2026年10月13日、IvantiはConnect Secure（ICS）の認証バイパス脆弱性CVE-2026-104935（CVSS 8.6）を修正したバージョンをリリースしました。このパッチの適用によって、問題が解消されたと判断した組織もあったと考えられます。しかし、実際には同月3日から、攻撃者がこの認証バイパスに別の2つの脆弱性を組み合わせ、当時の最新パッチが適用されたICS機器に対しても、ログインせずにroot権限を取得する攻撃を行っていました。残る2つの脆弱性に対する修正版が公開されたのは10月29日で、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は翌30日、これらを「悪用が確認された脆弱性カタログ（KEV）」に追加しました。
今回の攻撃に使用されたのは、CVE-2026-104935（認証バイパスおよびリモートコード実行、CVSS 8.6）、CVE-2026-111357（重要な機能における認証の欠如による権限昇格、CVSS 8.8）、CVE-2026-118527（予測可能な識別子の生成によるファイルアップロード、CVSS 4.3）の3つです。注目すべき点は、3つ目の脆弱性のCVSSスコアが4.3（Medium）にとどまることです。
単独では深刻度が比較的低い脆弱性でも、適切な順序で組み合わせることで、認証なしでリモートからroot権限を取得する攻撃につながる可能性があります。この事例は、個々の脆弱性をCVSSスコアだけで評価することの限界を示しています。
攻撃の目的も、一般的な侵害事例とは異なっていました。攻撃者はWebシェルの設置やランサムウェアの展開ではなく、認証情報やディレクトリ情報を密かに収集し、内部ネットワークへのさらなる侵入に備えていました。本記事では、3つの脆弱性がどのように組み合わされて一連の攻撃につながるのか、攻撃者が実際に何を狙っていたのかを分析します。また、Criminal IP IT資産検索を活用して、インターネット上に公開されているIvanti Connect Secure関連資産の実態を調査します。
Ivanti Connect Secureの3つのゼロデイ脆弱性の概要
| 項目 | 内容 |
|---|---|
| 脆弱性ID | CVE-2026-104935（CVSS 8.6）：認証バイパスおよびリモートコード実行。認証不要の攻撃経路 CVE-2026-111357（CVSS 8.8）：重要な機能における認証の欠如（CWE-306）による権限昇格。Webサーバー権限からroot権限への昇格 CVE-2026-118527（CVSS 4.3）：予測可能な識別子の生成（CWE-330系）。認証済みのリモート攻撃者が、既知の場所に任意のファイルをアップロード可能 |
| 影響を受ける製品 | Ivanti Connect Secure（SSL VPNアプライアンス） |
| 脆弱性の連鎖による影響 | 3つの脆弱性を組み合わせることで、認証なしにリモートからroot権限でコードを実行 |
| 悪用状況 | ゼロデイとして実際の悪用を確認。研究者がUTA0576として追跡する攻撃グループによって、当時の最新パッチが適用された機器を含む侵害が確認されています。3つの脆弱性はいずれもCISAのKEVに登録（CVE-2026-104935は10月13日、残る2件は10月30日） |
| 影響を受けるバージョン／修正バージョン | ・25.1.1.2以前 → 25.1.1.3で修正 ・22.8R2.5以前 → 22.8R2.6で修正 |
| 米国連邦政府機関の対応期限 | ・CVE-2026-111357：2026年11月2日 ・CVE-2026-118527：2026年11月13日 |
16日間の空白期間：パッチ適用後もリスクが残っていた理由
今回の事例は、攻撃とパッチ公開の時系列を整理することで、その特徴が明確になります。
攻撃とパッチ公開のタイムライン
| 日付 | 主な出来事 |
|---|---|
| 10月3日 | 攻撃者が3つの脆弱性を組み合わせて悪用していたことを確認 |
| 10月13日 | 認証バイパス脆弱性CVE-2026-104935の修正版を公開。同日、CISAのKEVに登録 |
| 10月16日 | 米国連邦政府機関におけるCVE-2026-104935の対応期限 |
| 10月29日 | 残る2つの脆弱性（CVE-2026-111357、CVE-2026-118527）の修正版を公開 |
| 10月30日 | 2つの脆弱性をCISAのKEVに登録 |
| 11月2日・11月13日 | 各脆弱性に対する米国連邦政府機関の対応期限 |
Ivantiの説明によると、攻撃が確認された時点で、CVE-2026-104935の修正はすでに品質検証の段階にありました。その後、権限昇格の脆弱性が追加で発見されましたが、主要な攻撃経路を遮断するための修正版の公開を遅らせない判断が下されました。この判断は、主要な攻撃経路を早期に遮断するためのものでした。一方、10月13日から29日までの16日間、25.1.1.2または22.8R2.5にアップデートした機器は、当時の最新パッチが適用された状態でありながら、同じ攻撃チェーンに含まれる残りの脆弱性にさらされていました。つまり、当時の最新パッチを適用していても、関連するすべての攻撃リスクが解消されたとは限らない期間が存在していました。
ただし、この空白期間を評価する際には、10月13日のパッチによる効果も考慮する必要があります。認証バイパスが修正されると、残る2つの脆弱性を悪用するには認証が必要になります。CVE-2026-118527は認証済みのリモートユーザー、CVE-2026-111357は認証済みのローカルユーザーを前提としています。そのため、10月13日のパッチには、認証されていない攻撃者による侵入を防ぐ効果がありました。一方、すでに認証情報や有効なセッションを取得していた攻撃者、または侵害済みの機器では、引き続きリスクが残っていたことになります。
3つの脆弱性が一連の攻撃につながる仕組み
今回の事例で重要なのは、個々の脆弱性だけでなく、それらがどのように組み合わされたかという点です。3つの脆弱性は、それぞれ「最初の侵入経路を確保する」「権限を昇格させる」「後続の攻撃に利用する足掛かりを確保する」という役割を持ち、連鎖的に悪用されることで、一連の攻撃を成立させます。
ステップ1：認証不要の侵入（CVE-2026-104935）
攻撃チェーンの出発点となるのは、認証バイパスとリモートコード実行につながる脆弱性です。攻撃者は細工したリクエストによってログイン処理を回避し、ファイル書き込み時の競合状態（レースコンディション）を悪用することで、Webサーバープロセスの権限でコードを実行します。
この段階で攻撃者はアプライアンス内部に侵入できますが、取得できる権限はWebサーバーレベルに限られます。
ステップ2：root権限への昇格（CVE-2026-111357）
次の段階では、権限昇格の脆弱性が悪用されます。研究者の分析によると、この脆弱性は内部ブローカーコンポーネントであるdsinvokedが、設定キャッシュ（DSCache）のデータを信頼して処理することに起因しています。重要な機能を実行する際に、呼び出し元が認証済みであるかを適切に検証しないため（CWE-306）、Webサーバー権限で動作していたコードが、このブローカーを経由してroot権限でコマンドを実行できるようになります。
つまり、最初の段階で取得した限定的な権限が、ここでアプライアンスの最上位権限へと昇格します。特に、この脆弱性が観測当時の最新パッチ適用済み機器（確認された事例では22.8R2.4）でも悪用可能であり、問題が公表された当初は修正版が提供されていなかったことが、被害拡大の要因となりました。
ステップ3：後続の攻撃に向けた足掛かりの確保（CVE-2026-118527）
3つ目の脆弱性は、予測可能な識別子が生成される問題です。これにより、認証済みのリモート攻撃者が、ディスク上の既知の場所に攻撃者が制御するファイルをアップロードできるようになります。識別子が予測可能であるということは、攻撃者がファイルの保存先を事前に把握し、その場所を狙って操作できることを意味します。これにより、アップロードしたファイルを後続の攻撃段階で安定して利用するための足掛かりが形成されます。この脆弱性単体のCVSSスコアは4.3ですが、攻撃チェーンの中では、攻撃の安定性や継続性を高める役割を果たします。
3つの脆弱性のCVSSスコアは、それぞれ8.6、8.8、4.3です。個別に見ると深刻度には差がありますが、組み合わせることで、認証されていないリモート攻撃者によるroot権限の取得につながります。防御側が各CVEを独立した問題として評価すると、特にスコアの低い脆弱性への対応が後回しになる可能性があります。今回の事例は、攻撃者が脆弱性を個別の問題ではなく、一連の攻撃経路として捉えていることを示しています。防御側も同様に、複数の脆弱性がどのように組み合わされるかを考慮する必要があります。
Criminal IPで確認したIvanti Connect Secure関連資産の外部公開状況
今回の攻撃が成立するうえで重要な条件は、Ivanti Connect Secureの接続ポータルに外部からアクセスできるかどうかです。SSL VPNは、組織の内部ネットワークへのリモートアクセスを提供するため、インターネットと内部ネットワークの境界に設置される機器です。そのため、サービスの性質上、インターネットからアクセスできる必要があり、こうした構成は攻撃者にとってもアクセス可能な攻撃対象領域となります。
問題は、外部公開されているSSL VPN機器が、単なるリモートアクセスの接続先にとどまらないことです。SSL VPN機器が攻撃チェーンの侵入経路として悪用される可能性があるため、外部から識別できる資産を把握し、製品バージョンや管理状況を確認することが、セキュリティ対策の重要な出発点となります。そこで本分析では、攻撃者の視点から外部公開されているIvanti Connect Secure関連資産を特定し、複数の検索条件を活用して、対象資産の状況や特徴を段階的に確認します。
分析は次の4段階で進めます。
- 接続ポータルのタイトルによる識別：製品名が表示される資産を検索し、外部公開されている攻撃対象領域の規模を把握。
- 標準ログインパスによる確認：Ivanti Connect Secureの標準認証ページのパスを利用し、実際の接続先となる資産を具体的に識別。
- SSL VPNサービスタグによる照合：サービスの分類情報を追加して識別結果を補完し、標準ログインパスの検索では確認できない資産も調査。
- 証明書の有効期限切れによる優先点検対象の抽出：証明書の管理状況を追加条件として利用し、維持管理が十分に行われていない可能性のある資産を抽出。
この分析では、単一の検索条件に依存せず、製品識別情報、Webアプリケーションのパス、サービス分類、証明書の状態を組み合わせることで、外部公開資産の範囲と優先的に点検すべき対象を明確にしていきます。
接続ポータルの識別：Webページタイトルから外部公開状況を確認
Criminal IP 検索クエリ – title: “Ivanti Connect Secure”
外部公開されているIvanti Connect Secure関連資産を特定する最初のステップは、Webベースの接続ポータルのページタイトルを確認することです。Criminal IP IT資産検索のtitleフィルターは、スキャナーが収集したWebレスポンスに含まれるページタイトルをもとに資産を検索します。Ivanti Connect Secureは、Webベースのログインポータルを通じてユーザー認証やリモートアクセス機能を提供しており、ポータルのタイトルに製品名が含まれる場合があります。
そのため、製品名を検索条件として使用することで、インターネット上で確認できるIvanti Connect Secure関連資産を幅広く識別できます。
2026年11月時点で、title: “Ivanti Connect Secure”の検索結果から合計2,014件の資産が確認されました。これは、外部から製品名を識別できる接続ポータルの規模を示す結果であり、後続の検索条件によって分析対象を絞り込む際の基礎データとして活用できます。ただし、この件数をそのまま実際に脆弱性の影響を受ける資産数と解釈することはできません。タイトルによる検索は製品の識別に有効ですが、すべての資産が同じ設定で運用されているとは限らないためです。組織によっては、接続ポータルのタイトルを独自のブランド名やサービス名に変更している場合もあります。また、製品名だけでは、実際のサービス構成や攻撃の侵入経路となるインターフェースの状態まで確認することは困難です。
したがって、2,014件は外部から確認されたIvanti Connect Secure関連ポータルの初期的な識別件数として捉えることが適切です。次のステップでは、製品名という文字列だけでなく、Webアプリケーションの構造に基づくパスを利用し、実際の接続ポータルが外部公開されているかを確認します。
接続先の詳細確認：標準ログインポータルのパス
Criminal IP 検索クエリ – scanner_raw: “/dana-na/auth/url_default/welcome.cgi”
最初のステップで製品名が表示されるポータルの全体像を確認した後は、Ivanti Connect Secureの標準ログインパスを利用して、Webアプリケーションの接続先をより具体的に特定します。検索に使用した/dana-na/auth/url_default/welcome.cgiは、Ivanti Connect Secureで使用される標準ログインポータルのパスです。製品のWebアプリケーション構造に基づくパスであるため、組織ごとにページタイトルが変更されていても、同じパスが維持されていれば関連資産の識別に活用できます。Criminal IPのscanner_rawフィルターは、入力した文字列と一致するスキャナー収集情報をもとに資産を検索します。これにより、該当するパスが外部から確認できるIvanti Connect Secure関連資産を具体的に調査できます。
2026年11月時点の検索結果では、合計1,530件の資産が確認されました。これは、最初のステップでページタイトルから識別された2,014件の約76％に相当します。つまり、製品名だけでなく、Ivanti Connect Secureの標準ログインパスも外部から確認できる資産が多数存在することを示しています。
特に、このパスに注目する理由は、今回の攻撃チェーンの侵入経路と関連するためです。製品名だけで識別された資産については、実際の認証ポータルが公開されているかを追加で確認する必要があります。一方、標準ログインパスが確認された資産は、Webアプリケーションへの接続先が外部から観測されているため、より具体的な点検対象となります。
サービス分類による照合：SSL VPNタグを活用
Criminal IP 検索クエリ – title: “Ivanti Connect Secure” tag: “SSL VPN”
前のステップでは、Ivanti Connect Secureの標準ログインパスをもとに、外部から確認できる接続ポータルを識別しました。3つ目のステップでは、製品名を含むWebページタイトルにSSL VPNのサービスタグを組み合わせ、別の観点から関連資産を調査します。
Criminal IPのサービスタグは、検出された資産のサービス特性を分類するための情報です。そのため、title: “Ivanti Connect Secure” にtag: “SSL VPN”を追加すると、製品名が確認された資産のうち、SSL VPNサービスとして分類された対象を抽出できます。検索の結果、合計1,729件が確認されました。これはタイトル検索全体の2,014件の約86％に相当します。この結果から、製品名が確認された資産の多くが、サービス分類の観点からもSSL VPNとして識別されていることがわかります。つまり、Webページタイトルという識別情報に加え、サービスの種類という別の分類基準からも関連資産を確認でき、前の分析結果を補完できます。
ここで注目したいのは、サービスタグによる検索結果が、標準ログインパスによる検索結果よりも多いことです。標準ログインパスによる検索では、特定のパスが観測されている必要があります。一方、SSL VPNのサービスタグは、特定のURLとの一致ではなく、サービスの特徴に基づいて分類されます。そのため、標準とは異なるログインパスや接続構成を使用する資産も検索結果に含まれる可能性があります。
このことから、標準ログインパスだけでは、外部公開されている関連資産の全体像を把握しきれないことがわかります。特に、サービスタグによる検索では、標準ログインパスの検索から漏れる可能性のある資産も補完的に調査することが重要です。
最後のステップでは、これらの外部公開資産の中から、管理状況に関する追加の情報をもとに、優先的な点検対象を絞り込みます。
優先的な点検対象：証明書の有効期限切れから管理状況を確認
Criminal IP 検索クエリ – title: “Ivanti Connect Secure” ssl_expired: true
これまでの3つのステップでは、外部から確認できるIvanti Connect Secure関連資産の規模と、接続ポータルの外部公開状況を調査しました。しかし、外部公開されているすべての資産を同じ優先度で点検することは、限られたセキュリティ対応リソースを考えると容易ではありません。そこで最後のステップでは、製品名を含むWebページタイトルの条件にSSL/TLS証明書の有効期限切れを追加し、維持管理の観点から注意が必要な資産を抽出します。
検索に使用した ssl_expired: true は、SSL/TLS証明書の有効期限が切れていると判定された資産を検索する条件です。SSL/TLS証明書は、外部向けサービスの運用において継続的な管理が求められる要素です。そのため、有効期限切れの有無は、対象資産の運用・保守状況を確認する際の参考指標となります。title: “Ivanti Connect Secure” ssl_expired: true の検索結果では、合計196件が確認されました。これはタイトル検索で識別された2,014件の約10％に相当します。
有効期限が切れた証明書を使用する資産については、定期的な保守・管理が適切に行われているか、追加で確認する必要があります。特に、今回の攻撃チェーンに関連する修正バージョンが25.1.1.3および22.8R2.6であることを踏まえると、対象機器にこれらのバージョン以降のセキュリティ修正が適用されているかを確認することが重要です。今回の攻撃では、当時の最新パッチが適用されていた機器も侵害され、整合性チェックが回避されたことが確認されています。そのため、外部公開されており、さらに証明書の有効期限切れが確認された資産については、単にパッチの適用状況を確認するだけでは不十分です。実際に稼働しているバージョンやセキュリティ修正の適用状況を確認し、必要に応じて侵害の有無についても追加調査を検討する必要があります。
このような観点から、196件の資産は、外部公開資産全体の中でも、優先的に管理状況を確認すべき点検候補として捉えることができます。
パッチ適用状況と対策方法
今回の3つの脆弱性は、いずれも修正されています。Ivanti Connect Secure 25.1.1.2以前は25.1.1.3へ、22.8R2.5以前は22.8R2.6へアップグレードすることで、今回の攻撃チェーンに使用された脆弱性を修正できます。ただし、今回の事例では、パッチ適用は対策の出発点であり、それだけで対応が完了するわけではありません。以下のような複数の観点から対策を進めることが重要です。
- 資産の把握と外部公開状況の確認： 運用中のすべてのIvanti Connect Secureアプライアンスを特定し、各機器のバージョンと外部公開状況を外部の視点から確認。
- 修正版へのアップグレード： 25.1.1.3または22.8R2.6以降にアップグレードし、攻撃チェーンに関連するすべての脆弱性への対応を徹底。
- パッチ適用後の侵害調査： 影響を受けるバージョンを外部公開していた機器については、パッチ適用後も侵害の有無を積極的に調査。整合性チェックで異常が確認されなかった場合も、侵害の可能性を排除しないことが重要。
- フォレンジック証拠の保全： 再起動や初期化によってメモリやログなどの揮発性の証拠が失われる可能性があるため、可能な場合は調査に先立って証拠を保全。
- 認証情報の変更： 侵害が疑われる場合は、アプライアンスに保存されていた認証情報や、機器を経由して漏えいした可能性のある認証情報を変更。攻撃者が取得を試みた管理者パスワードや復旧キーについても確認し、必要に応じて更新。
- 外部公開範囲の縮小： VPNの機能上、接続ポータルの外部公開が必要な場合でも、管理インターフェースの公開停止やアクセス元の制限など、攻撃対象領域を縮小するための対策を実施。
特に今回の攻撃チェーンは、CVSSスコアが4.3と比較的低い脆弱性を含め、3つの脆弱性が組み合わされることで成立します。そのため、いずれかの段階を遮断することで一連の攻撃を防ぐことができますが、そのためには3つの脆弱性を個別の問題ではなく、一つの攻撃経路として捉え、関連するすべての修正パッチを漏れなく適用する必要があります。さらに、パッチ適用後に侵害の有無を調査することで、より確実な対応につながります。
FAQ
Q1. Ivanti Connect Secureに最新のパッチを適用していれば、今回の攻撃から保護されますか？
必ずしもそうとは限りません。2026年10月13日にCVE-2026-104935の修正版が先行して公開されましたが、同じ攻撃チェーンに使用されたCVE-2026-111357とCVE-2026-118527の修正版が公開されたのは10月29日でした。そのため、この期間にCVE-2026-104935のみを修正したバージョンを適用していた機器では、残る脆弱性の影響を受ける可能性がありました。また、今回の攻撃では、当時の最新パッチが適用された機器でも悪用が確認されています。
そのため、最新バージョンが適用されているかだけでなく、過去の侵害の痕跡や機器の整合性もあわせて確認することが重要です。
Q2. CVSSスコアが4.3のCVE-2026-118527も、優先的に対応する必要がありますか？
はい。今回の事例では、対応が必要な脆弱性です。CVSSスコアは個々の脆弱性の深刻度を評価する指標であり、他の脆弱性と組み合わせた場合の攻撃全体の危険性を、そのまま示すものではありません。CVE-2026-118527は、単独では中程度の深刻度と評価されています。しかし、今回の攻撃では残る2つの脆弱性と組み合わされ、攻撃者によるリモートからのファイルアップロードと、最終的なroot権限の取得につながる攻撃チェーンの一部として悪用されました。
そのため、脆弱性を個別のCVSSスコアだけで判断するのではなく、実際の攻撃経路の中でどのような役割を果たすのかも考慮する必要があります。
結論
今回のIvanti Connect Secureの脆弱性事例は、個々の脆弱性の深刻度だけでは、実際の攻撃リスクを十分に判断できないことを示しています。攻撃者は、認証バイパス、権限昇格、ファイルアップロードの脆弱性を連鎖的に悪用し、認証なしでリモートからroot権限でコードを実行できる攻撃経路を構築しました。特に、CVSSスコアが比較的低い脆弱性でも、他の脆弱性と組み合わせることで、攻撃チェーンの成立を支える重要な要素となり得る点に注意が必要です。
また、今回の事例からわかるように、特定の脆弱性に対するパッチが公開されたからといって、関連する攻撃経路がすべて遮断されるとは限りません。10月13日に最初の脆弱性の修正版が公開されてから、残る2つの脆弱性の修正版が公開されるまでには、16日間の空白期間がありました。
そのため、セキュリティ担当者は、単に最新のパッチが適用されているかを確認するだけでなく、関連するすべての脆弱性に対処できているか、さらにパッチ適用前に侵害が発生していた可能性がないかもあわせて点検することが重要です。
なお、関連して、バックアップサーバーが最初の標的に：Veeam Backup & Replicationの認可バイパス脆弱性CVE-2026-108142分析 の記事も参考にできます。
Criminal IP（criminalip.io/ja/register）に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。
データソース: Criminal IP(https://www.criminalip.io/ja)、The Hacker News(https://thehackernews.com/2026/10/attackers-chain-three-ivanti-connect.html)、Help Net Security(https://www.helpnetsecurity.com/2026/11/02/cisa-to-federal-agencies-remediate-exploited-ivanti-connect-secure-vulnerabilities-cve-2026-111357-cve-2026-118527/)、Security Affairs (https://securityaffairs.com/202175/security/u-s-cisa-adds-ivanti-connect-secure-flaws-to-its-known-exploited-vulnerabilities-catalog.html)
