米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Ivanti Connect Secure（ICS）に存在するゼロデイ脆弱性「CVE-2026-104935」が悪用されているとして、最新バージョンへの早急な更新を呼びかけています。本脆弱性は認証を経ずにリモートから任意のコマンドを実行できるもので、ハニーポットでも多数の悪用試行が観測されており、侵害が疑われる環境でのフォレンジック調査や初期化が強く求められています。
この記事のポイント
影響のあるシステム
- Ivanti Connect Secure（ICS）バージョン25.1.1.1およびそれ以前
- Ivanti Connect Secure（ICS）バージョン25.1.2.2およびそれ以前
- Ivanti Connect Secure（ICS）バージョン22.8R2.4およびそれ以前（なお、バージョン22.8は2027年1月31日にサポート終了予定）
推奨される対策
- Ivanti Connect Secureを最新の安全なバージョンへ直ちにアップデートする
- メモリ上で攻撃コマンドが実行され標準ツールで検知できない場合があるため、ネットワークおよびメモリのフォレンジック調査を実施する
- 侵害が疑われる場合は設定のバックアップを取得後、機器の工場出荷時初期化（仮想環境は再構築）を実施して最新版へ更新し、設定を復元する
- ドメイン、管理者、ローカルアカウントのパスワードをリセットし、証明書の失効・再発行、APIキーやライセンス認証情報の再設定を行う
専門用語
CVE-2026-104935：Ivanti Connect Secureに存在する認証回避の脆弱性。悪用されると、認証されていない遠隔の第三者が任意のコマンドを実行し、認証情報の窃取やデータ持ち出しを行う恐れがあります。
KEVカタログ（Known Exploited Vulnerabilities Catalog）：米CISAが管理する、実際に悪用が確認された脆弱性のデータベース。米連邦行政機関に対しては指定期限内の確実な修正が義務付けられています。
ハニーポット（Honeypot）：攻撃者の手法や侵入の動きを監視・収集するために意図的に設置された、おとりのシステムやネットワーク環境のことです。
悪用が確認されたゼロデイ脆弱性「CVE-2026-104935」の危険性
Ivanti Connect Secure（ICS）において、遠隔から認証を経ずに悪用可能なゼロデイ脆弱性「CVE-2026-104935」が報告されています。CVSSスコアは8.6と評価されており、深刻な影響を及ぼすセキュリティ上の欠陥として警戒されています。攻撃者はこの脆弱性を悪用することで、本来必要な認証を回避して機器上で任意のコマンドを実行することが可能となります。
米サイバーセキュリティ・インフラセキュリティ庁（CISA）によると、脅威アクターはすでに本脆弱性を悪用して、機器からの認証情報の窃取や外部へのデータ持ち出しを行っていることが確認されています。この事態を受け、CISAは2026年10月13日に同脆弱性を悪用が確認された脆弱性カタログ（KEV）へ追加し、米国の連邦民間行政機関（FCEB）に対して2026年10月16日までの確実な対応を指示しました。
影響を受ける対象は、ICSバージョン25.1.1.1以前、25.1.2.2以前、および22.8R2.4以前のシステムです。なお、バージョン22.8については2027年1月31日に製品寿命（EOL）を迎えることが示されており、利用企業は修正対応とあわせて今後の長期的な運用計画を見直すことも必要とされています。
参考：CISA「CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure | CISA」
観測された攻撃手口と脅威アクターによる侵入の兆候
本脆弱性に対する悪用活動はすでに広範囲で確認されています。セキュリティ企業のPrevidianが設置したハニーポットでは、2026年10月14日時点で105件の悪用試行が観測されました。これらの試行はシンガポールおよび米国に位置する50件の固有IPアドレスから発信されていたと報告されています。
観測された手口の詳細として、攻撃者は「X-DSCGI-PATH」ヘッダーを利用して内部のCGIハンドラーにアクセスし、ZIPファイルに偽装したPerlスクリプトをアップロードしていました。このスクリプトはリモートコード実行が成功したかどうかを確認するための固有の識別子を返す仕組みになっており、侵入の足がかりを探る偵察やテスト目的の攻撃が活発化していることが分かっています。
また、セキュリティ企業のVolexityは、2026年10月3日の時点で「UTA0576」と呼ばれる未文書化の脅威アクターによる悪用を初観測しました。この脅威アクターは権限昇格の脆弱性と組み合わせてroot権限でのコード実行を達成し、VPN機器内の認証情報抽出、Active Directoryのメタデータ持ち出し、Kerberosツールを用いた攻撃、管理者パスワードやBitLocker回復キーの探索など、多岐にわたる侵害後の活動を行っていたと報告されています。
CISAが推奨する侵害調査とインシデント復旧手順
CISAはIvanti Connect Secureの運用組織に対し、直ちに最新バージョンへアップデートすることを強く促しています。しかし、すでに攻撃が行われていた場合、単純なパッチ適用だけでは脅威を完全に排除できない点に注意が必要です。Ivantiの完全性検査ツール（Integrity Checker Tool）は、攻撃者のコマンドがメモリ上で実行された場合には検知できない可能性があるため、侵害の有無を判断するにはネットワークおよびメモリのフォレンジック調査を実施する必要があります。
万が一侵害の兆候や疑いが見つかった場合、CISAは以下の手順に従った復旧措置を推奨しています。
- 機器の設定情報のバックアップを作成する
- 機器の工場出荷時初期化（ファクトリーリセット）を実施し、最新バージョンへアップグレードする（クラウドおよび仮想システムの場合は仮想インスタンスを再構築して最新版に更新する）
- 最初に作成したバックアップから機器の設定を復元する
- ドメイン、管理者、ローカルアカウントを含むすべてのアカウントのパスワードをリセットする
- 保管されていた証明書の失効と再発行を行い、APIキーやライセンスサーバーの認証情報を再設定する
攻撃者はログの改ざんや一時ファイルの削除によって活動痕跡を隠蔽する傾向が確認されているため、インシデント対応においては慎重かつ徹底的な初期化とアカウント情報の刷新を行うことが不可欠です。
参考：CISA「CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure | CISA」
参考文献・記事一覧
- The Hacker News「CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts」
- CISA「CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure | CISA」
- CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
