Ivanti Connect Secure ― ゼロデイ連鎖の残る2件を修正、悪用を確認

要点

影響を受ける製品・バージョン

Ivanti Connect Secure（ICS）22.8R2.5以前と25.1.1.2以前（Ivantiの勧告の表、The Stack経由）。CISAの更新版アラートは、10月13日分を含む3件全体の影響範囲を「25.1.1.2以前、25.1.2.2以前、22.8R2.5以前」としている。
修正版は 22.8R2.6 と 25.1.1.3。25.1.3系がこの2件の影響を受けるかは、確認できた資料には書かれていない。

今すぐやること

10月13日の修正（22.8R2.5／25.1.1.2／25.1.3.0／25.1.3.1）を当てただけでは足りない。22.8R2.6か25.1.1.3まで上げる。
10月上旬以降にICSが外部に出ていた場合は、侵害されている前提で調べる。Ivantiの整合性チェックツールでは見つからない可能性がある（CISA）。
侵害が疑われる場合はCISAの示す手順で、設定のバックアップ→工場出荷時への初期化（仮想環境は作り直し）→最新版へ更新→設定の復元→全アカウントのパスワード、証明書、APIキーの入れ替えを行う。

何が起きているか

事実（Ivanti、CISA、Volexity、CCB）

Volexityは10月13日、未知の攻撃者「UTA0576」が10月3日から、ICSの認証回避・ファイル書き込みによるコード実行・rootへの権限昇格の3つのゼロデイを連鎖させ、ログインなしでrootとしてコマンドを実行していたと報告した。このとき修正されたのは前2つ（CVE-2026-104935）だけで、権限昇格は未修正だった（当時の記事）。
Ivantiは10月29日に勧告を更新し、2件を追加で修正した（Ivantiの勧告、The Stack）。Volexityもブログに「10月29日にIvantiが権限昇格の修正を公開し、CVE-2026-111357として追跡されている」と追記した（Volexity）。
- CVE-2026-111357：重要な機能に認証がない欠陥で、ログイン済みのローカルの攻撃者がrootに昇格できる。NVDの説明では、dsinvoked ブローカーが DSCache の設定データを信用してしまうことが原因（NVD）。
- CVE-2026-118527：予測できる名前・識別子を生成する欠陥で、ログイン済みのリモートの攻撃者が、中身を自由に決めたファイルをディスク上の既知の場所に書き込める（CISA KEV）。
- ベルギーのCCBによると、Ivantiはこの2件が認証回避のCVE-2026-104935と連鎖して使われ、認証前のRCEとrootへの昇格に至ったことを確認している（CCB）。
CISAは10月30日、2件をKEVに追加した。連邦機関の対応期限はCVE-2026-111357が11月2日、CVE-2026-118527が11月13日。CVE-2026-111357には侵害の有無の調査（Forensic triage）を求める印が付いている（KEV）。
CISAは10月13日のアラートを更新し、3件の悪用で攻撃者が認証情報の窃取とデータの持ち出しを行っていると書いた（CISAアラート）。
Ivantiは、悪用を見つけた時点でCVE-2026-104935の修正が品質確認中だったため、主な侵入経路の修正を先に出したと説明している（The Stack経由）。

深刻度

CVE-2026-111357：IvantiのCVSS 3.1は8.8（AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H、CCB経由）。NVDに載っているMITREの評価は7.0（AV:L/AC:H/...）で、値が分かれている。
CVE-2026-118527：CVSS 4.3（CCB経由）。単独では低く見えるが、連鎖の一部として悪用された。

影響を受ける製品・バージョン

CVE	影響を受ける版	修正版
CVE-2026-104935（10月13日修正済み）	25.1.1.1以前、25.1.2.2以前、22.8R2.4以前	25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5
CVE-2026-111357、CVE-2026-118527	25.1.1.2以前、22.8R2.5以前	25.1.1.3、22.8R2.6

（Ivantiの勧告の表、The Stack掲載のもの）

22.8系は2027年1月31日にサポートが終わる（CISA）。

修正版・回避策

修正版：22.8R2.6、25.1.1.3。IvantiのダウンロードポータルILSで提供されている。
回避策は示されていない。25系への移行はIvantiの「25.x Upgrade and Migration Compatibility Guide」を参照するよう、CISAが案内している。

今すぐやること

装置の版を確認し、22.8R2.6か25.1.1.3に更新する。10月13日の修正で止まっている装置は、権限昇格がまだ残っている。
侵害の調査は、ネットワークとメモリのフォレンジックで行う。攻撃者のコマンドはメモリ上で動き、整合性チェックツールでは検出できないことがある（CISA）。Volexityの報告では、/dana-na/auth/url_default/welcome.cgi へのリクエストで X-DSCGI-PATH ヘッダーの値がURLと食い違うものが手がかりになる。
侵害が疑われる装置は、上の初期化と再構築の手順を取り、装置に保存していたドメイン・管理者・ローカルのパスワード、証明書、APIキー、ライセンスサーバーの認証情報をすべて入れ替える（CISA）。
装置からADへの不審なLDAP検索（LAPSのパスワードやBitLockerの回復キーの読み取り）やパスワードスプレーの跡がないかも確認する（Volexityが報告した攻撃後の行動）。

考察

「修正済み」を2回確認する必要があった: 10月13日の時点で連鎖の入口は塞がれたが、権限昇格は2週間あまり残った。最初の修正で対応を終えた組織は、今回の更新を見落としやすい。Ivantiの勧告が同じページの更新で出ているのも、気づきにくい理由になりうる。
低いCVSSでも連鎖の部品になる: CVE-2026-118527は単独で4.3だが、認証回避と組み合わさると「ログイン済み」という前提が消える。KEVに入った以上、点数ではなく連鎖全体で優先度を決めるべきだと考える。
痕跡が残らない攻撃では、更新は回復ではない: 攻撃者はWebシェルを置かず、コマンドのたびに連鎖を打ち直していた。更新で今後の侵入は防げても、過去に盗まれた認証情報は使える状態のまま残る。10月上旬以降に外へ出ていた装置は、認証情報の入れ替えまでを1つの作業として扱うのが安全だと考える。

出典

原文をGitHubで読む ↗