Ivantiは、Ivanti Connect Secure（ICS）で見つかった重大度の高いゼロデイ脆弱性「CVE-2026-104935」を修正するセキュリティ更新プログラムを公開しました。同社は、この脆弱性が一部の顧客に対する攻撃で悪用されたことを確認しています。
この脆弱性により、認証されていないリモートの攻撃者が任意のコマンドを実行できます。IvantiはCVSSスコアを8.6と評価しており、重大度は「高」です。
Volexityの調査によると、攻撃者は認証なしの状態からICSアプライアンス上でrootレベルのコード実行に至る、より広範なエクスプロイトチェーンを利用できる可能性があります。
Volexityは、このチェーンのうち認証バイパスとリモートコード実行の段階をCVE-2026-104935に関連付けています。一方、root権限の取得には別の権限昇格の脆弱性が使われたとしています。
Volexityがこの活動を確認したのは2026年10月上旬です。対象はバージョン22.8R2.4が稼働するICSアプライアンスで、当時は完全にパッチが適用されていたといいます。同社は、この攻撃をUTA0576として追跡している正体不明の攻撃者によるものと分析しています。
フォレンジック分析の結果、攻撃者はリクエストルーティングに影響する認証バイパスと、アップロードハンドラーにおけるファイル書き込みのレースコンディションを連鎖させていたことが判明しました。
これにより、攻撃者はアプライアンスのcgi-serverユーザーとしてコードを実行できました。その後、別の権限昇格手法を用いてroot権限での実行も可能にしています。
侵入後、攻撃者は認証情報や機密情報を探索しました。標的となったのは、ドメイン認証情報、Local Administrator Password Solution（LAPS）のパスワード、BitLockerの回復キーなどです。
Volexityはさらに、Active Directoryへの偵察活動、パスワードスプレー攻撃、認証情報を含む可能性のある通信を狙ったパケットキャプチャも確認しています。
攻撃者はWebシェルや永続的なバックドアを設置せず、エクスプロイトのチャネルそのものを使ってコマンドの送信と結果の取得を行っていました。
調査では、アンチフォレンジック対策も明らかになりました。Volexityによると、攻撃者はメモリ上のシステム状態を改変した後で元に戻し、Ivantiのデバッグログやlinuxの監査ログからエントリーを削除していました。
同社は、Ivantiの整合性チェックツール（Integrity Checker Tool）ではこの活動を検出できない可能性があると注意を促しています。確認された手法はメモリを書き換えるもので、永続的なファイル変更を残さないためです。
そのため、侵害の疑いがある場合は、メモリやネットワーク上の証拠の分析を含むフォレンジック調査が必要です。Ivantiによると、影響を受けるのはICSのバージョン25.1.1.1以前、25.1.2.2以前、22.8R2.4以前です。
修正済みバージョンは25.1.1.2、25.1.3.0以降、22.8R2.5です。Ivantiは修正済みリリースへの更新を推奨しており、各組織はアプライアンスや展開環境に適したアップグレード経路を確認する必要があります。
Ivantiは、バージョン22.7R2.14以前はこの脆弱性の影響を受けないとしています。ただし、22.7および22.8のコードラインは2027年1月31日にサポート終了を迎えます。
同社は、22.8を利用している顧客に25.1ラインへの移行を推奨しており、22.8は一時的なつなぎにすぎないと説明しています。すぐに移行できない場合は、22.8R2.5が修正済みの選択肢になります。
各組織は、Volexityが公開した侵害指標を確認し、/dana-na/auth/url_default/welcome.cgiに対する不審なリクエストを監視してください。特に、X-DSCGI-PATHヘッダーが想定外のスクリプトや一時ファイルを指している場合は注意が必要です。
証拠は削除されている場合や、メモリ上にしか存在しない場合があります。そのため、整合性チェックツールの結果が正常だったとしても、それだけでアプライアンスが侵害されていない証拠とみなすべきではありません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-exploit-ivanti-connect-secure-zero-day/
