Ivanti Connect Secure のゼロデイ脆弱性が攻撃で悪用される

企業向けSSL VPN「Ivanti Connect Secure（旧Pulse Connect Secure）」で、重大度の高い認証バイパスの脆弱性が確認されました。リモートの未認証の攻撃者が任意のコマンドを実行し、認証情報を盗み、機密データを外部に持ち出せる恐れがあります。

サイバーセキュリティ企業のVolexityの研究者らは、この認証バイパスの脆弱性を含む脆弱性チェーンが、10月の第1週に実環境で悪用されていたことを確認しました。攻撃者は、すべてのパッチを適用済みのICS VPNアプライアンスを侵害し、root権限でのリモートコード実行に成功しています。この脆弱性は限定的なICS顧客に対して悪用されており、CISAの「既知の悪用された脆弱性（KEV）カタログ」に追加されました。

Volexityの調査によると、攻撃者はこの攻撃で3件のゼロデイ脆弱性を悪用していました。うち認証バイパスとリモートコード実行の2件は、まとめてCVE-2026-104935として管理されており、CVSS v3.1のベーススコアは8.6です。Ivantiは、この脆弱性が限定的なICS顧客に対して悪用されたとしており、CISAのKEVカタログにも追加されています。 3件目のゼロデイは権限昇格の脆弱性で、まだパッチが提供されていません。Ivantiは修正パッチを開発中で、今後のリリースで対処する予定です。

CVE-2026-104935は、以下のIvanti Connect Secure（ICS）のバージョンに影響します。脆弱性を修正するパッチはすでに公開されています。Ivantiは、利用者に対して整合性チェッカーツール（Integrity Checker Tool）を定期的に実行することも推奨しています。

Volexityは、限定的ながら侵害の痕跡（IoC）を特定しており、その詳細をブログ記事で公開しています。