機能そのものを止める
装置の正規のプログラム（visits.py）を書き換え、外から命令を送れる裏口を仕込む
ログイン画面で動くJavaScript（lastauthserverused.js）を書き換え、社員が入力したIDとパスワードを攻撃者のサーバーへ送らせる
集めた認証情報で、RDP、SMB、SSHを使って社内のサーバーへ移り、そこにも「GLASSTOKEN」と呼ばれる裏口を置く

Volexityはこの攻撃者を「UTA0178」と呼び、中国の国家が背景にある集団と評価しました。米CISAは1月19日、連邦政府機関に緊急指令（ED 24-01）を出しました。その後、複数の攻撃者に広く悪用されたため、各機関はIvantiの製品を2月2日の深夜までにネットワークから切り離すよう求められました。切り離したあとは、初期化して作り直す手順です。

2. Citrix Bleed（2023年8月〜11月）

CitrixのVPN装置NetScalerの欠陥CVE-2023-4966は、2023年10月10日に公表されましたが、8月から悪用されていました。CISAとFBIなどの共同勧告（AA23-325A）によると、仕組みは次のとおりです。

細工したHostヘッダーをつけたHTTPの要求を装置に送る
装置が本来は外に出さないメモリの中身を返し、その中に、ログイン済みの社員のセッションの合鍵（有効なCookie）が混じっている
攻撃者はそのCookieを使って、IDもパスワードも多要素認証もなしに、ログイン済みの社員として入る

この欠陥を使ったのが、ランサムウェア「LockBit 3.0」の実行役でした。被害を受けたBoeing Distribution Inc.は、自社で集めた手口と痕跡の情報をCISAとFBIに提供し、それが勧告に載りました。勧告は、修正版を当てる準備ができるまで装置を隔離することと、ログイン中の利用者の動きを優先して調べることを求めています。合鍵で入った攻撃者は、正規の社員のアカウントでログインしているからです。

3. Palo Alto Networks GlobalProtect（2024年4月）

Palo Altoのファイアウォールの欠陥CVE-2024-3400は、深刻度の点数が満点の10.0でした。Volexityが2024年4月10日に見つけ、攻撃者を「UTA0218」と呼びました。中国を拠点とする国家系の集団だと、中程度の確度で判断しています。

仕組みは次のとおりです。VPNの接続を受け付けるプログラムは、送られてきたセッションIDの文字列を、そのままファイル名にして空のファイルを作ります。攻撃者はセッションIDの欄に命令を書き込みました。装置の中で定期的に動く処理がそのファイル名を読み、命令として実行してしまいます。

攻撃者は最初、「UPSTYLE」と呼ばれるPythonの裏口を仕込もうとして失敗し、代わりにcron（定時実行の仕組み）に、外部から命令を取ってきて実行する設定を入れました。そこから装置の設定ファイルを盗み、社内ではActive Directoryのデータベース（ntds.dit）や、社員のブラウザに保存されたパスワードまで持ち出していました。

4. 大阪急性期・総合医療センター（2022年10月）

日本の事例です。2022年10月31日、大阪府の大規模病院で電子カルテを含むサーバーの大部分がランサムウェア「Elbie」で暗号化されました。2023年3月28日に公表された調査委員会の報告書によると、入口は病院ではなく、病院食を担当する給食事業者でした。

給食事業者のデータセンターにある、保守用のVPN装置に、CVE-2018-13379という深刻度9.8の古い欠陥が残っていた。この欠陥を使って集められた、世界中のVPN装置のIDとパスワードの一覧が公開されていた
攻撃者はそこから給食事業者の中に入り、病院のサーバーの認証情報を手に入れた
給食事業者と病院の給食サーバーは、RDPで常につながっていた。攻撃者はこの経路で病院に入った
病院の利用者すべてに管理者の権限がついていて、サーバーの管理者IDとパスワードも、ほとんどのサーバーで共通だった。攻撃者はウイルス対策ソフトをアンインストールし、次々にサーバーへ広がった

院内の約2,200台の端末にも侵入の痕跡がありました。基幹システムの再稼働まで43日、全体の復旧は73日後の2023年1月11日です。2022年11月の新入院患者数は前年同月の33.3%に落ち込みました。報告書は被害額を、調査・復旧費用で数億円以上、診療制限による逸失利益で十数億円以上と推計しています。

表3　過去の4件の手口と被害（Volexity、CISA、Palo Alto Networks、大阪急性期・総合医療センターの報告をもとにPuriMagicが作成）

4件に共通する流れは、入口の機械の欠陥から入り、装置の上で認証情報を集め、その鍵で社内のサーバーへ移る、というものです。今回のUTA0576の動きも、この流れに沿っています。

6. 使っている会社は、更新したうえで社内のパスワードもすべて変える

CISAとIvantiが示している手順は次のとおりです。

1. すぐに修正版に更新する。22.8系は2027年1月31日でサポートが終わるため、25.x系への移行の手引きも用意されている

2. 侵入されていないかを調べる。命令はメモリ上で動いていたため、Ivantiの検査ツール（Integrity Checker Tool）では見つからない可能性があり、ネットワークとメモリの調査（フォレンジック）が必要になる

3. 侵入が疑われる場合は、設定を保存してから装置を初期化し、最新版にして設定を戻す。仮想環境なら作り直す

4. ドメイン、管理者、ローカルのすべてのアカウントのパスワードを変え、証明書を発行し直し、APIキーなども変える

特に負担が大きいのが4番目です。VPN装置を直しても、盗まれた社内のパスワードは使えたままだからです。

7. IT担当でなくても、自社のVPNについて4つのことを聞ける

私のようにサーバーを直接さわらない立場でも、自分の会社について次のことは聞けます。

社外から社内につなぐとき、どのメーカーのVPN装置を使っているか。Ivanti Connect Secureなら、10月13日以降に更新したか
VPN装置の更新を誰が担当し、メーカーの注意喚起を誰が読んでいるか。外部の会社に任せている場合は、契約にその作業が入っているか
VPN装置が社内の認証サーバーにつなぐためのアカウントに、必要以上の権限がついていないか
侵入が疑われたとき、装置のメモリまで調べられる調査会社と契約しているか

警察庁の上半期の統計では、ランサムウェアの被害を受けた企業・団体の約6割が中小企業でした。専任のセキュリティ担当がいない会社ほど、VPN装置の更新が後回しになりやすいと私は考えています。

8. 被害組織の数と攻撃者の正体は、まだ公表されていない

Ivantiは、被害を受けた組織の数をまだ公表していません
3つ目の欠陥（CVE-2026-111357）の修正版がいつ出るかは、公開情報では確かめられませんでした
日本のJPCERT/CCは10月21日の週報でこの脆弱性を取り上げましたが、10月27日時点で単独の注意喚起は出していません
UTA0576がどの国や組織とつながっているかは、まだわかっていません
22.8系のサポートは2027年1月31日に終わります。それまでに25.x系への移行が進むかが、次の焦点です

私の見方

私がこの件でいちばん怖いと思ったのは、最新版に更新していた装置が攻撃されたことと、メーカーの検査ツールでも痕跡が見つからない可能性があることの2つです。「更新しているから大丈夫」「検査で何も出なかったから大丈夫」が、どちらも通用しませんでした。

だから、入口の機械が破られる前提で、社内の守りを組むしかないと考えています。VPN装置に強い権限のアカウントを持たせない、社内の管理者パスワードを使い回さない、VPN装置から社内への通信を記録して普段と違う動きに気づけるようにする、などです。

確かめた方法

私は一次資料15点（米国の脆弱性データベースNVD、JPCERT/CCの週報、CISAの注意喚起3本・緊急指令・共同勧告、Volexityの報告3本、Ivantiの勧告、Palo Alto Networksの解説、警察庁の統計、大阪急性期・総合医療センターの調査報告書の本編と概要）を読み、数字はすべてそこから取りました。

Ivantiの勧告ページはJavaScriptで表示される作りで、本文を機械で読み取れませんでした。そのため対象の版や修正版の日付は、CISAとVolexityの記述で確かめています。

この記事は投資を勧めるものではありません。

出典

記述は2026年10月15日に各資料で確かめ、10月27日に続報（3つ目の欠陥の番号、JPCERT/CCの週報）を確かめて追記しました。

毎朝のニュースは、ポッドキャスト「毎朝のAI・テックニュース by PuriMagic」で。Spotifyで聴く。よければ購読してください。

文字起こしで読む・フォローで新着がメールで届く：LISTEN

PuriMagicのSubstackでは、月〜土の朝7時台にAI・テックのニュースレターを、平日の夕方6時に深掘り記事を、無料でメール配信しています。

▶ 無料で登録する：https://purimagic.substack.com/subscribe

（この記事のSubstack版：https://purimagic.substack.com/p/ivantivpn103）