Ivanti Connect Secure（ICS）において、3件の脆弱性を連鎖させて認証なしでroot権限のリモートコード実行を可能にする攻撃が確認されました。攻撃者UTA0576は一般的なマルウェア感染にとどまらず、管理者パスワードやBitLocker回復キーの収集を行っています。CISAも悪用を確認してKEVカタログに追加しており、VPN装置を運用する情シス部門は早急なアップデートと侵害調査の実施が必要です。
The Hacker News：Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access
外部に公開しているVPN装置や境界サーバーの侵入リスクが懸念される場合は、弊社のネットワークペネトレーションテストをご検討ください。
この記事のポイント
影響のあるシステム
- Ivanti Connect Secure（ICS）バージョン 25.1.1.2 およびそれ以前のバージョン
- Ivanti Connect Secure（ICS）バージョン 22.8R2.5 およびそれ以前のバージョン
推奨される対策
- ICSを修正済みバージョンである25.1.1.3または22.8R2.6へ速やかにアップデートする
- BitLocker回復キーやActive Directory管理者パスワードの窃取が疑われる痕跡がないか機器および認証ログを調査する
この記事に出てくる専門用語
- Ivanti Connect Secure（ICS）：企業ネットワークへのリモートアクセスを提供するSSL-VPNアプライアンス製品です。今回の攻撃では、本製品の脆弱性を悪用して外部から内部への侵入が行われました。
- CVE-2026-104935：CVSSスコア8.6の認証回避の脆弱性です。攻撃者が装置に侵入する起点として最初に悪用されました。
- CVE-2026-118527：予測可能な識別子生成により、認証された攻撃者がディスク上の特定位置へファイル配置を可能にする脆弱性（CVSS 4.3）です。今回の攻撃チェーンでファイル設置に用いられました。
- CVE-2026-111357：重要機能における認証の欠如により、認証済みローカル攻撃者が権限昇格を行える脆弱性（CVSS 8.8）です。攻撃チェーンの最終段階で最高権限（root）を奪取するために悪用されました。
- KEV（Known Exploited Vulnerabilities）カタログ：米CISAが管理する、実際に悪用が確認された脆弱性の公認リストです。登録された脆弱性は米連邦機関に対応期限が義務付けられます。
3つの脆弱性を連鎖させてroot権限を奪う攻撃の手口
The Hacker Newsの報道によると、脅威アクター「UTA0576」はIvanti Connect Secure（ICS）に存在する3つの欠陥を組み合わせて攻撃を実行しました。起点となったのは、2026年10月13日にCISAのKEVカタログに追加されていた認証回避の脆弱性（CVE-2026-104935、CVSS 8.6）です。
調査を担当したVolexityによると、攻撃者は認証回避に加えて、予測可能な識別子を悪用して任意ファイルを配置する脆弱性（CVE-2026-118527、CVSS 4.3）と、重要機能の認証欠如によるローカル権限昇格の脆弱性（CVE-2026-111357、CVSS 8.8）を連続して悪用しました。これらを連鎖させることで、外部の未認証状態からroot権限でコードを実行する経路を成立させています。
私たち診断側の視点では、単体では危険度がCVSS 4.3と低く見積もられる脆弱性であっても、他の欠陥と組み合わさることで致命的な侵入経路に化ける典型例と捉えています。各脆弱性の単体スコアだけでパッチ適用の優先順位を決める運用の見直しが求められます。
攻撃者UTA0576が収集していた認証情報と機器内部の兆候
The Hacker Newsの報道では、今回の攻撃者UTA0576の行動は一般的な不正アクセス事案とは異なる特徴を示していました。Webシェルやマルウェアのばらまき設置を行うのではなく、侵入後に資格情報の抽出や限定的なActive Directoryメタデータの偵察を実行していました。
さらに攻撃者は、ホスト内部の偵察にとどまらず、管理者パスワードや端末のBitLocker回復キーの探索を行っていたことが記録されています。これは単に機器を乗っ取るだけでなく、ドメイン環境全体の完全な掌握や暗号化された端末の復号を視野に入れた持続的な標的型攻撃の動きです。
ペネトレーションテストの現場でも、VPN機器を突破した攻撃者が真っ先に狙うのは特権アカウントの認証情報です。VPNアプライアンスが侵害された場合、機器単体の初期化だけでなく、そこで扱われていた全認証情報のリセットを同時に進める方針をとる必要があります。
Ivanti Connect Secureの修正済みバージョンとパッチ適用の期限
Ivantiの発表によると、同社は当初CVE-2026-104935の修正を優先してリリースしていましたが、連鎖攻撃に利用されたローカル権限昇格の欠陥を含む包括的な修正パッチを公開しました。修正が適用されたバージョンは、ICS 25.1.1.3およびICS 22.8R2.6です。
影響を受けるのは、ICS 25.1.1.2以前のバージョン、およびICS 22.8R2.5以前のバージョンです。CISAの指令において、米連邦文民機関（FCEB）にはCVE-2026-111357の適用期限を2026年11月2日、CVE-2026-118527の適用期限を2026年11月13日とする期日が設定されました。
悪用が実際に確認されている以上、国内の利用組織においてもこれらの期日を待たずに即時適用するスケジュールを組むことが不可欠です。パッチ適用作業の前に現在の構成バックアップを確実に取得し、メンテナンスウィンドウを確保したうえで更新作業へ進んでください。
出典：CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
ICS利用組織がパッチ適用前後に実施すべき侵害確認手順
脆弱性が悪用された環境では、単にパッチを当てるだけでは攻撃者が残した不正な足場を排除できません。CISAの運用ガイドラインでも、パッチ適用前に攻撃者による侵害がすでに発生していなかったかを確認することが求められています。
管理者がまず確認すべき具体的なアクションは次の通りです。
- 稼働中のICSファームウェアが25.1.1.2以前または22.8R2.5以前であるかを確認する
- 整合性チェッカーツール【要確認：一次情報に記載なし】を実行し、システムファイルに変更が加えられていないか検査する
- ICS内部の認証ログおよびActive Directoryのログイン履歴を突き合わせ、不審な時間帯の管理者権限アクセスを特定する
- 侵害の痕跡が発見された場合は、ICSに保存されていたパスワードやActive Directory管理者アカウントの認証情報を即座に更新する
私たち攻撃診断チームの経験上、境界機器が突破された事案では攻撃者が認証情報を持ち去った後に別経路から再侵入する事例が後を絶ちません。機器のアップデートと並行して、BitLocker回復キーの再生成やドメイン内アカウントの棚卸しを速やかに完了させてください。
出典：CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
参考文献・記事一覧
- The Hacker News「Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access」
- CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
公開機器を踏み台にした内部ネットワークへの侵入リスクを洗い出すため、専門家によるペネトレーションテストの活用をお勧めします。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
