ある攻撃者が、Ivanti Connect Secure（ICS）アプライアンスの3つの脆弱性を組み合わせた攻撃チェーンを使い、組織への侵入、認証情報の収集、設定データの外部送出、ネットワーク偵察を行っていました。
「2026年10月の第1週、Volexityは正体不明の攻撃者UTA0576が、ゼロデイの攻撃チェーンを悪用して、パッチ適用済み（当時の最新はバージョン22.8R2.4）のIvanti Connect Secure（ICS）VPNアプライアンスを侵害していることを発見しました」と、Volexityの研究者らは火曜日に公表しました。
Ivantiによれば、開示時点で悪用の被害を受けた顧客は限られており、同社は該当する組織の支援に当たっているとのことです。
攻撃チェーンの仕組み
Volexityによると、この攻撃チェーンは、認証バイパス（welcome.cgi）、ファイル書き込みの脆弱性（wu.cgi）、そして権限昇格の脆弱性で構成されます。権限昇格の脆弱性は「ICSのdsinvokedブローカーがDSCacheの設定データを信頼する仕組みに存在し、攻撃者がroot権限でコマンドを実行できるようになる」ものです。
これにより、攻撃者は次のことが可能になりました。
- 標的デバイスへの無制限のアクセスの獲得
- デバイスに保存された認証情報の抽出
- Active Directoryのメタデータの一部の外部送出
- ローカル管理者パスワードとBitLocker回復キーの収集
- 設定データの外部送出
- 侵害したアプライアンスからのLDAPトラフィックの取得
- ログを改ざんして悪意ある活動の痕跡を消去し、一時的な実行アーティファクトを削除するなどの後片付け
「Volexityは、この活動の標的から判断して、UTA0576の動機はスパイ活動ではなく犯罪目的であると、確度は低いものの評価しています」と、同社の研究者らは述べています。
「この活動は検知され、阻止されたため、攻撃者の最終的な目的は特定できませんでした。ただし、UTA0576の行動は、横展開と被害ネットワーク全体へのさらなる侵害に向けた準備を示していたと、Volexityは高い確度で評価しています」
Defused Cyberによると、この攻撃活動が確認された最も早い事例は10月1日でした（出典）。
パッチ、緩和策、検知
Ivantiは、認証バイパスとRCEの脆弱性（CVE-2026-104935）に対するパッチを公開しており、攻撃チェーンのうち権限昇格の部分については修正を進めています。
「Ivantiは、製品セキュリティプログラムの一環として、この脆弱性の一部を当初に発見し、7月のリリース25.1.3.0で修正していました。残りのサポート対象バージョンへ修正をバックポートする作業を進めていた最中に、悪用が発生しました」と、同社は説明しています。
Ivantiは顧客に対し、修正版へのアップグレード、Volexityが公開した侵害指標（IoC）の確認、そしてディスク上の想定外のファイル変更を検知するICSのIntegrity Checker Toolの定期的な実行を推奨しています。
ただし今回のケースでは、Integrity Checker Toolは役に立たない可能性があります。「この攻撃チェーンはライブラリコードをメモリ上でのみ書き換え、設定ストアのデータも元に戻すため、このツールでは一切の改変を検知できません。したがって、悪用の痕跡を特定するにはフォレンジック調査が必要です」とVolexityは指摘しています。
この助言はCISAも繰り返しています。CISAはCVE-2026-104935を既知の悪用された脆弱性（KEV）カタログに追加し、米連邦文民機関に対して、2026年10月16日までに対処とフォレンジックによる初期調査を行うよう命じました。
侵害の痕跡を見つけた組織は、Ivantiが示した復旧手順に従ってください。
翻訳元: https://www.helpnetsecurity.com/2026/10/14/ivanti-zero-days-gain-root-patched-vpn-appliances/
