IvantiのVPN製品に3件のゼロデイ脆弱性　未認証でroot権限奪取の恐れ、パッチ対応は一部にとどまる

要点

• VPN機器「Ivanti Connect Secure」において、3件のゼロデイ脆弱性を連鎖させて未認証でroot権限を奪取するサイバー攻撃が確認された。

• 開発元のIvantiは最初の2件を修正するパッチを公開し、対象バージョンの利用者に対し直ちに対応するよう呼びかけている。

• 3件目となる権限昇格の脆弱性に対する修正パッチは未提供であり、今後数週間以内のリリースで提供される予定となっている。

• 攻撃者はメモリ上でのコード改ざんにより公式の整合性検査ツールを回避しており、侵害の確認には詳細なフォレンジック調査を要する。

• 米セキュリティ企業のVolexityは2026年10月13日、IvantiのVPN機器「Ivanti Connect Secure」に存在する3件のゼロデイ脆弱性（修正パッチが未提供の欠陥）が悪用され、外部から未認証で最高管理者権限（root権限）を奪取される攻撃を確認したと公表した。Ivantiも同日、実際の環境で限定的な悪用を確認したと発表し、修正パッチを公開した脆弱性について即時の適用を求めている。しかし、連鎖に用いられた脆弱性のうち1件は修正パッチの提供が完了しておらず、完全な解消には至っていない状況だという。

3件の欠陥を組み合わせた攻撃チェーンの構造

Volexityの報告によると、攻撃者はログイン認証を経ることなく遠隔から命令を実行し、最終的に機器のroot権限を掌握する一連の攻撃チェーンを構築していた。

悪用された最初の2件は、ログイン処理を不正に迂回する認証バイパスと、遠隔から任意のプログラムを実行させるリモートコード実行の脆弱性だ。これらは「CVE-2026-104935」としてまとめられており、組み合わせることで機器内のWebサービス権限（cgi-server）でのコード実行が可能になる。攻撃者はさらに3件目となる権限昇格（より上位の権限を不正に取得する欠陥）の脆弱性を連鎖させ、機器の完全な制御が可能なroot権限へと引き上げていた。

IvantiはCVE-2026-104935の深刻度について、CVSS（共通脆弱性評価システム）スコアで10点満点中8.6と評価している。また、米サイバーセキュリティ・インフラセキュリティ庁（CISA）も、実際の悪用が進行中（active）であり、技術的影響は完全な侵害を意味する「total」であると登録している。

侵入事例で観測された攻撃手口とツールの回避

今回の事案は、Volexityが顧客環境の機器（当時最新パッチが適用されていたバージョン22.8R2.4）を調査する中で判明した。「UTA0576」として追跡されている攻撃者は、2026年10月3日から悪用を開始していたという。Volexityは確信度は低いとしながらも、攻撃者の動機は国家主導のスパイ活動ではなく金銭目的の犯罪であると推測している。

攻撃者は機器内に保存されていたLDAPドメイン認証情報などを窃取し、Active Directory内の探索や、少数のパスワードを多数のアカウントに試行するパスワードスプレー攻撃を実行していた。

攻撃手法の特徴として、高いステルス性が挙げられている。機器上にはバックドア（不正侵入用の裏口）やWebシェルを残さず、コマンドを実行するたびに攻撃チェーン全体を再実行していた。また、ライブラリの改ざんをメモリ上でのみ行い、設定変更を即座に元に戻していたため、Ivanti公式の検査ツール「Integrity Checker Tool」による検知をすり抜けていたという。

影響を受けるバージョンとパッチ提供の現状

Ivantiのセキュリティアドバイザリによると、影響を受けるのはバージョン「25.1.3.0未満」のConnect Secureだ。一方で「22.7R2.14以前」や「22.8R2.5」「25.1.3.0」「25.1.3.1」は影響を受けないと記載されている（バージョン25.1.3.0は2026年7月にリリース済み）。

現在提供されている修正プログラムは、最初の2件（CVE-2026-104935）のみに対応している。3件目の権限昇格脆弱性のパッチは今後数週間以内に行われる将来のリリースで提供される予定とされており、先行パッチを適用した環境において、この権限昇格の欠陥がどのようなリスクをもたらすかについては言及されていない。

また、即座にバージョンアップを実施できない顧客向けの一時的な回避策は示されておらず、パッチ適用によってすでに侵入した攻撃者のアクセス権が排除されるかも不明だとしている。なお、被害を受けた組織の総数についてIvantiとVolexityの双方は公表していない。

侵害の確認指標と他製品における脆弱性修正

公式ツールによる検知が困難であることから、Volexityは侵害の有無を確認するにはネットワークやメモリを対象とした詳細なフォレンジック調査（痕跡の解析）が必要であると指摘している。同社が調査した事案では、「/dana-na/auth/url_default/welcome.cgi」に対する大量のリクエストや、値が一致しない「X-DSCGI-PATH」ヘッダー、「/data/.icscap/」ディレクトリ、特定のIPアドレス（108.165.147[.]64）といった痕跡が特定された。

なおIvantiは同日、別製品である「Xtraction」および「Neurons Patch for Intune」の脆弱性修正も公表した。Xtractionではバージョン2026.4未満に存在する「CVE-2026-106042」が、Neurons Patch for Intuneでは「CVE-2026-109412」が対象となっている。これらはCVSSスコア9.9と極めて高い深刻度を持つが、現時点で実際の悪用は確認されていないとしている。