Ivanti Connect SecureのCVE-2026-104935が実悪用、修正版と侵害調査の確認点

Ivanti Connect Secureに、認証を受けていない攻撃者が遠隔から任意のコマンドを実行できる脆弱性「CVE-2026-104935」が見つかり、実際の攻撃が確認されています。米国のサイバーセキュリティ・社会基盤安全保障庁 (CISA) は2026年10月13日に注意喚起し、認証情報の窃取やデータの持ち出しに悪用されていると説明しました。

認証回避とコマンド実行、root権限への昇格を区別する

Ivantiが登録したCVEレコードでは、なりすましによる認証回避をCWE-290として分類しています。CVSS v3.1は8.6 (High)で、評価主体はCVE採番機関 (CNA) のIvantiです。ネットワーク経由で機器に到達できれば、攻撃者は認証情報も利用者の操作も必要としません。

Volexityの10月13日の調査報告によると、攻撃は少なくとも10月3日から確認され、当時の最新パッチを適用した22.8R2.4も侵害されていました。本CVEを悪用して実行されるコマンドは、cgi-serverユーザーの権限で動きます。観測された攻撃では、別の権限昇格の脆弱性を組み合わせてroot権限を取得していました。

Volexityは10月13日の報告時点で、この別の権限昇格は未修正で、今後のリリースで修正される予定と説明していました。10月20日時点の修正状況は、本記事では確認できていません。以下に示す本CVEの修正版と、攻撃チェーン全体の修正状況は区別してください。

修正版は系列と対応する機器に合わせて選ぶ

Ivantiの公式告知で確認できる影響範囲と修正版は、次のとおりです。CISAが示す影響範囲や、フランスのCERT Santéが案内する更新先とも照合しています。表は本CVEに対する修正版の目安であり、他の修正も含めた最新の推奨版と移行経路はIvantiの案内で確認してください。

CVEレコードでは、22.7R2.14以前の版は本CVEの影響を受けないとされています。この判定は本件だけのもので、古い版を安全な移行先として勧めるものではありません。

なお、CVEレコードとIvanti告知の脆弱性説明文は、どちらも「25.1.3.0より前」としています。CVEレコードの非該当版一覧にも25.1.1.2が含まれていません。一方、Ivantiの公式告知の影響・修正版表と更新手順には25.1.1.2が明記されています。25.1.1系列の更新判断では、機器に対応する公式告知を確認してください。

25.1.3系列への移行は、すべての機器で同じように行えるわけではありません。たとえば、IvantiのVMware向け公式手順は、旧リリースから仮想ICS 25.1.3.0への直接アップグレードをサポートしていないと明記しています。機器型番、仮想基盤、テンプレート、設定移行の条件を確認し、作業前に復旧手段を用意してください。

Ivantiの公式保守表では、22.7・22.8系列のEnd of Engineering (機能拡張の終了)は2026年1月31日、End of Support (技術サポートの終了)は2027年1月31日です。End of Engineering以降、セキュリティ更新と不具合修正はIvantiの判断による限定的な対応になります。修正が提供される条件と、技術サポートが終了する期限は分けて考えてください。

公式告知は22.8を25.1へ移るための一時的な橋渡しとし、2027年1月31日までの移行を求めています。25.1.1.2への移行が直ちにできない環境向けには、22.8R2.5を案内しています。移行先にも保守期限があります。公式保守表では、25.1.1・25.1.2系列のサポート終了が2027年1月31日、25.1.3系列が同年4月30日です。機器の互換性と保守期間の両方を確認して計画してください。

参考情報

• Ivanti: CVE-2026-104935のセキュリティ告知
• CISA: 更新と侵害調査に関する注意喚起
• Volexity: ゼロデイを組み合わせた侵害の調査報告
• CERT Santé: 影響する版と修正版
• CVEレコード: CVE-2026-104935

本記事は2026年10月20日時点の公開情報に基づきます。修正版と移行条件は、Ivantiの最新の案内も確認してください。