Ivanti製VPNに3件の脆弱性、組み合わせた悪用を確認

Ivanti Connect Secure の脆弱性3件を組み合わせた攻撃が確認されました。10月29日までに3件すべての修正版が出ています。動いている版を確かめ、早めに更新してください。

脆弱性の概要

重要CVSS8.8

やること

Ivanti Connect Secure は、社外から社内のネットワークにつなぐための VPN 装置です。使っている場合は、すぐに修正版へ更新してください。

25.1.1系は 25.1.1.3 へ更新します
22.8系は 25.1.1.3 以降への移行が推奨です。すぐに移れない場合は 22.8R2.6 へ更新します
侵害の疑いがあるときは、Ivanti の復旧手順に沿って対応します。CISA は、設定の退避、初期化と更新、全アカウントのパスワード変更、証明書と API キーの再発行を挙げています

Ivanti は10月13日に CVE-2026-104935 を公表しました。なりすましによって認証を抜けられる欠陥で、ログインしていない攻撃者が外からコマンドを実行できるおそれがあります。CVSS は 8.6 です。

10月29日には、さらに2件を追加して公表しました。CVE-2026-111357 は装置の中で権限を引き上げられる欠陥で、CVSS は 8.8 です。CVE-2026-118527 は、決まった場所に攻撃者のファイルを置かれる欠陥で、CVSS は 4.3 です。

Ivanti によると、3件を組み合わせた攻撃が一部の顧客で確認されています。CISA は3件とも、悪用が確認された脆弱性の一覧（KEV）に載せました。認証情報の盗み出しやデータの持ち出しに使われていると説明しています。

25.1.1.2 以前と 22.8R2.5 以前は、3件の修正が必要です
25.1.2.2 以前は CVE-2026-104935 の対象です。修正版は 25.1.3.0 と 25.1.3.1 で、25.1.3.0 には新しい機種（ISA4500・ISA6500・ISA8500）が必要です
22.7系以前は、今回の脆弱性の影響を受けません

自社で確かめること

動いている版を確かめる管理画面で Connect Secure の版を確認し、対象の版と見比べてください。保守を委託している場合は、委託先に版と更新の予定を問い合わせてください。

侵害の痕跡を調べるIvanti は Integrity Checker Tool を定期的に動かすよう案内しています。ただし CISA は、CVE-2026-104935 の悪用はメモリ上で動くため、このツールでは見つからない場合があるとしています。

22.7系・22.8系の移行を決める22.7系と22.8系は2027年1月31日にサポートが終わります。25.1系への移行の時期と、必要な機器の手配を決めてください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）