当社のAIエンジンNeutronが、UCバークレーのCyberGymベンチマークで97.1%のスコアを記録しました。 詳細を見る

ディープダイブ

ディープダイブ

Ivanti Connect Secure のゼロデイ連鎖、root 取得を確認（CVE-2026-104935）

3 つの脆弱性を連鎖させると、Ivanti Connect Secure で未認証の root 実行が可能になります。22.8R2.6 または 25.1.1.3 へ更新し、10 月の侵害兆候を調査してください。

Ostorlab Team

要点

  • 3 つの脆弱性を連鎖させると、認証なしの攻撃者が Ivanti Connect Secure VPN アプライアンス上で root 権限のコマンド実行を得られます。Volexity はこの連鎖を、UTA0576 として追跡する攻撃者とともに 2026 年 10 月 13 日に公表しました。
  • 影響を受けるバージョンの Ivanti Connect Secure は、攻撃者が Web インターフェースに到達できる時点で露出します。侵入経路は認証もユーザー操作も必要としないためです。
  • 2026 年 10 月から実環境で悪用されています。CISA は連鎖の 3 つの CVE を 2026-10-13、2026-10-30、2026-10-30 に KEV カタログへ登録しました。新しい 2 つの連邦期限は 2026-11-02 と 2026-11-13 です。
  • 22.8R2 系列は 22.8R2.6 へ、25.1.1 系列は 25.1.1.3 へ更新し、その後「修正方法は?」と「侵害されたか確認するには?」の確認手順で侵害兆候を調べてください。

影響を受けるか?

以下の条件がすべて成り立つ必要があります。

  • 物理でも仮想でもクラウドでも、Ivanti Connect Secure アプライアンスを運用しており、攻撃者がネットワーク経由でその Web インターフェースに到達できる。
  • アプライアンスが影響を受けるバージョンを実行している。10 月 29 日の修正対象は、22.8R2 系列の 22.8R2.5 以前、または 25.1.1 系列の 25.1.1.2 以前です。CVE-2026-104935 単独は 25.1.1.1 以前と 25.1.2.2 以前にも影響します。
  • 連鎖を開始するのに資格情報は不要で、こちら側のユーザーは何も操作しません。Volexity が観測した攻撃者は、当時最新の 22.8R2.4、完全にパッチ適用済みのアプライアンスを悪用しました。
系列 影響を受けるバージョン 修正バージョン
22.8R2（2027-01-31 保守終了） 22.8R2.5 以前 22.8R2.6
25.1.1 25.1.1.2 以前 25.1.1.3
25.1.2 25.1.2.2 以前（CVE-2026-104935 のみ） Ivanti のアップグレードガイドに従う
25.1.3 連鎖対象の記載なし 25.1.3.0 は内部修正を含む

修正バージョンの行は、2026 年 10 月 31 日に The Hacker News が引用した Ivanti の勧告と CVE レコードに基づきます。入手可能な資料では、25.1.2 の行は CVE-2026-104935 のみ影響を受けます。この系列と 25.1.3 系統の読者は、CISA の 10 月 13 日アラートが参照する Ivanti のアップグレードおよび移行互換性ガイドに従ってください。CVE-2026-104935 のレコードは、22.7R2.14 以前がこの欠陥の影響を受けないことも明記しています。

Ivanti Connect Secure はネットワーク境界に配置する企業向け VPN アプライアンスです。外部への公開と保存された資格情報により、攻撃者にとって価値の高い標的となります。

インストールされているバージョンを確認するには、Connect Secure 管理コンソールのダッシュボードで読み取り、表と比較してください。ダッシュボードはログイン中のアプライアンスのバージョンを示すため、アプライアンスごと、クラスターメンバーごとに繰り返してください。

修正方法は?

  1. 影響を受けるすべてのアプライアンスを、22.8R2 系列なら 22.8R2.6 以降へ、25.1.1 系列なら 25.1.1.3 以降へ更新してください。2026 年 10 月 13 日のパッチは CVE-2026-104935 を修正し、10 月 29 日のパッチは CVE-2026-111357 と CVE-2026-118527 を修正します。
  2. CISA の 10 月 13 日アラートによれば、22.8R2 系列は 2027 年 1 月 31 日に保守を終了します。古い系列に繰り返しパッチを当てるのではなく、今のうちにサポート対象系列への移行を計画してください。
  3. 更新は単なるパッチではなく、侵害対応として扱ってください。CISA の 10 月 13 日アラートは、侵害を確認した組織向けの手順を示しています。侵害が疑われる場合、リセットや更新の前に対応チームと連携してメモリ・ディスク・ネットワークの証拠を保全してください。設定をバックアップし、アプライアンスを出荷時状態に戻すか再構築し、更新してから設定を復元します。その後、すべてのパスワード、保存された証明書、API キー、ライセンス資格情報を再設定してください。

Ivanti の勧告は回避策を挙げていません。VPN が公開しなければならないパブリックなログインページが侵入経路だからです。Volexity は暫定的な検知対策として、X-DSCGI-PATH ヘッダーを持つ /dana-na/auth/url_default/welcome.cgi への大量のリクエストを監視することを推奨しています。URL パスとこのヘッダーの不一致にもアラートを出してください。この対策は既知の侵入経路しかカバーせず、更新の代替にはなりません。

根本原因は?

この連鎖は、独立した 3 つの信頼判断が揃うことで成立します。アプライアンスはクライアントが制御するヘッダーでリクエストを振り分けます。アップロードハンドラは検証前にファイルを書き込みます。root 権限サービスは、侵害されたプロセスが編集できる設定ストアを信頼します。Volexity は、UTA0576 がアプライアンス自体のログを消去したため、メモリとコアダンプのフォレンジクスから 3 つすべてを再構築しました。

  1. 認証回避。 公開ログインページである /dana-na/auth/url_default/welcome.cgi へのリクエストは、認証なしで許可されます。このリクエストは X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi ヘッダーを持ち、信頼された文脈で実行される内部 CGI スクリプトを指定します。アプライアンスはリクエストの可否を URL で判断しながら、宛先をこのヘッダーで決めています。

  2. リモートコード実行。 wu.cgi のアップロードハンドラは .zip 拡張子の名前を持つ Perl スクリプトを受け付けます。クライアントが指定したファイル名の MD5 ハッシュを計算し、アップロード内容を /home/runtime/tmp/<MD5(filename)> に書き込みます。有効な ZIP かどうかの確認と削除は、書き込みの後に行われます。削除までの短い隙間に、攻撃者は X-DSCGI-PATH ヘッダーでアップロード先のパスを指す並行リクエストを送り、スクリプトが cgi-server ユーザーとして実行されます。

  3. root への権限昇格。 アプライアンスは dsinvoked を実行しています。これはメンテナンスタスクを root として起動する特権付きバックグラウンドサービスで、各タスクのプログラムを共有設定ストアの DSCache から参照します。攻撃者のコードは自プロセスのメモリ上にある Ivanti ライブラリ /home/lib/libdsplibs.so のコピーにパッチを当て、DSCache を変更できるようにします。既存のメンテナンスタスクを /home/bin/updateOpswatSDK.pl の代わりに Perl インタープリタを起動するよう再設定し、dsinvoked がタスクを実行すると攻撃者のスクリプトが root として実行されます。悪用コードは /etc/shadow が読めることで成功を確認します。

各コマンドの後、ペイロードは DSCache のエントリを復元し、/proc/self/mem 経由でライブラリのパッチを元に戻します。さらに /home/runtime/dlogs/debuglog と /var/log/audit/audit.log から該当するエントリを削除します。Ivanti は最初の 2 つの欠陥を CVE-2026-104935 として管理し、権限昇格は CVE-2026-111357 です。CVE-2026-118527 は、攻撃者にアップロード先が分かる予測可能なファイル配置を扱います。

どう悪用されるか?

  1. 攻撃者は資格情報なしで、公開ログインスクリプト /dana-na/auth/url_default/welcome.cgi に X-DSCGI-PATH を wu.cgi 指定で送ります。
  2. この信頼された経路から、ファイル名が .zip で終わる Perl スクリプトをアップロードします。ハンドラは予測可能なパス /home/runtime/tmp/<MD5(filename)> に書き込みます。
  3. ZIP 検証による削除の前に、並行リクエストが同じヘッダーの手法でアップロード先のパスに到達し、cgi-server として実行します。
  4. Perl 段階は Bash スクリプトを起動し、その Bash は zlib 圧縮され Base64 でエンコードされた Python スクリプトをメモリ上で復号して実行します。生のスクリプトはディスクに書かれません。
  5. Python 段階はメモリ上のライブラリにパッチを当て、DSCache のメンテナンスタスクを書き換え、dsinvoked に実行を求めます。実行は root として行われます。
  6. 攻撃者の実行する各コマンドは連鎖全体を再実行し、結果は HTTP 応答の中で返されます。この事案では永続的な Web シェルやバックドアは確認されていません。

Volexity は 2026 年 10 月 3 日から UTA0576 によるこの連鎖の悪用を観測しました。上記の手順は回収したペイロードの分析に基づき、この調査では永続的な Web シェルやバックドアは確認されていません。

攻撃の流れは?

公開ログインページへの信頼を利用した未認証リクエストが内部アップロードハンドラに達し、削除との競争に勝ち、root 権限サービスを経てアプライアンスの完全制御へ至ります。

flowchart LR A["welcome.cgi への
未認証リクエスト"] --> B["X-DSCGI-PATH ヘッダーが
wu.cgi へ中継（検証なし）"] B --> C[".zip の名前で
Perl スクリプトをアップロード"] C --> D["検証前に予測可能なパスへ書き込み
（競合状態）"] D --> E["cgi-server ユーザーとして
スクリプトが実行"] E --> F["DSCache のタスクが
Perl インタープリタへ転換"] F --> G["dsinvoked がタスクを
root として実行"] G --> H["資格情報と AD データを窃取、
ログを削除"]

攻撃者に何ができるか?

この連鎖は、アプライアンス上で未認証の root 権限コマンド実行をもたらし、機密性・完全性・可用性すべてに完全な影響を及ぼします。Ivanti の CVE レコードは CVE-2026-104935 を CVSS v3.1 8.6、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L と評価します。権限昇格単独は、レコードに基づき CVSS v3.1 7.0、CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H です。単独ではアプライアンス上の足場が必要になるためです。

root を得た UTA0576 は、Volexity が文書化した以下を行いました。

  • LDAP に使うドメイン資格情報など、アプライアンスに保存された資格情報を窃取。
  • 限定された Active Directory のメタデータをダンプして持ち出し、アプライアンス自身のサービスアカウントでディレクトリを照会。
  • Kerberoast 能力を持つ独自の Kerberos ツールと、LAPS のローカル管理者パスワード、BitLocker 回復キー、パスワードを含む属性を検索する独自の Python LDAP ツールを配置。
  • パスワードスプレーを実行し、ローカルの認証ログを解析して有効なユーザー名を特定し、アプライアンスの LDAP トラフィックをキャプチャして平文の資格情報と NTLM ハッシュを収集。
  • 認証方式を含むアプライアンス構成を持ち出し、ローカルの DNS とホストの偵察を実施。

条件は攻撃者に有利なほど狭く、前提はネットワーク経由で Web インターフェースに到達できることだけです。Volexity は、UTA0576 が連鎖の構築に大規模言語モデルを使った可能性を中程度の信頼度で、動機が諜報活動ではなく犯罪である可能性を低い信頼度で評価しています。Volexity が観測した作戦は妨害されたため、最終的な目的は不明のままです。

なぜ修正が効くのか?

2026 年 10 月 13 日のパッチは侵入経路を閉じます。以後、公開 URL が X-DSCGI-PATH ヘッダーで内部 CGI スクリプトに到達できる振り分けの欠陥は機能せず、アップロードと実行の各段階は開始できません。Ivanti のコード変更は公開されていないため、diff での検証はできません。10 月 29 日のパッチは CVE-2026-111357 を修正し、侵害されたプロセスから DSCache 経由の root への経路を閉じます。予測可能なアップロード配置の CVE-2026-118527 も修正します。

Ivanti は、欠陥の一部を内部で発見し 2026 年 7 月のリリース 25.1.3.0 で修正済みだったが、悪用が発生した時点で他のサポート対象バージョンへのバックポートを進めていたと説明しました。同社は、CVE-2026-104935 が主な悪用経路だったため、その修正を先に提供したと述べています。そのため権限昇格は 2026 年 10 月 13 日から 10 月 29 日までの 16 日間、22.8R2 系列で未修正のままでした。10 月 13 日にパッチを当てたアプライアンスはリモートの侵入経路から保護されていましたが、この期間中は別の足場からの root 昇格が依然可能でした。

侵害されたか確認するには?

まず、既存のプロキシログやネットワークキャプチャなど、リクエストヘッダーを記録した HTTP テレメトリを調べます。通常のアクセスログには X-DSCGI-PATH が残らない場合があり、エクスポートだけでは検知できるとは限りません。以下はヘッダーを含む非圧縮テキストログを対象とし、Volexity の監視推奨に基づく例です。

grep -ai "X-DSCGI-PATH" *.log* | grep -a "welcome.cgi"

grep -a "X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi" *.log*
grep -a "X-DSCGI-PATH: /home/runtime/tmp/" *.log*

一致は不審なリクエストを示しますが、転送や実行の成功を証明するものではありません。他の証拠と照合してください。同一送信元から /dana-na/auth/url_default/welcome.cgi への反復リクエストも手がかりです。

次に、Volexity が回収した侵害後の痕跡を、すべてのアプライアンスで調べてください。

ls -la /tmp/        # ml.py, rq5.py, mk.py, rr.py, sp_run.py, sp_out.txt, spray_hits.json
ls -la /data/.icscap/   # h.py, dsstatmond, cap0–cap7

Volexity が観測した攻撃者の実行ホストは 108.165.147[.]64 でした。Previdian のハニーポットは 2026 年 10 月 14 日時点で 50 のアドレスから 105 回の悪用を記録しており、216.73.160[.]59、216.73.160[.]61、216.73.160[.]210、45.8.19[.]111 が含まれます。

この確認には 2 つの限界があります。ペイロードはアプライアンスのデバッグログと監査ログから自分のエントリを削除するため、ログがきれいでも安全の証明にはなりません。Ivanti の Integrity Checker Tool では、この悪用を否定できません。ライブラリの変更はメモリ内で行われ、DSCache の変更は復元されるためです。ただし、一時ペイロードや侵害後のツールはディスクに書き込まれる場合があります。Volexity と CISA は、侵害の確認にはネットワークとメモリのフォレンジクスが必要と述べています。CISA の完全な対応手順は「修正方法は?」にあります。

10 月 1 日の初回悪用から 10 月 30 日の KEV 登録までの推移。侵入経路の修正と権限昇格の修正の間に 16 日の空白があったことを示します。
図 1: この連鎖は侵入経路が 10 月 13 日に修正される前から実環境で悪用され、root への権限昇格はさらに 16 日間未修正のままでした。出典: Volexity、CISA KEV カタログ、The Hacker News、2026 年 10 月 31 日確認。

年表

  • 2026-10-01: Defused Cyber が、おとりに対する公表前の悪用を CVE-2026-104935 と評価して記録。
  • 2026-10-03: UTA0576 が Volexity 顧客のアプライアンス（当時最新の 22.8R2.4 build 19097）に対する連鎖の悪用を繰り返し開始。
  • 2026-10-05: Volexity が調査を開始。メモリとコアダンプから連鎖を再構築します。
  • 2026-10-13: Ivanti が CVE-2026-104935 の修正を公開。Volexity が連鎖の分析を公表し、CISA が KEV へ登録（期限 2026-10-16）。
  • 2026-10-14: Previdian がハニーポットセンサーへの 50 の IP からの 105 回の悪用を報告。
  • 2026-10-15: MITRE が CVE-2026-111357 の CVE レコードを公開し、実環境での悪用を明記。
  • 2026-10-29: Ivanti が CVE-2026-111357 と CVE-2026-118527 のパッチを 22.8R2.6 と 25.1.1.3 で公開。
  • 2026-10-30: CISA が連鎖の両 CVE を KEV に登録。連邦期限は 2026-11-02 と 2026-11-13。

よくある質問

社内専用のアプライアンスも修正が必要ですか?

はい。攻撃者が踏み台網や誤った公開を通じて Web インターフェースに到達できるなら必要です。連鎖の最初のリクエストは公開ログインページに向かうため、VPN アカウントも事前アクセスも要りません。インターフェースに本当に到達できない場合、リスクは内部関係者と侵害済みの内部ホストを踏み台にする攻撃者に減りますが、更新が引き続き解決策です。

10 月 13 日に CVE-2026-104935 のパッチを当てました。対応は終わりですか?

その後に 22.8R2.6 または 25.1.1.3 まで更新済みである場合のみ終わりです。10 月 13 日のパッチはリモートの侵入経路を閉じましたが、権限昇格は 10 月 29 日まで未修正でした。バージョンを確認し、更新を完了し、この期間中に他のコード実行の足場があれば root に昇格できたことに留意してください。

Integrity Checker Tool でアプライアンスの無事を確認できますか?

いいえ。この悪用はライブラリコードをメモリ上のみパッチし、設定ストアを復元するため、整合性検査で異常がなくても侵害を否定できません。Volexity は、確認にはメモリ・ディスク・ネットワークのフォレンジクス調査が必要であり、UTA0576 が Ivanti のデバッグログと Linux の監査ログの両方から自分のエントリを削除したと述べています。

CVE-2026-111357 で異なるスコアを見るのはなぜですか?

MITRE が公開し 2026 年 10 月 31 日に更新した CVE レコードは、CVSS v3.1 7.0 と前述のベクトルで評価します。10 月 31 日の一部報道は同じ欠陥を 8.8 としています。本文書は一次情報として CVE レコードに従っており、CISA の付加データもそれに基づきます。スコアが意味を持つのは単独の場合だけで、連鎖の侵入経路は資格情報を一切必要としません。

これはランサムウェアか諜報活動でしたか?

どちらも確認されていません。Volexity は UTA0576 が犯罪的動機である可能性を低い信頼度で評価し、観測された行動は横移動の準備でした。資格情報の窃取、Active Directory の偵察、パスワードスプレーです。Volexity が観測した作戦は最終目的の前に阻害され、目的は不明のままです。

3 つの CVE の関係は何ですか?

CVE-2026-104935 は認証回避とコード実行の競合を併せて扱います。CVE-2026-111357 は root への昇格、CVE-2026-118527 はアップロードが既知のパスに着地する原因となる予測可能なファイル配置を扱います。後者 2 つの CISA の KEV エントリは、それぞれが他の 2 つと連鎖すると明記しています。CVE-2026-118527 の CVE レコードは 2026 年 10 月 31 日時点でまだ公開されていません。

悪用はどの程度広がっていますか?

被害数は公表されていません。Defused Cyber が 10 月 1 日からの試行を記録し、Previdian は 10 月 14 日時点でセンサーへの 105 回を数えました。watchTowr は The Hacker News に対し、この欠陥が KEV カタログの 14 件の他の Ivanti および Pulse Connect Secure のエントリに加わると述べました。試行は確認済みですが、侵害成功の件数は確認されていません。

Ostorlab で資産内の露出した VPN アプライアンスを見つける

インターネットから到達できるアプライアンスこそ、この連鎖が唯一必要とする前提です。Ostorlab の攻撃対象領域の発見は、組織のインターネット露出ホストの棚を作成します。どの Ivanti Connect Secure が存在し、どこから優先してバージョンを確認すべきかが分かります。

参考資料

  • Volexity，A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days：https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/（2026 年 10 月 31 日確認）
  • UTA0576 キャンペーンに対する Volexity の脅威インテリジェンス指標：https://github.com/volexity/threat-intel/tree/main/2026/2026-10-13%20Ivanti（2026 年 10 月 31 日確認）
  • Ivanti セキュリティ勧告，CVE-2026-104935：https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935（2026 年 10 月 31 日確認）
  • CVE-2026-104935 レコード：https://www.cve.org/CVERecord?id=CVE-2026-104935（2026 年 10 月 31 日確認）
  • CVE-2026-111357 レコード：https://www.cve.org/CVERecord?id=CVE-2026-111357（2026 年 10 月 31 日確認）
  • CISA アラート，CISA Adds Two Known Exploited Vulnerabilities to Catalog，2026 年 10 月 30 日：https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog（2026 年 10 月 31 日確認）
  • CISA KEV カタログの JSON フィード：https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json（2026 年 10 月 31 日確認）
  • The Hacker News，Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access，2026 年 10 月 31 日：https://thehackernews.com/2026/10/attackers-chain-three-ivanti-connect.html（2026 年 10 月 31 日確認）
  • The Hacker News，CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts，2026 年 10 月 14 日：https://thehackernews.com/2026/10/cisa-urges-immediate-ivanti-connect.html（2026 年 10 月 31 日確認）
  • CISA アラート，CISA Urges Patching of Newly Exploited Ivanti Connect Secure Vulnerability，2026 年 10 月 13 日：https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure（The Hacker News からリンク、2026 年 10 月 31 日確認）

タグ：

security, CVE, Ivanti, VPN, zero-day, exploit chain, privilege escalation