Ivanti製品にゼロデイ脆弱性、米CISAが緊急パッチ適用を要請　ハニーポットで105件の攻撃試行も検知

要点

• 米CISAがIvanti Connect Secure（ICS）の深刻なゼロデイ脆弱性「CVE-2026-104935」を受け、直ちに最新版へ更新するよう要請した。

• 認証を経ずに遠隔から任意のコマンドを実行できる欠陥で、連邦機関には2026年10月16日までの修正適用が義務付けられた。

• セキュリティ企業Previdianのハニーポットでは105件の攻撃試行が検知され、コード実行の成否を調べる事前偵察活動が確認された。

• セキュリティ企業Volexityによると、金銭目的の脅威アクター「UTA0576」がマルウェアを残さずログ改ざんで検知を逃れる高度な攻撃を展開していた。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月13日、IvantiのVPN機器「Ivanti Connect Secure（ICS）」に存在するゼロデイ脆弱性が悪用されているとして、利用組織に緊急アップデートを要請した。この脆弱性は認証を経ずに遠隔から任意のコマンドを実行できる深刻な欠陥であり、すでに認証情報の窃取やデータ流出が確認されているという。複数のセキュリティ企業からも、おとりシステムへの攻撃や痕跡を隠蔽する攻撃活動が相次いで報告されている。

遠隔操作を許す認証バイパス脆弱性「CVE-2026-104935」と米当局の動き

今回問題となっている脆弱性は「CVE-2026-104935」（CVSSスコア8.6）で、認証バイパス（正規の認証を経ずに内部侵入を許す欠陥）に分類される。影響を受けるのはICSのバージョン25.1.1.1以前、25.1.2.2以前、22.8R2.4以前の環境だ。

CISAによると、脅威アクターはこの脆弱性を突いて認証情報の窃取やデータ流出を行っているという。同庁は本脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加し、米連邦文民行政府（FCEB）機関に対して2026年10月16日までのパッチ適用を義務付けた。利用組織に対してもIvantiが提供する移行ガイドを確認の上で速やかに対処するよう求めている。

侵害が疑われる組織への推奨復旧手順

CISAは、機器が侵害されたかを判断するにはネットワークやメモリのフォレンジック調査（不正アクセスの証跡を調べる技術的調査）が必要だと指摘する。その上で、侵害が確認された組織には単なる修正適用にとどまらない抜本的な対応手順を示している。

具体的には、設定バックアップの取得後、物理機器は工場出荷状態へ初期化して最新版へ更新し、仮想環境ではインスタンスを再構築して最新版に更新した後に設定を復元する手順が推奨されている。さらに、全アカウントのパスワード再設定、保存された証明書の失効と再発行、APIキーやライセンスサーバー認証情報のリセットを求めている。

おとりシステムで105件の試行を観測――Previdianの分析

一方、セキュリティ企業Previdianは2026年10月14日時点で、同社のハニーポット（攻撃を誘致して手口を調べるおとりシステム）宛てに105件の攻撃試行を観測したと公表した。攻撃元はシンガポールや米国にある50の一意なIPアドレス（216.73.160[.]59など）だという。

同社CEOのRyan Dewhurst氏によると、攻撃者はHTTPヘッダー「X-DSCGI-PATH」を使い、ZIPファイルに偽装したPerlスクリプトを内部CGIに送信してコード実行の成否を試している。同氏は、現状は偵察段階だが数時間から数日以内に本格的な兵器化攻撃が続く可能性が高いと警告している。

痕跡を消して再侵入を繰り返す「UTA0576」――Volexityの報告

セキュリティ企業Volexityの調査では、公表前の10月3日時点で「UTA0576」と呼ばれる脅威アクターによる悪用が確認されていた。このアクターはスパイではなく金銭目的の犯罪動機で動いていると評価されている。

UTA0576は本脆弱性と権限昇格を組み合わせ、認証不要で最高権限（root）のコマンド実行を達成していた。侵入後はICS上の認証情報やActive Directory（組織のIDや資源を一元管理する仕組み）のメタデータを持ち出し、パスワード抽出ツールを展開していた。

同社リサーチャーによると、UTA0576はマルウェアやWebシェル（遠隔操作用の不正プログラム）を残さず、コマンド実行のたびに脆弱性を再悪用していた。ログ改ざんや一時ファイルの削除を徹底し、Ivantiの整合性検査ツールの検知をすり抜けていたという。

補足

なお、脅威インテリジェンス企業のDefused Cyberも公開前のおとり環境での悪用を確認している。またCISAは、対象のICS 22.8系列が2027年1月31日にサポート終了（EOL）を迎える点にも注意を促している。