Ivanti Connect Secureのゼロデイ 脆弱性「CVE-2026-104935」がサイバー攻撃に悪用

Ivantiは2026年10月13日、企業向けリモートアクセス製品「Ivanti Connect Secure（ICS）」の脆弱性「CVE-2026-104935」について、実際の攻撃での悪用を確認したと発表しました。認証を経ずに任意のコマンドを実行できる問題で、CVSS v3.1の深刻度は8.6（High）です。Ivantiは影響を受けるバージョンの利用者に対し、修正版への速やかな更新と「Integrity Checker Tool（ICT）」による確認を求めています。

脆弱性を発見した米セキュリティ企業Volexityは、少なくとも10月3日から攻撃者「UTA0576」が複数のゼロデイ脆弱性を組み合わせ、当時最新の更新を適用したVPN機器を侵害していたと報告しました。攻撃では機器上でroot権限が奪われ、Active Directory（AD）の情報や認証情報の窃取、BitLocker回復キーやLAPSパスワードの探索、内部ネットワークの調査などが確認されています。

この攻撃の特徴は、通常のWebシェルや持続的なバックドアを置かず、コマンドを実行するたびに攻撃を繰り返し、ログを改ざんして痕跡を減らしていた点です。Volexityは、今回確認した手法ではIvantiの整合性検査で侵害を検知できない場合があると説明しています。

Ivanti Connect Secureゼロデイ攻撃のサマリー

• 公表日：2026年10月13日（米国時間）
• 影響製品：Ivanti Connect Secure（旧Pulse Connect Secure）
• CVE番号：CVE-2026-104935
• 深刻度：CVSS v3.1 8.6（High）、CWE-290（認証のなりすましによるバイパス）
• 脆弱性の内容：認証なしのリモート攻撃者による任意コマンド実行が可能
• 悪用状況：Ivantiが限定的な顧客環境で実際の悪用を確認
• 攻撃確認：Volexityは10月3日以降のUTA0576による攻撃を特定。調査開始は10月5日
• 攻撃手法：認証バイパス、リモートコード実行、別の権限昇格の脆弱性を連鎖的に悪用
• 侵害後の活動：AD情報の持ち出し、LDAP認証情報の取得、LAPSパスワード・BitLocker回復キーの探索、ログ改ざん
• 対応：製品系列に応じた修正版へ更新し、過去の侵害有無を調査
• CISA：2026年10月13日に既知の悪用された脆弱性（KEV）に追加。米連邦政府機関の対応期限は10月16日

影響するバージョンと修正版

IvantiのCVE登録情報とセキュリティ企業Rapid7の10月13日付の整理によると、CVE-2026-104935の主な影響系列と修正版は以下のとおりです。同じ「25.1」でも機種や系列によって適用先が異なるため、保守契約先・Ivantiの製品別アドバイザリで更新経路を確認してください。

CVEの登録元であるIvantiは、22.7R2.14以前には今回の脆弱性が存在しないと明記しています。バージョン番号だけを単純に大小比較し、すべての旧版が影響を受けると判断しないよう注意が必要です。

Ivantiは修正プログラムの適用と並行して、ICTの定期実行、アクセス制御、ネットワーク監視、ログ分析、機器の整合性確認を推奨しています。更新が完了しても、修正前に侵害されていなかったことの証明にはなりません。

攻撃者UTA0576、更新済みVPN機器に侵入しroot権限を取得

Volexityは10月5日、監視対象企業で不審な活動を調査し、Ivanti Connect Secureを侵入口と特定しました。侵害された機器は当時の最新バージョンである22.8R2.4（Build 19097）を使用していました。

調査では、認証を回避して本来利用できない処理へアクセスする問題と、その処理を介してコードを実行する問題が確認されました。攻撃者はさらに別の権限昇格の弱点を悪用し、機器の最高権限であるrootを取得しています。Ivantiは認証バイパスとコード実行の部分をCVE-2026-104935として扱い、10月13日に修正を提供しました。

一方、root権限の取得に使われた別の権限昇格の脆弱性について、Volexityは10月13日時点でIvantiが今後のリリースに向けて修正を進めていると説明しています。したがって「攻撃に使われた3つの弱点すべてに同日パッチが出た」という理解は正確ではありません。今回の初期侵入を防ぐ修正版の適用と、侵害済み環境に対する調査を別々に実施する必要があります。

Active Directoryへ侵入、LAPSパスワードとBitLocker回復キーを探索

Volexityのフォレンジック調査では、攻撃者がVPN機器内に保存されていたLDAP接続用の認証情報などを取得し、その権限を使って内部のActive Directoryへ照会したことが判明しています。

攻撃者はADの一部メタデータを取得・持ち出し、独自のLDAP検索ツールを使用してWindows LAPSのローカル管理者パスワードやBitLocker回復キー、パスワードを保持する属性などを検索していました。また、認証ログからユーザー名を調べ、パスワードスプレー攻撃や内部DNSの調査なども行っています。

これらは単にVPN装置が乗っ取られたという問題にとどまりません。接続先のディレクトリサービスの権限設定によっては、機器の侵害が社内アカウントや端末復旧情報の保護にまで波及し得ます。ただし、Volexityが確認した探索対象すべてについて、実際に秘密情報の取得に成功したと断定できるわけではありません。

ログ削除とメモリ上での処理―ICT検査だけでは見逃す恐れ

今回の攻撃では、侵入後の操作に関するログが選択的に削除され、権限昇格に伴う変更も元に戻す処理が組み込まれていました。攻撃者は操作のたびに侵入手順を再実行する方式を採り、Volexityは当該機器上に継続利用するWebシェルやバックドアを確認していません。

IvantiのIntegrity Checker Toolは主にディスク上の想定外の変更を確認しますが、Volexityによると今回の権限昇格はメモリ上の変更を利用し、設定データを復元するため、同ツールでは改ざんを検出できませんでした。ICTで異常がないことだけを理由に、過去の侵害がなかったと判断しないことが必要です。

Volexityは、侵害が疑われる場合にメモリとディスクのフォレンジック調査、VPN機器と周辺機器の通信ログ確認、内部システムでの不審な認証や横展開の調査を推奨しています。調査用の侵害指標（IOC）も公開しており、攻撃に使用されたインフラとして 108.165.147[.]64 を挙げています。このIPアドレスは調査で特定された一例であり、接続履歴がないことだけで安全性は証明できません。

CISAのKEVへ追加、米連邦政府機関の対応期限は10月16日

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-104935を10月13日に既知の悪用された脆弱性（KEV）へ登録しました。連邦政府機関に対する修正期限は10月16日です。これは米連邦機関に適用される期限であり、日本の一般企業に同じ法的期限が課されるという意味ではありません。

本件ではCVSS 8.6という数値よりも、実際の悪用、インターネットに接続されるVPN境界機器、認証なしでのコマンド実行という条件を優先して対応を判断する必要があります。評価軸やパッチの優先順位付けについては、セキュリティ対策Labの脆弱性管理の運用プロセスでも整理しています。

過去にもIvanti VPNのゼロデイを起点とした侵害

Ivanti Connect Secureでは2025年1月にもCVE-2025-0282の悪用が報告され、攻撃者がWebシェルやバックドアなどを使用した事例が確認されています。セキュリティ対策Labでは2025年のIvanti VPNゼロデイ攻撃と、同問題が英国のドメインレジストリNominetに及ぼした影響を報じています。

一方、今回Volexityが確認した攻撃では、Webシェルを残さず繰り返し脆弱性を悪用し、痕跡を消す方式が用いられました。過去に確認されたマルウェア名やWebシェルだけを検出指標として使う運用では、今回の活動を十分に確認できない可能性があります。

また、米国ではインターネット公開型VPNの継続利用に関して、旧式VPNからゼロトラスト型アクセスへの移行を求める政策提言も出ています。直ちにすべてのVPNを廃止すべきということではありませんが、長期の対策として外部公開範囲と認証基盤の設計を見直す材料になります。

情報システム・CSIRTが直ちに確認する事項

1. 社内・子会社・委託先で使用するIvanti Connect Secureを洗い出し、稼働バージョン、機種、待機系を含む全ノードの一覧を確定する。
2. 該当する系列の修正版へ更新する。移行経路や機器互換性をIvantiの製品別アドバイザリで確認し、更新後のバージョンまで記録する。
3. 10月3日以降を中心に、可能な範囲で過去の通信記録、管理ログ、VPN認証履歴、周辺のファイアウォール・プロキシログを保全し、VolexityのIOCと照合する。異常なしと断定できない場合は専門調査を検討する。
4. 機器がAD／LDAPへ接続するサービスアカウントの権限を点検する。認証情報の取得が疑われる場合は影響範囲を調査して資格情報を更新し、LAPSやBitLocker回復情報を参照できる権限も確認する。
5. 機器から内部ネットワークへの想定外の通信、ADの大量検索、管理者権限の利用、パスワードスプレーの痕跡を調べる。
6. 侵害が疑われる機器は単にパッチを適用するだけでなく、Ivantiの復旧手順とフォレンジック調査に従って再構築・資格情報の保護を判断する。

Volexityは、攻撃者UTA0576が大規模な侵害を準備していた可能性を高く評価していますが、最終的な目的までは特定していません。また、攻撃用ツールの開発に大規模言語モデル（LLM）が使われた可能性を「中程度の確信度」で指摘しており、AI利用が確定したという意味ではありません。

出典

• October 2026 Security Update — Ivanti（2026年10月13日）
• Security Advisory: Ivanti Connect Secure CVE-2026-104935 — Ivanti
• CVE-2026-104935 — CVE Program（Ivantiによる登録情報）
• A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days — Volexity（2026年10月13日）
• Volexity公開IOC（GitHub）
• Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935) — Rapid7（2026年10月13日）