Ivanti製VPNにゼロデイ攻撃チェーン、最新パッチ適用済み機器でもroot権限を奪取

Ivantiは10月13日（火）、同社のVPNアプライアンス「Connect Secure（ICS）」のゼロデイ脆弱性が実環境で悪用されていると顧客に警告しました。

この脆弱性はCVE-2026-104935として追跡されており、深刻度は「高」と評価されています。認証バイパスの問題で、リモートの未認証の攻撃者が任意のコマンドを実行できるおそれがあります。Ivantiは、限られた数の顧客で悪用を確認していると説明しています。

実環境での悪用を発見したのはVolexityです。同社の顧客の1社で起きたインシデントを調査する中で判明しました。Volexityが「UTA0576」として追跡している、これまで知られていなかった攻撃グループが、3つのゼロデイ脆弱性を連鎖させ、パッチを適用済みのICSアプライアンスで認証なしにroot権限でのコード実行を達成していました。

Volexityによると、CVE-2026-104935が対象とするのは、認証バイパスとリモートコード実行の2つの脆弱性です。Ivantiは、ICSのバージョン22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1のリリースでこれらを修正しました。 

3つ目の権限昇格の脆弱性は未修正のままです。ベンダーは今後数週間のうちに修正する計画です。

Volexityは10月3日に始まる悪用の痕跡を確認しています。同社によると、UTA0576は主に認証情報の窃取、データの持ち出し、ネットワーク偵察、ログの改ざんに注力していました。

攻撃者は、アプライアンスに保存されていたドメイン認証情報を盗み、Active Directoryのメタデータを一部持ち出しました。独自ツールを使い、Active DirectoryからLAPSパスワードとBitLocker回復キーも探索していました。

さらに、パスワードスプレー攻撃を実行し、独自のKerberosツールで認証情報を試行したほか、キャプチャしたネットワークトラフィックからの認証情報の抽出も試みました。ネットワークのスキャンやアプライアンスの設定データの収集も行い、認証ログを解析して有効なユーザー名を特定していました。Volexityは、デバイス上でバックドアやWebシェルを確認していません。 

攻撃は、最終的な目的が明らかになる前に検知され、阻止されました。Volexityは、攻撃者の行動が横展開とネットワーク全体へのより広範な侵害に向けた準備だったと、確度の高い判断を示しています。

Volexityはブログで、「攻撃対象から判断すると、UTA0576の動機はスパイ活動ではなく犯罪目的であると、確度は低いものの評価している」と述べています。

同社はさらに、「Volexityが2026年に調査した他の多くの攻撃者の活動と同様に、UTA0576もエクスプロイトの開発や侵入後の活動に大規模言語モデル（LLM）を利用していると、確度は中程度で評価している」と付け加えました。