Ivanti Connect Secure の悪用（CVE-2026-111357ほか2件連鎖）— 侵害確認と復旧の手順

Ivanti Connect Secure（VPN 装置）を使っている会社は、今日のうちに「自社の版数の確認」「最新版への更新」「更新前の侵害確認」の3つを行う必要がある。 CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、CVE-2026-104935、CVE-2026-111357、CVE-2026-118527 の3件を悪用が確認された脆弱性として公開している。3件は連鎖して使われる。さらに CISA は、攻撃者のコマンドがメモリ上で実行されるため、Ivanti の整合性チェックツール（Integrity Checker Tool）では検知できない場合があると注意している。更新しただけでは、すでに入られている場合の対策にならない。

本記事は 2026 年 10 月 31 日時点の CISA、カナダ・サイバーセキュリティセンター、Volexity、NVD の公開情報に基づく。Ivanti 自身のアドバイザリのページは今回の確認時に表示できなかったため、版数は公的機関の記載を並べて示す。確認できなかった点は「公式に記載なし」と書いた。

最初に見つかったのは CVE-2026-104935 である。CISA の KEV カタログ（悪用が確認された脆弱性の一覧）には 2026 年 10 月 13 日に追加された。NVD の記載では、認証をすり替える欠陥により、リモートの認証されていない攻撃者が任意のコマンドを実行できる。深刻度（CVSS 3.1）は 8.6 である。

その後の 10 月 30 日、CISA は同じ製品の 2 件を KEV に追加した。CVE-2026-111357 は、CISA の説明では「ローカルの認証済み攻撃者が権限を昇格できる」欠陥で、NVD の記載では dsinvoked ブローカーが DSCache の設定データを信頼する扱いに問題があり、root 権限への昇格につながる。CVSS 3.1 は 7.0 で、NVD は「2026 年 10 月に実環境で悪用された」としている。CVE-2026-118527 は、CISA の説明では「リモートの認証済み攻撃者が、攻撃者の指定した内容のファイルをディスク上の既知の場所にアップロードできる」欠陥である。2026 年 10 月 31 日時点で、CVE-2026-118527 は NVD には載っていなかった。

CISA は、3件が互いに連鎖し得ると明記している。CVE-2026-111357 の説明には「CVE-2026-104935 および CVE-2026-118527 と連鎖し得る」、CVE-2026-118527 の説明には「CVE-2026-104935 および CVE-2026-111357 と連鎖し得る」とある。

セキュリティ企業の Volexity は、2026 年 10 月 13 日付の分析で、攻撃者グループ「UTA0576」が 2026 年 10 月 3 日から悪用していたと報告している。同社が確認した侵害された装置は、当時の「完全に更新済み」の版（22.8R2.4）だった。更新済みだから安全、という前提が当時は成り立たなかったことになる。公表日の 10 月 13 日より前から攻撃は始まっていた。

CISA は、攻撃者が認証情報の窃取とデータの持ち出しを行っているとも述べている。VPN 装置は社内ネットワークの入口であり、握られると他の機器へ広がるおそれがある。

版数の書き方は機関によって異なる。CISA は「この版以前が対象」、カナダ・サイバーセキュリティセンターは「この版より前が対象」という書き方をしている。見た目は違うが、どちらも「各系統の最新版へ更新する」という結論は同じである。表記の差で迷ったら、各系統の最新版にしておけば両方の条件を満たす。

表記の差は見落としの元になる。シンガポール CSA の注意喚起は CISA より一つ古い版数を挙げている。実務では、「自社の版がどの表記に当てはまるか」ではなく、「各系統で公開されている最新版か」で判断するのが安全である。25.1 系、22.8 系のそれぞれについて、Ivanti の最新版を確認して適用する。最新版の番号は Ivanti のアドバイザリで確認する（本記事では確定できなかった）。

まず、自社が Ivanti Connect Secure（SSL-VPN 装置）を使っているかを確認する。担当者がいない会社では、構築会社や保守会社の資料が手がかりになる。

1. 社外から社内に接続する VPN の接続画面を開き、画面の見た目や URL に「Ivanti」「Connect Secure」「Pulse」の文字があるか見る
2. 保守契約書・構築時の設計書・機器台帳に、製品名が書かれていないか探す
3. 管理画面にログインできる人（情報システム担当または委託先）に、現在の版数を調べてもらう
4. 機器が社内のサーバー室にあるか、クラウド上の仮想マシンか、委託先のデータセンターにあるかを把握する（復旧の手順が変わる）

Ivanti Policy Secure など他の Ivanti 製品が今回の3件の対象かは、公式の情報では確認できなかった。本記事は Ivanti Connect Secure を対象に書いている。

次の順に進める。更新する前に証拠を残すことが重要で、更新や再起動でログが失われると侵害の有無を判断できなくなる。

1. 対象装置の版数を確認し、記録する（画面のスクリーンショットでもよい）
2. 更新作業の前に、装置のログと設定のバックアップ、可能ならメモリやネットワークの記録を保全する。保全の方法は委託先に確認する
3. 25.1 系・22.8 系の最新版へ更新する。更新は、侵害確認の準備をしたうえで行う
4. 後述の「侵害の確認手順」を実施する
5. 侵害の疑いが少しでもあれば、後述の復旧手順に進む。疑いがなくても、可能なら管理者のパスワード変更を検討する
6. 委託先がある場合は、今日中に連絡し、後述の質問リストで状況を確認する
7. 22.8 系を使っている場合は、サポート終了日（2027 年 1 月 31 日）を踏まえ、入れ替えの計画を立てる

VPN 装置の更新は利用者が一時的に接続できなくなる作業だが、CISA の期限は CVE ごとに 10 月 16 日、11 月 2 日、11 月 13 日（米国の連邦機関向け）と定められている。

CISA は、Ivanti の整合性チェックツール（ICT）では、悪用を検知できない場合があると述べている。理由は、攻撃者のコマンドがメモリ上で実行されるためである。ICT が「問題なし」と出しても、侵害されていないとは言い切れない。CISA は、ネットワークとメモリのフォレンジック（痕跡の調査）が必要だとしている。

専門の担当者がいなくても、次の観点を委託先や専門会社に依頼できる。Volexity の分析で挙げられた痕跡である。

これらは Volexity が確認した例で、すべての攻撃に同じ痕跡が出るとは限らず、見つからなくても無事とは言えない。ログは更新前に保全する。

Volexity は、侵害後の動きとして、攻撃者が侵害した「サービスアカウント」を使い、LDAP（ディレクトリへの問い合わせの仕組み）で LAPS のパスワードと BitLocker の回復情報を照会し、結果を持ち出していたと報告している。LAPS は端末ごとのローカル管理者パスワードの管理、BitLocker の回復情報は暗号化ディスクの復旧鍵で、どちらも取られると影響が大きい。

- VPN 装置が AD（Active Directory）への問い合わせに使っているサービスアカウントを洗い出す
- そのアカウントによる、LAPS パスワードや BitLocker 回復情報の読み取りの記録（ドメインコントローラーのログ）がないか確認する
- 不審な問い合わせがあれば、該当端末のローカル管理者パスワードのローテーションや、BitLocker 回復キーの再生成を検討する

痕跡が見つかった場合、または確認しきれない場合は、CISA が示す次の手順に従う。更新だけで済ませず、装置を初期状態に戻して再構築するのが要点である。

1. 設定をバックアップする
2. 装置を工場出荷状態に戻し（ファクトリーリセット）、最新版へ更新する。クラウド上や仮想環境の装置は、作り直したうえで最新版にする
3. バックアップした設定を戻す
4. すべてのアカウントのパスワードを変更する（ドメイン、管理者、ローカルのアカウント）
5. 装置に保存されている証明書を失効させ、再発行する
6. 装置に保存されている API キーと、ライセンスサーバーの認証情報をリセットする

VPN の運用を外部に任せている会社が多い。次の質問をそのまま使える。回答があいまいなら再確認する。

1. 当社の Ivanti Connect Secure の現在の版数は何か。いつ時点の確認か
2. 25.1 系・22.8 系の最新版へ、いつ更新するか。更新前にログとメモリを保全するか
3. 整合性チェックツール以外に、ネットワークやメモリの調査を行うか。誰が行うか
4. Web アクセスログで、welcome.cgi への不審なリクエストや X-DSCGI-PATH の不一致を確認したか。確認した期間はいつからか（最低でも 2026 年 10 月 3 日以前から）
5. VPN 装置が AD に接続するサービスアカウントの権限と、LAPS・BitLocker 情報の読み取り記録を確認したか
6. 侵害が疑われる場合の復旧手順（ファクトリーリセット、パスワード・証明書・API キーの再発行）の費用と所要時間はどれくらいか
7. 22.8 系を使っている場合、2027 年 1 月 31 日のサポート終了後の計画はどうなっているか

CISA は、Ivanti Connect Secure 22.8 系のサポート終了日を 2027 年 1 月 31 日としている。22.8 系を使っている場合、今回の更新で終わりではなく、3 か月後までに移行か入れ替えが必要になる。 選択肢は一般論として、同じ製品の新しい系統（25.1 系）への移行、他社 VPN やファイアウォール内蔵 VPN への入れ替え、装置を公開せず利用者・端末ごとに認証する方式（ゼロトラスト型）への切り替えがある。いずれでも、誰がどの頻度で版数を確認して更新するかを先に決めておくことが重要である。

同日の脆弱性まとめは 10月31日の脆弱性まとめ にまとめている。入口対策の考え方は ゼロトラストセキュリティ入門 と UTM・ファイアウォールの費用と選び方、侵害が疑われるときの動き方は ランサムウェア被害の初動対応 と 情報漏えい発生時の対応 を参照してほしい。

- CISA KEV カタログ（known_exploited_vulnerabilities.json）: https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
- CISA アラート「CISA urges patching newly exploited vulnerabilities in Ivanti Connect Secure」（10/30 改訂）: https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerabilities-ivanti-connect-secure
- カナダ・サイバーセキュリティセンター AV26-1035: https://cyber.gc.ca/en/alerts-advisories/ivanti-security-advisory-av26-1035
- シンガポール CSA AL-2026-147: https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-147/
- Volexity「A Series of Unauthenticated Events」: https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
- NVD（CVE-2026-104935、CVE-2026-111357）: https://nvd.nist.gov/
- Ivanti セキュリティアドバイザリ: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935