Ivanti Connect Secureの権限昇格の脆弱性（CVE-2026-111357）が悪用確認、10月の2件と連鎖して認証なしでroot権限に — VPN装置は更新と侵害調査をセットで
米CISAは2026年10月30日、Ivanti Connect Secureの権限昇格の脆弱性（CVE-2026-111357）を、悪用が確認された脆弱性の一覧（KEV）に加えた。単体では「ログイン済みの攻撃者が権限を上げる」欠陥だが、10月に見つかった別の2件と組み合わせると、認証なしでVPN装置を管理者（root）権限で操作できる。更新を当てていた装置が10月上旬に乗っ取られ、社内のActive Directoryの認証情報まで狙われた事例も報告されている。装置を更新するだけでなく、侵入の痕跡を調べるところまでが今回の対応である。
背景
発端は、米セキュリティ企業Volexityが10月13日に公表した調査である。同社によると、ある顧客のIvanti Connect Secure（当時の最新版22.8R2.4）が、10月3日から繰り返し攻撃を受けていた。攻撃は次の3つの欠陥をつないだものだった。
- 認証の回避とコマンド実行（CVE-2026-104935）：10月13日にKEVへ追加
- 攻撃者が用意した内容のファイルを、決まった場所へ書き込める欠陥（CVE-2026-118527）：10月30日にKEVへ追加
- 装置内部の処理が設定データを信用しすぎることによる、root権限への昇格（CVE-2026-111357）：10月30日にKEVへ追加
Ivantiは10月29日に権限昇格（CVE-2026-111357）の修正を公開した。CVE-2026-104935は、米国の脆弱性データベース（NVD）の記載では、バージョン25.1.3.0より前の製品が対象で、22.7R2.14以前は影響を受けない。CISAは米連邦機関に対し、CVE-2026-111357の対応を11月2日までに、CVE-2026-118527の対応を11月13日までに終えるよう求めた。CVE-2026-111357とCVE-2026-104935には、侵害の痕跡調査も義務づけている。
リスクの全体像
この事例で重いのは、攻撃者がVPN装置そのものではなく、その先の社内ネットワークを狙っていた点である。Volexityの報告では、攻撃者は装置に保存されていたドメインの認証情報を取り出し、Active Directoryを検索して、各PCのローカル管理者パスワード（LAPS）やBitLockerの回復キーを探していた。VPN装置は社内の認証基盤とつながっているため、装置を奪われると社内の鍵束をまとめて渡すことになる。
発見の難しさも見過ごせない。攻撃者は装置のデバッグログとLinuxの監査ログから攻撃の跡を消していた。Webシェルのような裏口も置かず、命令のやり取りは通常のHTTPS通信の中で行っていた。Volexityは装置のメモリとディスクの複製を解析して、ようやく攻撃の全体像を突き止めている。「ログに何も残っていないから大丈夫」とは言えない。
もう1つは、更新済みでも狙われた点である。攻撃を受けた装置は当時の最新版だった。テレワーク用のVPN装置はインターネットに常に公開されており、修正が出る前の欠陥（ゼロデイ）を狙われると、更新の速さだけでは防げない。修正が出たら速やかに当て、それ以前に侵入されていないかを別に確かめる必要がある。
チェックリスト
Ivanti Connect Secureを使っている企業、または保守を委託している企業は、次の点を確かめる。
- 自社の装置のバージョンを把握しているか。Ivantiのアドバイザリで、10月29日以降の修正が当たっているか
- 装置の保守会社に、今回の3件（CVE-2026-104935、CVE-2026-118527、CVE-2026-111357）への対応状況を書面で確認したか
- 10月以降、装置から社内のサーバーやドメインコントローラーへの不審な接続がないか
- 装置に設定しているActive Directory連携用のアカウントのパスワードを、更新後に変えたか
- ドメインの管理者パスワード、LAPSのパスワード、BitLockerの回復キーを変更する必要があるか、判断したか
- 装置のログを、装置の外（ログ保管サーバーなど）にも送って残しているか
打ち手
最優先は、修正の適用と侵害の調査を同時に進めることである。修正を当てると装置が再起動し、メモリ上の痕跡が消えることがある。侵入の疑いがある場合は、修正の前に保守会社やセキュリティ会社に相談し、調査に必要な情報を残してから更新する。Ivantiが提供する整合性チェックツールがあれば、それも実行する。
次に、装置に保存していた認証情報を変える。Active Directoryと連携するサービス用アカウントのパスワードは、侵入されていれば攻撃者の手元にあると考える。社内PCの管理者パスワードやBitLockerの回復キーも、調査の結果に応じて変更する。
中長期では、装置のログを外部に送る設定と、装置から社内へ向かう通信の監視を整える。装置の中のログは攻撃者に消されうる。VPN装置から社内のサーバーへ想定外の接続が出たら気づける仕組みがあれば、今回のような攻撃も早く見つけられる。
VPN装置は、直したあとに調べるまでが更新である。
あわせて読みたい
- デジタル庁GSSに不正アクセス、24.6万件が漏えいの可能性 — 「把握済みのVPN脆弱性」が入口になった
- Check Point のVPNゲートウェイと管理サーバーに悪用中の脆弱性2件（CVE-2026-85102 / CVE-2026-93616）— 認証なしで任意コード実行
- Cisco ASA / FTD CVE-2025-20333 / 20362 — VPN を狙う認証バイパス + RCE チェーン
Omamori AI の結論
- 事実: Ivanti Connect Secureの3件の欠陥を組み合わせた攻撃が10月3日から確認され、CVE-2026-111357とCVE-2026-118527が10月30日にKEVへ加わった。Ivantiは10月29日に修正を公開している。
- 判断軸: 更新が当たっているかだけでなく、更新の前に侵入されていなかったか、装置に置いた認証情報が盗まれていないかを問う。
- 打ち手: 修正の適用と侵害の調査を並行し、Active Directory連携のアカウントと管理者系のパスワードを変える。装置のログは外部に送って残す。
経営者視点で考えるべきこと
VPN装置はテレワークの入口であると同時に、社内ネットワーク全体の鍵を預かる場所でもある。今回の事例では、最新版を使っていた企業でも攻撃を受け、社内の認証情報まで狙われた。経営者が確かめるべきことは3つある。保守会社との契約に、緊急の脆弱性が出たときの対応期限と侵害調査が含まれているか。侵入が疑われたときに調査を頼める先を決めているか。装置を一時的に止めた場合に、テレワークの業務をどう続けるかである。修正を当てたという報告だけで終わらせず、「侵入されていないことをどう確かめたか」まで報告を求めることが、取締役としての注意義務を果たすことにつながる。
