Ivanti Connect SecureのCVE-2026-104935がKEV入り、認証回避ゼロデイの影響版と侵害調査

2026年10月13日、IvantiはリモートアクセスVPN製品Ivanti Connect Secure(ICS)の脆弱性CVE-2026-104935を公表し、同日CISAがKnown Exploited Vulnerabilities Catalog(KEVカタログ)に追加しました。認証を回避され、遠隔の未認証の攻撃者に任意のコマンドを実行されるおそれがある欠陥で、公表の時点ですでに悪用が確認されています。

悪用を見つけたのは、顧客のインシデントを調べていたVolexityです。同社によると、攻撃者は3件のゼロデイを連鎖させ、侵害の時点で提供されていた修正をすべて適用済みだった22.8R2.4のICSで、root権限のコード実行に至りました。3件のうち2件がCVE-2026-104935として修正され、残る権限昇格の1件は執筆時点で修正版が出ていません。侵入後には、ICSに保存されたドメインの資格情報が盗まれ、Active Directory(AD)からLAPSのパスワードやBitLockerの回復キーが探されていました。この記事は、CISA、CVEレコード、NVD、Volexityの一次情報で確認できた範囲で、影響を受ける版と管理者の対応を整理します。記述は執筆時点(2026年10月14日)の情報に基づき、攻撃の再現手順は扱いません。

KEVカタログとCVEレコードに記録された内容#

CISAが配布するKEVカタログのJSONフィード(執筆時点で確認したカタログバージョン2026.10.13)と、IvantiがCNAとして登録したCVEレコードの値です。

KEVのshortDescriptionは「Ivanti Connect Secure contains an authentication bypass by spoofing vulnerability that allows a remote unauthenticated attacker to execute arbitrary commands.」です。requiredActionは、ベンダーの指示に沿った対処に加えて、BOD 26-04の指針とCISAの「Forensics Triage Requirements」に従うよう求めています。

期限は追加から3日後です。forensicTriageがYesであることは、パッチを当てるだけでなく、適用前に侵害されていなかったかを確かめる対象として扱われていることを示します。この期限と確認の義務を負うのは米国連邦政府の行政機関で、日本の民間組織に義務はありません。ただしICSはインターネットに公開して使う機器で、悪用の確認と自動化のしやすさ(Automatable: yes)がそろっているため、民間でも最優先で扱う対象です。

CVSSの機密性への影響はHigh、完全性と可用性への影響はLowと評価されています。一方でVolexityはroot権限のコード実行まで確認しており、CISAのSSVC評価も技術的な影響をtotalとしています。基本値の8.6だけを見て優先度を下げると、実際の被害の大きさを見誤ります。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

影響を受ける版と修正版#

CISAのアラートが挙げる影響を受ける版と、CVEレコードで影響なし(unaffected)とされる版を系列ごとに並べます。

CVEレコードの説明文は「ICS before version 25.1.3.0」を影響範囲としています。25.1.1系と25.1.2系については、CVEレコードの影響なしの一覧に該当する版が載っていません。一部の報道は25.1.1.2も修正版として挙げていますが、執筆時点で一次情報から確かめられたのは、25.1.3.0以降と22.8R2.5が影響を受けないことまでです。25系を使っている環境は25.1.3.0以降が更新先の候補になりますが、仮想アプライアンスを含め、機種によって適用できる版が異なる場合があります。Ivantiのアドバイザリと互換性ガイドで、自社の機種に適用できる修正版を確かめてから更新先を決めてください。

22.8系は22.8R2.5で修正されていますが、CISAのアラートによると22.8系は2027年1月31日にサポートが終わります。今回22.8R2.5へ上げる場合も、25系への移行計画を並行して立てておきます。25系への移行には、Ivantiの互換性ガイドで機種と機能の対応を確認する必要があります。

Volexityは、侵害されたICSが当時の修正をすべて適用済み(fully patched)の22.8R2.4(Build 19097)だったと報告しています。22.8系の更新を欠かさず当てていても防げなかったゼロデイであり、更新の遅れが原因ではありません。

Volexityが報告した侵害の時系列#

Volexityの報告とCISA、CVEレコードで確認できた日付を並べます。

攻撃者は痕跡を消すためにログを削除しており、Volexityはメモリとディスクのイメージ、コアダンプの解析から攻撃の流れを組み立て直したと説明しています。Volexityは攻撃者をUTA0576と名付け、既知のグループとは別に追跡しています。動機については犯罪目的と見ていますが確度は低いとし、攻撃の開発と侵入後の活動に大規模言語モデル(LLM)を使っている可能性を中程度の確度で示しています。

あわせて読みたい

攻撃者が生成AIを道具に使う手口と怪しい兆候の見分け方

3件のゼロデイの連鎖と修正の状況#

Volexityによると、攻撃は3件の欠陥をつないで成り立っていました。

外部から入り込む入口にあたる1と2は、今回の修正版で塞がれます。Volexityの報告では、3の権限昇格は1と2で機器上のコード実行を得た後に使われており、単独で外部から悪用できるとは説明されていません。ただし、更新前に侵入されていた場合は、攻撃者がすでにrootを得ている可能性を考えて調べる必要があります。3の修正版が出たら、改めて適用します。

ICSのような境界の機器は、インターネットに公開されていることが前提で、侵入されると社内のディレクトリや認証基盤への足場になります。この構図はMITRE ATT&CKでは公開アプリケーションの悪用(T1190)にあたります。

あわせて読みたい

境界に置くエッジ機器の脆弱性が侵入口として狙われる理由

侵入後に攻撃者が行ったこと#

Volexityが確認した侵入後の行動は、ICSを踏み台にADの資格情報を集め、横展開の準備をするものでした。

• ICSに保存されていた、LDAP連携用のドメインの資格情報を盗む
• 独自のツールでADを検索し、LAPSで管理されたローカル管理者パスワードとBitLockerの回復キーを探す
• 独自のKerberosツールで資格情報が有効かを試し、パスワードスプレー(T1110.003)を行う
• LDAPの通信をパケットキャプチャし、認証ログから有効なユーザー名を拾う
• DNSや社内ホストを調べてネットワークの構成を把握する
• ログの改ざん、一時ファイルの削除、ツール名の偽装で痕跡を隠す(T1070)

Volexityによると、機器にバックドアやWebシェルは置かれず、コマンドとその結果は攻撃チェーンのHTTPSの要求と応答で受け渡されていました。攻撃者は操作のたびに脆弱性を突き直していたことになり、修正版の適用で入口を塞ぐ意味はここにもあります。Volexityは、攻撃は最終的な目的が見える前に検知され止められたとしたうえで、横展開とネットワーク全体の侵害に向けた準備だったと判断しています。

LAPSのパスワードとBitLockerの回復キーは、どちらもADに保存でき、読める権限があれば端末の管理者権限やディスクの中身に直結する情報です。Microsoftの説明では、AD DSに保存されたBitLockerの回復情報を既定で読めるのはDomain Adminsだけで、ほかの主体には委任して読ませる形になります。ICSが使うLDAPのサービスアカウントに、こうした機密属性を読む権限が委任されていないかを確認してください。

あわせて読みたい

BitLocker回復キーとは何か、48桁の番号の探し方と回復画面が出る原因

管理者が進める対応#

修正版の適用だけで終わらせず、侵害の確認と資格情報の入れ替えまでを一続きの作業として進めます。

あわせて読みたい

Ivanti SentryのCVE-2026-10520が示す、境界アプライアンスの未認証RCEへの向き合い方

侵害が疑われる場合の復旧と資格情報の入れ替え#

CISAは、侵害が疑われる場合の手順として、設定をバックアップし、工場出荷状態にリセットして最新版へ上げ、設定を戻したうえで、すべてのアカウントのパスワード、証明書、APIキー、ライセンスサーバーの資格情報をリセットするよう勧めています。Ivantiの復旧手順(Recovery Steps)と設定のバックアップと復元の手順書も、この流れの参照先として示されています。

Volexityが確認した侵入後の行動を踏まえると、入れ替えの対象はICSの中だけにとどまりません。

ICSのログは改ざんされている可能性があるため、どの資格情報が読まれたかをICSのログだけで判断しないでください。範囲を絞りきれない場合は、ICSが触れられた資格情報はすべて漏れたものとみなして入れ替えます。日本国内でインシデントの相談先が必要な場合は、JPCERT/CCのインシデント対応依頼の窓口を使えます。執筆時点で、JPCERT/CCからこの脆弱性についての注意喚起は確認できませんでした。

あわせて読みたい

インシデント発生時の初動対応。最初の1時間で何をするか

まとめ#

CVE-2026-104935は、インターネットに公開されたICSで、認証を経ずにコマンドを実行される欠陥です。Volexityが確認した攻撃では、当時の修正をすべて適用済みの22.8R2.4でも侵入され、ICSに保存された資格情報を起点にADのLAPSパスワードやBitLockerの回復キーまで探されていました。自社の機種に適用できる修正版(25系は25.1.3.0以降、22.8系は22.8R2.5)へ直ちに更新してください。侵害の有無は、整合性チェックツールの結果やログに異常がないことだけでは否定できません。ICSの外側のログを調査の材料にし、疑わしい場合はネットワークとメモリのフォレンジックで確かめます。侵害が否定できない場合は、機器の再構築に加えて、ICSが触れられた資格情報をAD側まで含めて入れ替えます。ログやメモリの調査は、自組織が管理する機器に限って行ってください。

この記事は2026年10月14日時点の情報に基づいています。連鎖の3件目にあたる権限昇格の修正版や、25.1.1系と25.1.2系の修正版の扱いは今後更新される可能性があるため、Ivantiのアドバイザリ、CISAのKEVカタログ、Volexityの報告で最新の情報を確認してください。