Ivanti Connect Secureを狙うハッカー、複数の脆弱性を連鎖させて攻撃

犯罪目的とみられるハッカーが、深刻度の高い3件の脆弱性を組み合わせた複雑なエクスプロイトチェーンを使い、Ivanti Connect Secureの利用企業を狙っています。バージニア州に拠点を置くサイバーセキュリティ企業Volexityが火曜日に公開した報告書で明らかになりました。 

研究者によると、このチェーンは認証バイパスの脆弱性に、リモートコード実行（RCE）と権限昇格の欠陥を組み合わせ、root権限でのコード実行を可能にします。認証バイパスとRCEは一括してCVE-2026-104935として追跡されており、深刻度スコアは10点満点中8.6です。

研究者がUTA0576として追跡しているこの脅威アクターはこれまで知られていなかった存在で、Active Directoryの認証情報などの機密情報を狙っています。ハッカーは、Pythonで作られたカスタムの軽量ディレクトリアクセスプロトコル（LDAP）ツールを使い、BitLockerの回復キーとLocal Administrator Password Solution（LAPS）を標的にしました。 

さらにハッカーは、いわゆるKerberoast攻撃や認証情報のテストを実行できるカスタムのKerberosツールも展開していました。

研究者がIvantiとともにこの問題の調査を始めたのは10月5日です。パッチを完全に適用済みだった顧客環境で、異常なアクティビティを検知したことがきっかけでした。 

Volexityのプロフェッショナルサービス担当バイスプレジデントのSean Koessel氏は、Cybersecurity Diveの取材に次のように答えています。「顧客環境に影響するアクティビティを調査していたところ、[Ivanti Connect Secure] VPNアプライアンスの内部インターフェースを発信元とする認証失敗に気づきました。これまで数多くのエッジデバイスを調べてきましたが、こうした現象は、そのデバイスが侵害されている可能性が高いことを示す典型的な兆候です」 

Ivanti Connect Secureは広く使われているツールで、従業員が企業ネットワークに安全にリモートアクセスするために利用されています。

Ivantiは、限定的な悪用を把握しているとした上で、この攻撃に対処するためのセキュリティアドバイザリを公開しました。顧客は、推奨されるアップグレードを直ちに適用する必要があります。 

悪用のタイムライン

Volexityによると、同社の調査では10月3日から脅威アクティビティが確認されました。一方、脅威インテリジェンス企業のDefusedは、公開ハニーポットと顧客環境の双方で、10月1日に最初のアクティビティを検知したと説明しています。創業者兼CEOのSimo Kohonen氏がCybersecurity Diveに語りました。 

Ivantiによると、同社は脆弱性の一部を社内の製品セキュリティプログラムで以前に特定しており、7月にリリースしたバージョン25.1.3.0で修正済みです。 

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は火曜日、CVE-2026-104935を悪用が確認された脆弱性（KEV）カタログに追加しました。連邦民間行政機関（FCEB）は、金曜日までにこの脆弱性を緩和する必要があります。 

CISAは別途、セキュリティチームに対しシステムに直ちにパッチを適用するよう促しています。同庁はまた、ハッカーのコマンドが「メモリ内」で実行されるため、Ivantiの整合性チェッカーツール（Integrity Checker Tool）では侵害の可能性を常に検知できるとは限らないと警告しました。  

Volexityの研究者は、ハッカーがIvantiのデバッグログとLinuxの監査ログから悪用の痕跡を削除していると警告しています。このため、検知には追加のフォレンジック分析が必要になります。