Ivanti Connect Secure悪用、米CISAが警告【2026年10月】

会社のリモートワークを支える VPN 機器は、更新の通知を見落としやすい機器の一つではないでしょうか。

2026年10月30日（米国時間）、米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）は、Ivanti（アイヴァンティ）の SSL-VPN 製品「Ivanti Connect Secure」の脆弱性2件を「悪用が確認された脆弱性（KEV）」のカタログに追加しました。 10月13日に追加済みの1件と合わせ、3件を連鎖させた攻撃 が確認されています。

CISA Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure

Ivanti は10月29日に、3件すべてを直した 修正版 25.1.1.3 / 22.8R2.6 を公開しています。CISA は 「直ちに最新版へ更新を」 と呼びかけており、Ivanti Connect Secure を使う組織は、版の確認と侵害の有無の確認を急ぎたい 状況です。

Ivanti Connect Secureの脆弱性とは？一言でまとめると

「認証なしで外から VPN 機器を乗っ取れる3件の脆弱性の連鎖が、実際の攻撃に使われた」 という話です。

※ 2026年11月3日時点。CISA・Ivanti の公式情報より

そもそもIvanti Connect Secureとは：会社のSSL-VPN

Ivanti Connect Secure は、社外の社員が会社のネットワークやシステムに安全につなぐための「リモートアクセス VPN（SSL-VPN）」 です。Ivanti の日本語の製品ページでは、Web 対応のデバイスから企業のリソースへ安全にアクセスするためのソリューションと説明されています。

• 専用のアプライアンス（物理機器） のほか、VMware ESXi・Hyper-V・AWS・Azure・Google Cloud などの仮想アプライアンス でも動く
• 専用のクライアントのほか、ブラウザだけで社内のアプリにつなぐ使い方 もできる

VPN 機器は インターネットに直接さらされ、社内ネットワークの「入口」になる ため、乗っ取られると社内への足がかりになります。自社で Ivanti Connect Secure を管理している情シス・運用担当、委託先に VPN を任せている会社 は確認が必要です。

発表の概要：CISAとIvantiが伝えたこと

CISA は10月13日に出したアラートを 10月30日に更新 し、次のように伝えています。

• 3件の脆弱性が Ivanti Connect Secure 25.1.1.2 以前・25.1.2.2 以前・22.8R2.5 以前 に影響する
• 攻撃者がこれらを悪用し、認証なしで外部から任意のコマンドを実行して、認証情報の窃取とデータの持ち出しを行っている ことを把握している
• 影響する機器を使う組織は 直ちに最新版へ更新 すること
• 侵害の有無を調べるには ネットワークとメモリのフォレンジック（痕跡の調査） が必要

KEV カタログでの扱いは次のとおりです。対応期限は、米国の連邦政府の行政機関（FCEB） に向けたものです。

CVE-2026-111357 は 追加からわずか3日後が期限 で、すでに過ぎています。CISA は、期限の指示（BOD 26-04）は連邦政府機関にだけ適用されるとしつつ、すべての組織に KEV の脆弱性を優先して直すよう 勧めています。

KEV カタログの仕組みは、Brotli の脆弱性の記事でも解説しています。

あわせて読みたい

Brotli脆弱性HTTP2Shell、米CISAが悪用確認【2026年10月】

3件の脆弱性の中身

Ivanti のアドバイザリによると、内訳は 「高」が2件、「中」が1件 です。CVSS（深刻度の点数。10点満点）は Ivanti の評価です。

① CVE-2026-104935：認証回避（CVSS 8.6）

認証を回避して、外部から任意のコマンドを実行できる 脆弱性です。ログインしていない攻撃者でも狙える のが最大の問題です。影響は 25.1.3.0 より前 で、22.7R2.14 以前は影響を受けません。

② CVE-2026-111357：権限昇格（CVSS 8.8）

すでに機器の中で動ける攻撃者が、権限を引き上げられる 脆弱性です。①で入り込んだ攻撃者が、これで 機器の最上位の権限（root） を得る形で連鎖に使われました。NVD では、MITRE の評価として CVSS 7.0 も載っています。

③ CVE-2026-118527：予測できるファイル名（CVSS 4.3）

ファイル名が予測できるため、攻撃者が中身を指定したファイルを、決まった場所にアップロードできる 脆弱性です。単独では「中」の評価ですが、①②と組み合わせると、外部からのコード実行につながります。なお、2026年11月3日時点では、NVD と CVE.org にこの CVE の記録はまだ載っていません。

Ivanti は、3件を連鎖させた悪用を「公表時点で、限られた数の顧客」で把握している としています。

影響を受けるバージョンと修正版

使っている系列ごとに、上げる先が異なります。 修正版は Ivanti のライセンスシステム（ILS）からダウンロードできます。

※ 2026年11月3日時点。Ivanti「Security Advisory Ivanti Connect Secure (CVE-2026-104935)」より

注意したいのは次の3点です。

• 22.8 系は「22.7 から 25.1 への一時的な橋渡し」 という位置づけで、2027年1月31日にサポートが終わります。22.8R2.6 で今回の3件は直りますが、Ivanti は それまでに 25.1 への移行を終えるよう 求めています
• 22.7 系は今回の影響を受けません が、こちらも 2027年1月31日にサポート終了 です
• 25.1.3.0 へ移るには新しいプラットフォーム（ISA4500 / ISA6500 / ISA8500）が必要 です。ハードウェアは新しい機器、仮想・クラウドは 25.1.3.0 のテンプレートで作り直すことになります

公式が示す対処：更新・整合性チェック・復旧手順

① まず修正版に更新する

CISA と Ivanti はともに、上の表の修正版への更新 を最優先にしています。CISA は、ハードウェアと仮想アプライアンスの更新方法について、Ivanti の 「25.x のアップグレード・移行の互換性ガイド」 も確認するよう勧めています。

② 侵害の有無を確かめる

Ivanti は、侵害の確認方法として 発見者の Volexity が公開した指標（IoC）の確認 と、Integrity Checker Tool（ICT、機器のファイルの改ざんを調べる公式ツール）の定期的な実行 を挙げています。

ただし CISA は、ICT では CVE-2026-104935 の悪用の痕跡を検出できない場合がある と注意しています。攻撃者のコマンドがメモリ上で実行されるため です。CISA は、侵害の有無を調べるには ネットワークとメモリのフォレンジックが必要 としています。

③ 侵害が疑われるときは「復旧手順」

CISA は、侵害が疑われる場合に Ivanti の 復旧手順（Recovery Procedures） に沿った対応を勧めています。

1. 機器の設定をバックアップ する
2. 工場出荷時の状態にリセットし、最新版に更新 する（クラウド・仮想は インスタンスを作り直して 更新）
3. バックアップから設定を復元 する
4. ドメイン・管理者・ローカルを含むすべてのアカウントのパスワードをリセット し、保存された証明書を失効・再発行、API キーとライセンスサーバーの認証情報もリセット する

Ivanti の手順書は、作業は隔離した環境で行い、更新が終わるまで機器をインターネットに出さない よう求めています。「更新したから終わり」ではなく、すでに盗まれた可能性のある認証情報まで入れ替える のがポイントです。

発見したVolexityの報告

今回の攻撃を見つけたのは、米国のセキュリティ企業 Volexity です。CISA と Ivanti はどちらも、同社のブログの確認を勧めています。同社の報告（出典）の要点は次のとおりです。

• 2026年10月の第1週、顧客の 当時最新の 22.8R2.4 の機器 が、認証回避・コード実行・権限昇格の 3つのゼロデイ（未修正の脆弱性）の連鎖 で侵害されているのを発見した
• 攻撃者（同社は「UTA0576」と呼んで追跡）は、侵入後に Active Directory の認証情報、LAPS の管理者パスワード、BitLocker の回復情報 などを狙い、ログから痕跡を消していた
• Web シェルやバックドアは置かれず、メモリ上で動いていた ため、ICT ではファイルの改変が見つからなかった
• 侵害が疑われるときは ネットワークとメモリのフォレンジック を勧めている

VPN 機器そのものより、その先の社内の認証基盤が狙われた ことが分かります。復旧手順で全アカウントのパスワードまで入れ替えるのは、このためです。

日本での状況

2026年11月3日時点で、JPCERT/CC の注意喚起の一覧に本件は載っていません。 一方で JPCERT/CC は、「直近で相次いでいる国内組織における不正アクセス」についての注意喚起 を出し、10月23日にも更新しています。日本の組織も、CISA の情報をもとに早めに確認しておく のが安全です。

国内で相次ぐ不正アクセスについての JPCERT/CC の注意喚起は、こちらで解説しています。

あわせて読みたい

相次ぐ不正アクセス、JPCERTがAI悪用の手口を追記【2026年10月】

IT Picks的な所感

今回の件で重く見たいのは、当時最新の版でも侵害され、しかも公式の整合性チェックツールでは見つけにくかった 点です。「パッチを当てていれば安心」「ツールで異常なしなら大丈夫」とは言い切れず、更新に加えて、VPN 機器から社内への不審な通信がないかまで見る必要がある と考えています。

もう一つは、22.7 / 22.8 系のサポートが2027年1月31日に終わる ことです。25.1.3.0 以降は新しいプラットフォームが前提のため、機器の入れ替えを含む移行計画を、今のうちに立てておきたい ところです。10月は PHP・Brotli・WordPress と、サーバーや機器を持つ側が動く必要のある脆弱性 が続いています。

あわせて読みたい

WordPress 7.1.4で脆弱性22件、RCEの悪用を確認【2026年11月】

まとめ

Ivanti Connect Secure の脆弱性悪用のポイントをまとめます。

• 製品：Ivanti Connect Secure（SSL-VPN）
• 脆弱性：CVE-2026-104935 / CVE-2026-111357 / CVE-2026-118527（3件の連鎖で悪用）
• CISA の KEV 追加：10月13日（1件目）、10月30日（残り2件）
• 影響する版：25.1.1.2 以前 / 25.1.2.2 以前 / 22.8R2.5 以前
• 修正版：25.1.1.3 / 22.8R2.6（10月29日公開）、25.1.3.0 以降は影響なし
• 注意点：ICT では悪用の痕跡を検出できない場合がある
• サポート終了：22.7 / 22.8 系は2027年1月31日

まずは自社の Ivanti Connect Secure の版を確認し、修正版への更新と、侵害の有無の確認を進めましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。