Ivanti Connect Secure にゼロデイ（CVE-2026-104935）— VPN 機器が認証なしで操られる

何が起きたか

10月13日、Ivanti は VPN 機器 Connect Secure の欠陥 CVE-2026-104935 が攻撃に使われていると公表し、修正版を出しました。ログインを飛ばして、外から装置に命令を実行させられるものです。CISA は同日 KEV に追加し、認証情報の盗み取りやデータの持ち出しに使われていると警告しました。

調査会社 Volexity によると、攻撃者は遅くとも10月3日から、この欠陥を別の2つの欠陥と組み合わせ、最新の状態にしていた装置でも最高権限を取っていたとされます。命令はメモリ上だけで実行され、ログも書き換えられていたため、Ivanti の整合性チェックツールでは見つけにくいとされています。

影響を受けたのは

• Connect Secure 22.8R2.4 以前、25.1.2.2 以前、25.1.1.1 以前
• 22.8 系は2027年1月31日でサポートが終わります

自社で確認したいこと

• Ivanti の案内に沿って最新版へすぐ更新する
• 侵入が疑われるときは、設定を保存して初期化・更新し、設定を戻す
• そのうえで、ドメイン・管理者・ローカルのすべてのパスワード、証明書、API キーを入れ替える
• 22.8 系を使っているなら、25.x への移行を計画する