要点
- 米国の CISA（サイバーセキュリティ・インフラセキュリティ庁）は、Ivanti の VPN 機器 Connect Secure の欠陥2件を、実際に悪用されている欠陥のリストに加えた。
- この2件は「ログインが必要」な欠陥だ。しかし10月13日に公表された「ログインなしで入れる欠陥」と組み合わされて、外から機器の最高権限（root）まで取られていた。
- 調査した Volexity によると、攻撃者は機器から社内の Active Directory（社員のアカウントをまとめて管理する仕組み）の認証情報を盗んでいた。Ivanti の点検ツールでは見つからなかったという。
何が起きたか
CISA は 2026年10月30日（米国時間）、CVE-2026-111357 と CVE-2026-118527 を KEV（Known Exploited Vulnerabilities、悪用が確かめられた欠陥のカタログ）に加えた。
CVE-2026-111357 は、機器の中に入った攻撃者が root に上がれる欠陥だ。NVD（米国の脆弱性データベース）での深刻度は 10点中 7.0 となっている。CVE-2026-118527 は、ログインした攻撃者が、置き場所を予測できるファイルとして、中身を自由に決めたファイルをディスクに置ける欠陥である。CISA は、この2件が CVE-2026-104935 とつなげて使えると書いている。
CVE-2026-104935 は、ログインを飛ばして外から命令を実行できる欠陥だ。10月13日に Ivanti が公表し、CISA は同じ日に KEV に加えている。つまり、2件の「ログインが必要」という条件は、ほかの欠陥で外せてしまう。
調査会社の Volexity の報告によると、攻撃は 10月3日に始まった。狙われたのは、その時点で最新だった 22.8R2.4 の機器だった。Volexity は攻撃者を「UTA0576」と呼んでいる。初めて見るグループで、目的はスパイよりも犯罪寄りと見ているが、確度は低いとしている。
Volexity が報告した被害は重い。機器に保存されていたドメインの認証情報が盗まれた。攻撃者はさらに、乗っ取った AD のサービス用アカウントを使い、LAPS（Windows PC ごとの管理者パスワード）や BitLocker（ディスク暗号化）の回復キーを AD の中で探していた。Volexity は、機器にあった通信の記録から、暗号化されていないパスワードを攻撃者が抜き出そうとしていたとも見ている。攻撃者のコードには、記録を消すなどして跡を隠す機能もあったという。ただし Volexity は、そうした操作がそれぞれどこまで成功したかは確かめきれていないとしている。Webshell（遠隔操作のための裏口）は置かれず、そのたびに欠陥を突いて命令を実行していたという。
日本の利用者への影響
日本でこの製品がどれだけ使われているかを示す一次情報は、確かめられなかった。2024年1月に Ivanti Connect Secure の別の欠陥が悪用されたときは、IPA が「攻撃が国内で観測された」との情報を伝えていた。Volexity の報告が扱っているのは、顧客1社の事例だ。
2026年10月30日の時点で、JPCERT/CC の注意喚起の一覧にこの件は載っていない。Ivanti 製品については、2026年1月の EPMM（スマホ管理製品）の注意喚起だけだ。日本での注意喚起が出るかは、続けて見る必要がある。
今すぐやること
- 自社の VPN が Ivanti Connect Secure かを、情報システムの担当者か保守会社に確かめる。
- 使っているなら、版の番号を確かめる。Ivanti の advisory に載っている修正版へ、すぐに上げてもらう。
- 10月より前から外に出していた機器は、修正だけでは足りない。侵入の跡を調べてもらう。Volexity は、Ivanti の点検ツールで問題が出なくても安心できないとしている。メモリと通信の記録を調べるよう勧めている。
- 侵入が疑われるときは、機器に保存したり、機器を通したりしたパスワードをすべて変える。Volexity の報告では、攻撃者は AD のサービス用アカウントのほか、LAPS のパスワードや BitLocker の回復キーも狙っていた。
背景
Ivanti の VPN 機器が侵入の入り口になったのは、今回が初めてではない。2024年1月には CVE-2023-46805 と CVE-2024-21887 が悪用され、IPA も注意を呼びかけた。VPN 機器はインターネットに直接つながり、社内のアカウントの仕組みとも結びついている。そのため、ひとつ破られると被害が社内に広がりやすい。
今回も、最初の欠陥が直されたあと、別の欠陥2件が次々に悪用済みと認められた。修正版は少しずつ出ている。10月13日に直した機器も、もう一度更新が要る。
技術者向けの詳細
- 対象の CVE
- CVE-2026-104935: 認証回避で、外から命令を実行できる。CVSS 8.6。10月13日に KEV へ追加。
- CVE-2026-111357: dsinvoked が DSCache の設定データを信頼しすぎて、root に上がれる。CWE-829。NVD の CVSS は 7.0（AV:L/PR:L）。KEV の期限は 11月2日。
- CVE-2026-118527: ファイル名を予測できる（CWE-340）。認証済みの攻撃者が、既知の場所にファイルを置ける。KEV の期限は 11月13日。
- 影響を受ける版（CVE-2026-111357、NVD より）: 25.1.0.0 以上 25.1.1.3 未満、22.8R2 から 22.8R2.5 まで。
- 修正版: カナダ Cyber Centre の AV26-1035（10月30日更新）は、25.1.1.3、25.1.3.1、22.8R2.6 より前を対象としている。CVE-2026-104935 だけの修正版（22.8R2.5、25.1.1.2 など）では足りない可能性がある。製品の型ごとの正しい版は、必ず Ivanti の advisory で確かめる。
- Volexity が挙げた侵入の跡
- 接続元:
108.165.147[.]64 - プロセス:
dsstatmond（名前を変えた tcpdump）。隠しフォルダ.icscapから動く。 - ファイル:
/data/.icscap/h.py、/data/.icscap/cap*、/tmp/ml.py、/tmp/rq5.py、/tmp/mk.py、/tmp/rr.py、/tmp/sp_out.txt、/tmp/spray_hits.json、/tmp/pu.txt - 消された記録: Volexity によると、攻撃者は
/home/runtime/dlogs/debuglogと/var/log/audit/audit.logから、直近の記録を選んで消していた。該当する期間に抜けや切り詰めがないか見る。
- 接続元:
- 見張り方（Volexity）:
/dana-na/auth/url_default/welcome.cgiへの大量のリクエストを見る。VPN 機器から社内へ横に移ろうとする動きのような侵入の兆しがある機器は、詳しく調べるよう勧めている。 - Integrity Checker Tool（ICT）は、今回の活動を見つけられなかった（Volexity）。