Ivanti Connect Secureは、社員が社外から社内ネットワークにVPN接続するための機器だ。企業や官公庁がリモートワークや拠点間の通信に広く使っている。この機器が乗っ取られると、攻撃者が社内ネットワークに入り込み、業務データや社員の認証情報にアクセスできる状態になる。
セキュリティ企業Volexityは2026年10月、この機器の3つの脆弱性を連鎖させ、ログインなしで機器の全権限（root権限）を奪う攻撃が実際に行われていたと公表した。当時の最新パッチを適用した機器も侵害されていた。Ivantiは10月29日に追加の修正版を公開している。
3件の脆弱性の連鎖でroot権限を奪える
今回悪用された3つの弱点は、それぞれ単体では被害が限られるが、順番につなぐとログイン不要で機器の全権限に届く。
- CVE-2026-104935（認証の回避）：ログイン画面を通らずに、本来は認証が必要な機能にアクセスできる
- CVE-2026-118527（ファイルの設置）：攻撃者が用意したファイルを、機器上の決まった場所に置ける
- CVE-2026-111357（権限の昇格）：一般ユーザーの権限から管理者（root）に昇格できる
建物にたとえると、まず受付を通らず裏口から入り（認証の回避）、次に中へ自分の道具を持ち込み（ファイルの設置）、最後に管理人の鍵を手に入れて全部屋を開ける（権限の昇格）。3つがつながって初めて「認証なしで全権限」に届く。
Ivantiが10月13日に出した最初のパッチはCVE-2026-104935の1件だけを修正しており、残る2件は開いたままだった。10月29日の追加修正で3件すべてが塞がれた。
米サイバーセキュリティ・インフラセキュリティ庁（CISA）は10月30日、CVE-2026-111357とCVE-2026-118527を「悪用が確認された脆弱性カタログ（KEV）」に追加し、米政府機関に期限内の対応を義務づけた。CISAは10月13日にも最初の弱点（CVE-2026-104935）を同カタログに載せている。
パッチ適用済みでも侵害——発覚と修正の経緯
Volexityが顧客ネットワークの調査を始めた2026年10月5日、当時の最新版（22.8R2.4）を適用していたIvanti Connect Secureがすでに侵害されていた。メーカーが弱点を知らない段階で悪用される攻撃を「ゼロデイ攻撃」と呼ぶ。
- 10月5日：Volexityが侵害を確認
- 10月13日：Ivantiが最初の修正プログラムを配布。ただしCVE-2026-104935の1件のみ
- 10月29日：Ivantiが残り2件を塞ぐ追加の修正版を緊急公開
- 10月30日：CISAがCVE-2026-111357とCVE-2026-118527をKEVカタログに追加
痕跡が残らず検査ツールでも見抜けない
Volexityの報告によると、攻撃者はファイルをほとんど残さない。プログラムの動作中だけ使われる記憶領域（メモリ）の中で動き、目的を終えると機器を元の状態に戻す。
Ivantiの整合性チェックツール（Integrity Checker Tool）でも検出できないとVolexityは指摘している。画面や検査に異常がなくても「侵害されていない」とは言い切れない。
攻撃者が狙ったのはActive Directoryやパスワード情報
攻撃者が欲しかったのは機器そのものではなく、社内ネットワークを開ける「鍵」にあたる情報だ。
Volexityの報告によると、探していたのは次の3種類とされる。
- Active Directory（社内の全社員のIDとパスワードをまとめて管理する仕組み）の情報
- 端末の管理者パスワード（LAPS）
- PCの暗号化を解く鍵（BitLocker回復キー）
1つ目が盗まれれば社員の誰にでもなりすませ、2つ目があれば個々のPCを管理者として操作できる。3つ目があれば、暗号化されたPCの中身を開けられる。
機器を直しても終わらない。鍵をすでに持ち出されていれば、弱点を塞いだ後もその鍵で再び社内に入れる。玄関の錠前だけ替えても合鍵が相手の手元に残るのと同じで、機器の修正に加えて社内パスワードの全面変更が必要になる。
さらに、攻撃者はログファイル（機器の操作や接続の記録）も改ざん・削除していたと報じられている。何を盗まれたのかを後から記録でたどることは難しい。
いま確認すべきページと手順
自社でIvanti Connect Secureを使っているかをまず確かめる。使っている場合は機器の版数を調べ、10月29日以降の修正版に更新済みかを確認する。10月13日の修正だけでは3件のうち1件しか塞がっていない。
確認に使う主なページは次のとおりだ。
- Ivantiのセキュリティアドバイザリ：CVE-2026-104935のアドバイザリページで、影響を受ける版と修正版の一覧を確認できる
- CISAの悪用確認カタログ（KEV）：KEVカタログでCVE-2026-111357（対応期限：11月2日）とCVE-2026-118527（同：11月13日）を確認できる
- CISAのアラート：CISAの注意喚起ページに、影響を受ける版（25.1.1.2以前、25.1.2.2以前、22.8R2.5以前）と対応手順がまとまっている
- Ivantiのサポート窓口：Ivanti Innovators Hubからサポートに連絡できる。日本の問い合わせ先はIvanti連絡先ページの東京オフィス（+81 (0)3-6432-4180）
CISAのアラートによると、影響を受けるのは25.1.1.2以前、25.1.2.2以前、22.8R2.5以前の各版だ。Volexityが侵害を確認した機器は22.8R2.4だった。
なお22.xブランチは2027年1月31日にサポート終了となり、25.x系への移行が推奨されている。インターネットに公開され、影響を受ける可能性がある機器は、Shadowserver Foundationの調べで全世界に5,600台以上ある。
すでに侵害されている疑いがある場合、Ivantiのリカバリ手順とCISAが勧めるのは次の手順だ。
- 構成データのバックアップを取る
- 機器を初期化し、出荷時の状態に戻す
- 最新版を入れ直す
- 機器に保存されていたAPIキー、証明書、管理者パスワードはすべて漏れた前提で、失効・再発行・変更する
侵害の兆候としては、VPN機器の内部インターフェースから発信された認証失敗のログが手がかりになる。
出典：Volexity「A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days」（2026年10月13日公開、10月29日更新）、CISA注意喚起（2026年10月13日、10月30日更新）、Ivantiセキュリティアドバイザリ
