Ivanti Connect Secure にゼロデイ（CVE-2025-0282）— VPN 機器が認証なしで乗っ取られる

何が起きたか

2025年1月8日、Ivanti は VPN 機器 Connect Secure などに、ログインなしで外から好きなプログラムを動かされる欠陥（CVE-2025-0282、CVSS 9.0）があると公表しました。公表の時点で、一部の顧客の機器がすでに攻撃されていたとされ、米 CISA も悪用が確認された脆弱性の一覧（KEV）に加えました。

4月3日には、同じ製品で別の欠陥（CVE-2025-22457、CVSS 9.0）が3月半ばから悪用されていたことも公表されました。修正版 22.7R2.6 は2月に出ていましたが、当初は普通の不具合として扱われていたと報じられています。

影響を受けたのは

• Connect Secure 22.7R2〜22.7R2.4（1月の欠陥。修正版は 22.7R2.5）
• Connect Secure 22.7R2.5 以前（4月の欠陥。修正版は 22.7R2.6）
• Policy Secure、Neurons for ZTA ゲートウェイも対象で、修正は後から順に出ました

自社で確認したいこと

• 修正版へすぐ更新する。サポートが切れた古い版は使い続けない
• メーカーの調査ツールで、すでに侵入されていないか確認する
• 侵入の疑いがあれば、機器を初期化してから更新し、VPN のパスワードや証明書を変える