重大な認証バイパスの脆弱性により、リモートの攻撃者はログインチェックを回避し、パッチのバックポートが完了する前に脆弱なアプライアンス上でコマンドを実行できる状態でした。
自前のアカウントを持たない攻撃者が、ベンダーがすでに修正済みの認証バイパスの欠陥を利用して、Ivanti Connect Secureアプライアンスにログインしていたことが確認されました。侵入した攻撃者は、アプライアンス上で任意のコマンドを実行していました。
Ivantiはセキュリティアドバイザリで、次のように説明しています。「Ivantiは製品セキュリティプログラムの一環として、この脆弱性の一部を当初に発見し、7月のリリース25.1.3.0でパッチを適用しました。残りのサポート対象バージョンへ修正をバックポートする作業を進めていた最中に、悪用が発生しました」
セキュリティ企業watchTowrの脆弱性FAQによると、この欠陥により、リモートの攻撃者はユーザーの身元を確立するために使われるシグナルを偽装し、通常の認証チェックを回避できました。watchTowrは、このバイパスは通常の認証とは別の経路を使うため、既存のログイン保護では防げないと付け加えています。
この脆弱性はCVE-2026-104935として追跡されており、CVSSスコアは10点満点中8.6です。Ivanti Connect Secure 22.8R2.4以前のほか、特定の25.1リリースを含む複数の製品ブランチが影響を受けます。Ivantiによると、22.7以前のバージョンは影響を受けません。
Ivantiは、ハードウェアおよびソフトウェアのブランチに応じて、22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1などの修正版をリリースしました。セキュリティチームには、導入しているバージョンを確認し、該当する修正を適用するとともに、侵害の可能性を調査するよう呼びかけています。
Ivantiは信頼できる侵害指標（IoC）はまだ得られていないとしていますが、この欠陥を発見したとされるセキュリティ企業Volexityは、悪用に関する詳細を公開しています。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、10月13日にこの欠陥を既知の悪用された脆弱性（KEV）カタログに追加しました。
