Ivanti Connect Secureのゼロデイ脆弱性が連鎖悪用され、root権限を奪取される

攻撃者は、Ivanti Connect Secureのゼロデイ脆弱性3件を連鎖させ、ログインせずにroot（ルート）権限でコマンドを実行しました。Ivantiは2件を修正しましたが、3件目はまだ修正されていません。

2026年10月15日3 分で読めます

他の言語で読む:原文（英語）Deutsch日本語Français Español Português

「October 2026 Security Update」と題したIvantiのブログ記事。最終更新は2026年10月13日で、Ivantiのロゴとサイトのメニューの下に表示されています。

数字で見る

zero-day flaws chained to reach root: 3
CVSS score of CVE-2026-104935: 8.6
internet-exposed Connect Secure instances, per Shadowserver: 5,500+
earliest sign of exploitation, per Defused: Oct 1

Ivantiとセキュリティ企業のVolexityは2026年10月13日、攻撃者がIvanti Connect Secureのゼロデイ脆弱性3件を連鎖させ、ログインせずにrootとしてコマンドを実行していたと公表しました。Connect Secureは、社員がリモートで接続できるよう、企業がネットワークの境界に設置するVPNアプライアンスです。Ivantiはこのうち2件を修正しました。この2件は、まとめてCVE-2026-104935として追跡されています。攻撃者をrootに昇格させる3件目には、まだ修正がありません。

攻撃の仕組み

The Hacker Newsの報道によると、Volexityはある顧客のアプライアンスで攻撃を発見しました。このアプライアンスは完全にパッチが適用され、バージョン22.8R2.4を実行していました。Volexityは正体不明の攻撃者をUTA0576として追跡しており、UTA0576が10月3日にこのデバイスの悪用を始めたと述べています。BleepingComputerによると、脅威インテリジェンス企業のDefusedは、10月1日から悪用の最初の兆候を確認していました。

この攻撃チェーンは3つの段階からなります。

認証の回避。 攻撃者はパスワードなしで侵入します。
リモートコード実行。 攻撃者はアプライアンス上でコマンドを実行します。
権限昇格。 それらのコマンドが、すべての権限を持つシステムアカウントであるrootとして実行されます。

最初の2件はCVE-2026-104935に該当し、Ivantiはこれを10点満点中8.6と評価しています。Volexityによると、Ivantiは3件目を「今後数週間のうちに、将来のリリースで」修正する見込みです。

The Hacker Newsによると、侵入後、攻撃者は保存されていた認証情報を盗み、パスワードスプレー攻撃を行いました。盗まれた認証情報には、ドメインのログイン情報も含まれます。iTnewsによると、攻撃者はローカル管理者のパスワードやBitLockerの回復キーも探し、VPN通信から平文の認証情報を取得していました。

影響を受けるバージョン

Rapid7は、影響を受けるバージョンと修正版を次のように挙げています。

影響を受けるバージョン	修正版
22.8R2.4	22.8R2.5
25.1.1.1	25.1.1.2
25.1.2.2	25.1.3.0または25.1.3.1
22.7.x以前	影響なし

Rapid7によると、Ivantiは脆弱性の一部を自社のセキュリティプログラムで見つけ、7月に25.1.3.0で修正していました。攻撃は、Ivantiがその修正を古いバージョンに展開している最中に起きました。IvantiはCyberScoopに対し、この脆弱性は「定例外（アウトオブバンド）リリースの基準を満たしていなかった」と説明しました。そのため、修正は通常のスケジュールで提供されました。

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月13日、この脆弱性を既知の悪用された脆弱性のリストに追加しました。iTnewsによると、連邦政府機関は10月16日までにパッチを適用しなければなりません。

通常のチェックで見逃されるおそれがある理由

攻撃者は、ほとんど痕跡を残しませんでした。Volexityによると、マルウェアもWebシェルも設置していません。その代わりに、コマンドごとにチェーン全体を実行し直し、デバイスのログを改ざんしました。

The Hacker Newsによると、このエクスプロイトはメモリ上でのみコードを変更し、変更した設定を元に戻します。そのため、Ivantiが顧客に実行を勧めているスキャナーであるIntegrity Checker Toolをすり抜けました。CyberScoopによると、CISAはこのツールでは今回の攻撃を検知できない可能性があると警告しており、代わりにネットワークとメモリのフォレンジックを勧めています。

iTnewsによると、Volexityは中程度の確信度で、攻撃者がAIモデルを使ってツールを作ったとみています。動機がスパイ活動ではなく犯罪目的だという点については、Volexityの確信度は低いとしています。

「エッジデバイスは価値の高い最初の足がかりであり、攻撃者が標的のネットワークのさらに奥へ移動することを可能にする場合が多い」と、Volexityのプロフェッショナルサービス担当バイスプレジデントであるSean Koessel氏はCyberScoopに語りました。

おなじみの標的

Ivantiは、今回の攻撃を「実環境での限定的な悪用」と表現しています。何社の顧客が被害を受けたのかは、両社とも明らかにしていません。BleepingComputerによると、インターネットをスキャンしている非営利団体のShadowserverは、オンラインでアクセス可能なConnect Secureアプライアンスを5,500台以上確認しています。

今回が初めてではありません。BleepingComputerによると、2021年11月以降、CISAのリストには36件のIvantiの脆弱性が載っており、そのうち12件はランサムウェアのグループに悪用されました。

開発者にとっての意味

Ivanti Connect Secureを運用している、またはそれに依存しているチームに向けて：

次のメンテナンス期間を待たず、今すぐパッチを当てること。 「影響を受けるバージョンのいずれかを実行している場合、Ivantiは直ちに対応することを推奨します」。Rapid7も、通常のサイクルの外でパッチを適用するよう勧めています。
パッチで終わりだと考えないこと。 3件目の脆弱性はまだ修正されておらず、パッチを当てたデバイスがすでに侵害されている可能性もあります。アップグレード後に、侵害の兆候がないか確認してください。
チェッカーだけを信用しないこと。 Integrity Checker Toolは、この攻撃チェーンを見逃しました。アプライアンスからのネットワーク通信を調べ、可能な場合はメモリフォレンジックを使ってください。
VPNから見えていた情報をローテーションすること。 攻撃者はドメインの認証情報を奪い、VPN通信からパスワードを盗み見ました。サービスアカウントのパスワードをリセットし、アプライアンスを経由した最近のログインを確認してください。
3件目の修正を注視すること。 Ivantiは、今後数週間のうちに提供すると約束しています。それまでは、アプライアンスのログインページにアクセスできる人を制限してください。