Ivantiは、Ivanti Connect Secure（ICS）の深刻度「高」の認証バイパスの脆弱性「CVE-2026-104935」に対処するセキュリティアップデートを公開しました。この脆弱性を悪用されると、リモートの認証されていない攻撃者が任意のコマンドを実行できる恐れがあります。
CyberSecurity Tools
同社は2026年10月13日にこの問題を公表しました。公表時点で、限られた数の顧客がすでに悪用の被害を受けていたことも確認しています。
修正済みのソフトウェアバージョンはすでに提供されており、影響を受けるアプライアンスを運用する組織にとっては、対処が急務となっています。
Ivanti Connect Secure の脆弱性
この脆弱性のCVSS v3.0スコアは8.6で、なりすましによる認証バイパスを指す「CWE-290」に分類されています。アドバイザリーによると、悪用に有効な認証情報やユーザーの操作は必要ありません。
ネットワーク経由で攻撃でき、攻撃の複雑さも低いため、インターネットに公開された環境では特に重大な問題です。影響としては、機密性への影響が大きく、完全性と可用性への影響はそれより低いとされています。
Ivantiは、この問題をICSの25.1.3.0より前のバージョンに影響する認証バイパスと説明しており、任意のコマンドを実行される恐れがあります。
ただし、管理者はこのバージョンだけを対処対象とみなさず、アドバイザリーに記載されたブランチごとのリリース対応表を参照する必要があります。
Ivantiは、ICS 22.7R2.14以前は影響を受けないと明記しており、アップデートに関するガイダンスで言及している影響対象のブランチとは区別しています。
影響を受けるのは、ICS 25.1.1.1以前、25.1.2.2以前、22.8R2.4以前です。これらに対応する修正済みリリースは、25.1.1.2、25.1.3.0および25.1.3.1、22.8R2.5です。
適切なアップグレード経路を判断するうえで、この違いは重要です。古いICSのリリースがすべて同じ影響を受けると決めつけず、利用中のブランチを記載された修正バージョンと照らし合わせる必要があります。
Ivantiが悪用を確認していることから、この脆弱性は理論上の話にとどまらず、現実の脅威となっています。一方で、アドバイザリーには、攻撃者や被害組織、悪用の時期、確認されたインシデントで実行されたコマンドについての記載がありません。
侵害の痕跡（IoC）も示されておらず、具体的ななりすましの手口についても説明されていません。こうした情報の欠如により、攻撃者の目的やキャンペーンの規模、侵入後の活動については結論を導けません。
10月13日の更新では、Volexityのブログ記事がアドバイザリーのよくある質問に追加されたと記されています。ただ、今回提供された資料にはその調査の詳細が含まれていないため、調査結果について独自に評価することはできません。
また、アドバイザリーが「影響を受けた顧客は限定的」としていることを、他の脆弱な環境が安全である証拠と受け取るべきではありません。悪用が特定の環境に限られていることを示すものでもありません。
Ivantiは顧客に対し、記載された修正済みリリースへアップグレードして脆弱性を解消するよう呼びかけています。ダウンロードはIvanti License System経由で入手できます。管理者は、影響を受けるインストール環境を優先的に対処し、稼働中のバージョンをアドバイザリーのリリース表で確認する必要があります。
VulnerabilityScanning Service
提供されたガイダンスでは、解決策としてソフトウェアのアップデートが示されており、回避策は記載されていません。公表前から悪用が発生していたため、修正を適用したからといって、アプライアンスが一度も侵害されていないことの証明にはなりません。
新たなマルウェアが登場したら、すぐに防御を更新しましょう。16K SOCのデータを活用したTIフィードを統合する。
翻訳元: https://gbhackers.com/ivanti-connect-secure-cve-2026-104935-flaw/
