Ivanti Connect Secureの脆弱性、攻撃での悪用を確認
Ivanti Connect Secureに、攻撃者が内容を決めたファイルを機器内の既知の場所に置ける脆弱性があり、実際の攻撃での悪用が確認されています。VPN装置として使っている組織は、ベンダーの告知に沿って対策を適用し、侵害の跡がないかも調べてください。
急ぎ度: 至急
KEVに2026年10月30日付で追加され実際の攻撃での悪用が確認されており、重要度はhighで、ほかの2件のCVEと連鎖する脆弱性だからです。
関係があるか
Ivanti Connect Secureを社外からのリモートアクセス用VPN装置として運用している組織が対象です。インターネット側にログイン画面を公開している場合は、とくに優先度が上がります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Ivanti Connect Secure | 影響する版はベンダーのセキュリティアドバイザリで確認してください | 修正版と対策の提供状況は、ベンダーのアドバイザリで確認してください |
確かめ方
- 1管理画面で、装置のモデルと稼働中のソフトウェア版を確認します。
- 2確認した版を、ベンダーのアドバイザリに載っている影響範囲と照らし合わせます。
- 3ログイン画面や管理画面がインターネットから届く状態かどうかを、ネットワーク担当者に確認します。
- 4連鎖するCVE-2026-104935とCVE-2026-111357についても、同じ装置が影響範囲に入っていないかを確認します。
何が起きたか
Ivanti Connect Secureに、ファイルの保存に使う番号や識別子が予測できてしまう脆弱性が見つかりました。これを悪用されると、攻撃者が内容を自由に決めたファイルを、装置のディスク上のわかっている場所に置かれます。
この脆弱性は実際の攻撃で悪用されていることが確認されています。
CWEの分類はCWE-340で、予測しやすい値が使われていることが原因です。保存先が推測できるため、置いたファイルの場所を攻撃者が把握できます。Ivantiはこの脆弱性がCVE-2026-104935およびCVE-2026-111357と連鎖しうるとしており、3件を組み合わせた攻撃が想定されます。単独の影響よりも、連鎖したときの影響で見るほうが実態に近いでしょう。
攻撃の流れ
-
1
ログイン
攻撃者がConnect Secureの有効なアカウントで認証を通ります。
-
2
保存先の特定
予測できる番号や識別子から、ファイルの置き場所を割り出します。
-
3
ファイル設置
内容を自分で決めたファイルを、装置のディスク上の既知の場所に置きます。
-
4
別の脆弱性と連鎖
CVE-2026-104935やCVE-2026-111357と組み合わせて、さらに踏み込みます。
どう悪用されるか
攻撃者は認証済みである必要があります。つまり、有効なアカウントでConnect Secureにログインできることが前提で、ネットワーク越しにリモートから実行できます。利用者に何かを操作させる必要はありません。
悪用されると、攻撃者が内容を決めたファイルが装置のディスク上のわかっている場所に置かれます。この脆弱性は、ほかの2件のCVEと連鎖しうる位置づけです。連鎖した場合に具体的にどこまで被害が及ぶかは、ベンダーのアドバイザリで確認してください。
認証が必要だからといって、リスクが小さいとは言えません。VPN装置のアカウントは、パスワードの使い回しや漏えいで第三者の手に渡ることがあるからです。
今すぐやること
-
1
ベンダーの告知で対策を確認し適用する
Ivantiのセキュリティアドバイザリで、影響する版と修正版、提供されている対策を確認します。修正版があれば更新し、なければ告知にある緩和策を適用します。クラウド版を使っている場合も、告知で扱いを確認します。
-
2
侵害の跡がないかを調べる
すでに悪用されている以上、更新だけで終わらせず、不審なファイルの追加や想定外の設定変更、見覚えのないログインがないかを確認します。CISAが示す「Forensics Triage Requirements」が調査項目の参考になります。調査を終えるまでは、装置のログを消さずに残しておきます。
-
3
連鎖する2件も同時に片づける
CVE-2026-104935とCVE-2026-111357の対応状況も確認します。1件だけ対策しても、残りの脆弱性が連鎖の入口になりえます。
-
4
アカウントとアクセス元を見直す
この脆弱性は認証済みの攻撃者を前提とします。使われていないアカウントの削除と、多要素認証の有無の確認、管理画面へのアクセス元の制限を進めます。
-
5
対応期限を押さえる
米国の政府機関に求められた対応期限は2026年11月13日です。日本の組織に義務はありませんが、対応を急ぐかどうかの目安になります。
修正版がないあいだのつなぎ
修正版をすぐに当てられない場合は、ベンダーが示す緩和策を適用してください。CISAの要件では、緩和策が用意できない製品は利用を中止することとされています。それまでのつなぎとして、管理画面の公開範囲を絞り、ログインできるアカウントを最小限にします。
背景
Ivanti Connect Secureは、社外から社内ネットワークに入るためのSSL VPN装置です。社員や委託先の通信が必ず通る入口なので、侵入されると社内の資産に近づく足がかりになります。装置はインターネットに面して置かれることが多く、攻撃者の標的にもなりやすい場所にあります。
この製品では、複数の脆弱性を連鎖させる攻撃が過去にもありました。2024年1月には、認証を回避する脆弱性とコマンドを実行できる脆弱性が組み合わされて悪用されています。今回も連鎖が前提とされており、1件ずつの重要度より、3件がそろったときの影響で優先度を決めるほうが実態に合います。
よくある質問
Q.認証が必要なら、後回しにしてもよいのではないでしょうか。
まだ分かっていないこと
- ランサムウェア攻撃で使われているかどうかは分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Ivanti Connect Secure contains a generation of predictable numbers or identifiers vulnerability that allows a remote authenticated attacker to upload files with attacker-controlled content to a known location on disk. This vulnerability can be chained with CVE-2026-104935 and CVE-2026-111357.
参照URL
- advisory NVD