Ivanti Connect Secure CVE-2026-111357ほか2件
10月31日の脆弱性まとめ（悪用確認4件）
Ivanti Connect Secure（SSL VPN）の CVE-2026-111357 と 118527 が10月30日に CISA KEV へ追加。10月13日分と連鎖して悪用中のため、利用企業は本日更新と侵害確認を。Drupal Commerce と Chrome 156 の更新も整理。
2026年10月30日（米国時間）、CISAは Ivanti Connect Secure（SSL VPN 装置）の CVE-2026-111357 と CVE-2026-118527 を悪用確認済み脆弱性（KEV）に追加した。10月13日に追加済みの CVE-2026-104935 と連鎖して使われており、Connect Secure を使っている会社は、最新版への更新と侵害の確認を本日中に始める。 米連邦機関の対応期限は CVE-2026-111357 が11月2日、CVE-2026-118527 が11月13日である。あわせて、通販サイトに使われる Drupal Commerce Core の悪用確認済みの欠陥（CVE-2026-118539）と、10月29日公開の Chrome 156 の更新も整理した。
10月31日19時（JST）時点の CISA KEV、NVD、CISA・カナダ Cyber Centre・Volexity の公開情報、Drupal.org のセキュリティ勧告、Chrome Releases ブログで確認した内容に基づく。CVSS は付与元を併記し、公式に明記のない点は「記載なし」とする。なお Ivanti の公式アドバイザリ本文は、確認時に表示できなかったため、CISA とカナダ Cyber Centre が引用する範囲で記載している。
今日の脆弱性一覧
| 製品 | CVE | 深刻度（CVSS） | 悪用状況 | 対処（修正版） |
|---|---|---|---|---|
| Ivanti Connect Secure | CVE-2026-104935 | 8.6 High（NVD 掲載の二次評価） | KEV 追加（10/13）。CISA が悪用を確認 | 25.1.1.3 / 25.1.3.1 / 22.8R2.6 未満が影響（Cyber Centre） |
| Ivanti Connect Secure | CVE-2026-111357 | 7.0 High（NVD 掲載の二次評価） | KEV 追加（10/30、期限11/2）。NVD に「2026年10月に悪用」の記載 | 同上 |
| Ivanti Connect Secure | CVE-2026-118527 | NVD 未登録（10/31時点）。評価値は記載なし | KEV 追加（10/30、期限11/13） | 同上 |
| Drupal Commerce Core | CVE-2026-118539 | NVD 6.5 Medium（二次評価）。Drupal は独自指標で 21/25「Highly critical」 | Drupal が「悪用されている」と明記 | 3.x は 3.3.13、旧系統は 8.x-2.41 |
| Google Chrome（デスクトップ） | CVE-2026-76024 ほか計21件 | Chromium の重大度は Critical。NVD の二次評価は 6.5 Medium | Google の記載なし。CISA の評価も悪用なし（10/30時点） | 156.0.8078.79 / .80（Win・Mac）、.79（Linux） |
1. Ivanti Connect Secure（CVE-2026-104935 / 111357 / 118527）— SSL VPN 装置が3つの欠陥の連鎖で乗っ取られる
Connect Secure は、テレワークや拠点接続のために社外から社内へ入る SSL VPN の装置（またはソフトウェア）である。CISA の更新版アラートによると、攻撃者はこの3件を組み合わせ、認証なしで任意のコマンドを実行し、認証情報の窃取やデータの持ち出しを行っている。Volexity の調査では、少なくとも10月3日から、更新を済ませた装置も含めて攻撃が行われていた。
- CVE-2026-104935: 認証バイパス（なりすましによる）で、遠隔の認証なしの攻撃者が任意のコマンドを実行できる（NVD）。CVSS 8.6（High）は NVD に掲載の二次評価。10月13日に KEV へ追加済み
- CVE-2026-111357: 重要機能の認証欠落。CISA KEV の説明では、ローカルの認証済み攻撃者が権限を昇格でき、NVD は root 権限への昇格と記載している。CVSS 7.0（High）は NVD 掲載の二次評価。NVD は「2026年10月に悪用」と記載し、CISA は10月30日に KEV へ追加
- CVE-2026-118527: 予測可能な識別子の生成。認証済みの遠隔の攻撃者が、攻撃者の内容のファイルをディスク上の既知の場所へ置ける（CISA KEV の説明）。NVD には10月31日時点で未登録。10月30日に KEV へ追加
- 影響版（CISA）: 25.1.1.2 以前、25.1.2.2 以前、22.8R2.5 以前。カナダ Cyber Centre は「25.1.1.3 未満、25.1.3.1 未満、22.8R2.6 未満」と記載しており、表記は異なるが、各系統の最新版へ更新すればどちらの基準も満たす
- 修正版: 各系統の最新版へ更新する。22.8 系は2027年1月31日にサポート終了（CISA）
CISA は、侵害の有無を調べるにはネットワークとメモリの調査が必要だと述べている。攻撃のコマンドがメモリ上で動くため、Ivanti の整合性チェックツールでは検出できない場合がある。侵害が疑われる場合の復旧手順として、設定のバックアップ、工場出荷状態への初期化と最新版への更新（仮想環境は作り直し）、設定の復元、ドメイン・管理者・ローカルを含む全アカウントのパスワード変更、証明書の再発行、API キーなどの再設定を挙げている。
Volexity は、検出の手がかりとして、welcome.cgi への大量のリクエストと、URL のパスと X-DSCGI-PATH ヘッダーの食い違いを挙げている。また、侵入後に Active Directory から認証情報（LAPS のパスワードや BitLocker の回復キーを含む）を盗む動きが見られたという。VPN 装置を更新するだけでなく、社内側のパスワードの見直しも必要になる。
確認方法: 管理画面またはコンソールでバージョンを確認し、上記の影響版かを調べる。運用を外部に任せている場合は「Connect Secure の版は何か」「10月13日以降の更新履歴」「ログの保管期間」を聞く。公式: CISA アラート、CISA KEV 追加（10/30）、カナダ Cyber Centre AV26-1035、Volexity の分析、Ivanti アドバイザリ
2. Drupal Commerce Core CVE-2026-118539 — 通販サイトの注文データが不正に操作される恐れ
Drupal Commerce は、Drupal で通販サイトを作るためのモジュールである。Drupal.org のセキュリティ勧告 SA-CONTRIB-2026-254（10月28日公開）によると、Commerce Core が一部のルートとエンティティのフィールドを十分に保護しておらず、アクセス制限を回避されて、販売者が金銭的な損害を受ける恐れがある。勧告は「この脆弱性は実際に悪用されている」と明記し、注文に不整合がないか監査するよう求めている。
- 深刻度: Drupal の評価は 21/25「Highly critical」（独自指標）。NVD には CVSS 3.1 の 6.5（Medium）が二次評価として掲載されており、見方が分かれる
- 影響: Commerce Core の 2.41 未満（8.x-2.x 系）と、3.0.0 以上 3.3.13 未満
- 修正版: 3.x は 3.3.13、旧系統は 8.x-2.41
- 回避策: 勧告に記載なし
- 悪用: Drupal の勧告が明記。CISA KEV には10月31日時点で未掲載
Drupal 本体ではなく Commerce Core モジュールの問題である。通販機能を使っていない Drupal サイトは対象外になる。対象のサイトは、更新に加えて、10月以降の注文データ（金額・数量・ステータス）に不審な変更がないかを確認する。同日には Commerce 関連の勧告が他にも複数出ているが、悪用の記載があるのは SA-CONTRIB-2026-254 の1件のみである。公式: SA-CONTRIB-2026-254
3. Google Chrome 156 — 重大度 Critical を含む21件の修正
Chrome Releases ブログによると、10月29日（米国時間）に Stable と Extended Stable が 156.0.8078.79 / .80（Windows・Mac）、156.0.8078.79（Linux）へ更新された。21件のセキュリティ修正のうち、重大度が Critical なのは CVE-2026-76024（MediaStream のメモリ破壊）の1件で、High が19件、Medium が1件である。
- 深刻度: CVE-2026-76024 は Chromium の重大度で Critical。NVD の二次評価は CVSS 6.5（Medium）で、表示が分かれる
- 影響: 156.0.8078.79 より前の Chrome
- 修正版: 156.0.8078.79 / .80（Windows・Mac）、156.0.8078.79（Linux）。展開は数日〜数週間かけて行われる
- 悪用: Google の記載なし。CISA の評価も悪用なし（10/30時点）。詳細は多くの利用者が更新するまで制限される可能性がある
確認方法: Chrome のメニューから「ヘルプ」「Google Chrome について」を開くと、更新の確認と再起動が行われる。社内の PC が多い場合は、更新後に再起動されているかを管理ツールで確認する。Chromium ベースの Edge など他のブラウザは、それぞれの更新情報を確認する。公式: Chrome Releases 10月29日
非IT担当者向け: 今日やることチェックリスト
- Ivanti Connect Secure（旧 Pulse Secure）を使っているか、情報システム担当か委託先に確認する
- 使っている場合は、バージョンを確認し、各系統の最新版（カナダ Cyber Centre が示す 25.1.1.3・25.1.3.1・22.8R2.6 以降）に更新する
- 10月3日以降に侵害された恐れがあるため、VPN のログと、VPN 経由のアクセス記録を委託先に保全してもらう
- 侵害の疑いがある場合は、装置の初期化と最新版への更新、全アカウントのパスワード変更を行う
- 自社の通販サイトが Drupal Commerce かどうかを制作会社に確認し、該当する場合は 3.3.13 以降に更新して注文データを確認する
- 全員の Chrome を再起動して最新版にする
- 対応した日付と担当者を記録する
出典
- Ivanti: Security Advisory Ivanti Connect Secure (CVE-2026-104935)
- CISA: Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure（10/30更新）
- CISA: Adds Two Known Exploited Vulnerabilities to Catalog（10/30）
- CISA: Known Exploited Vulnerabilities Catalog
- Canadian Centre for Cyber Security: AV26-1035
- Volexity: Ivanti Connect Secure ゼロデイの連鎖
- NVD: CVE-2026-104935
- NVD: CVE-2026-111357
- Drupal.org: SA-CONTRIB-2026-254
- NVD: CVE-2026-118539
- Chrome Releases: Stable Channel Update for Desktop（10/29）
- NVD: CVE-2026-76024
よくある質問
Ivanti Connect Secure を使っているか分かりません。どう確認しますか。
VPN の接続画面に Ivanti や Pulse Secure の表示があるか、情報システム担当か保守の委託先に確認します。クラウドの VPN サービスや別メーカーの装置は、この3件の対象ではありません。
更新しただけで安全になりますか。
いいえ。CISA は、攻撃がメモリ上で動くため整合性チェックツールで検出できない場合があると述べています。10月3日以降に外部へ公開されていた装置は、更新に加えて、侵害の確認と、パスワードの変更が必要になる場合があります。
Drupal を使っていますが、通販機能がありません。対象ですか。
今回の欠陥は Commerce Core モジュールのものです。通販機能（Commerce）を入れていない Drupal サイトは、この件の対象ではありません。ただし、他の Drupal の更新は通常どおり必要です。
Chrome の更新が自動で終わっているか、どう分かりますか。
メニューの「ヘルプ」から「Google Chrome について」を開くと、現在の版が表示され、更新があれば取得されます。表示後は再起動が必要です。
この記事に関連する無料ツール（登録不要・その場で結果）
お気軽にご相談ください
お問い合わせ