セキュリティ
ベンダーは、別の権限昇格の脆弱性についても、今後数週間以内に修正を提供すると約束しています
新たに公表されたゼロデイ脆弱性が攻撃者に悪用されたことを受け、Ivantiは顧客に対し、Connect Secureを更新し、侵害の有無を確認するよう呼びかけています。
Ivantiは火曜日、Connect Secure（ICS）の更新プログラムを公開し、Volexityが発見した認証バイパスの脆弱性「CVE-2026-104935」を修正しました。CVSSスコアは8.6で、認証されていないリモートの攻撃者が任意のコマンドを実行できる恐れがあります。
同社はセキュリティアドバイザリで、「公表時点で、限られた数の顧客に影響する実環境での悪用を把握しています」と述べています。
現時点で利用できる侵害指標（IoC）は限られているとしています。詳しい情報についてはVolexityによる調査結果のレポートを参照し、Ivanti Integrity Checker Toolを定期的に実行するよう顧客に勧めています。
Ivantiが影響を受けるとしているリリースは、次のブランチに含まれるものです。
-
25.1.1.1以前
-
25.1.2.2以前
-
22.8R2.4以前
同社によると、この脆弱性の「一部」はすでに把握しており、7月の25.1.3.0アップデートで修正済みでした。それ以降は同じ修正を旧バージョンへバックポートする作業を進めていましたが、その作業が完了する前に攻撃者による悪用が始まったということです。
Volexityによると、今回の侵入を行った攻撃者は同社の研究者にとってこれまで未知の存在でしたが、現在は「UTA0576」として追跡されています。
Volexityは、動機はスパイ活動ではなく金銭目的の犯行とみています。確認された侵入後の活動から、攻撃者は新たに得たアクセス権を使い、認証情報の窃取、データの持ち出し、ログの改ざん、ネットワークの偵察に最も関心を持っていたとみられます。
注目すべきは、攻撃者がマルウェアを展開せず、Webシェルも実行しなかった点です。ICSアプライアンス上で利用可能なコマンドだけを使っていました。
Volexityは「この攻撃は検知され、阻止されたため、攻撃者の最終的な目的は特定できませんでした」と説明しています。
「ただしVolexityは、UTA0576の行動が、横展開と被害ネットワークへのさらに広範な侵害に向けた準備を示すものだったと、高い確度で評価しています」
研究者らはさらに、攻撃者が大規模言語モデル（LLM）を使って活動を支援していた可能性があるとみています。
Volexityは根拠として、攻撃者がWebシェルを展開せず、エクスプロイトのチャネルを繰り返し使ってコマンドを実行していた点を挙げました。加えて、「ハードコードされた認証情報を使った、きわめて特定用途に絞ったスクリプト」を使っていた点も指摘しています。
Ivantiが公表したCVEは1件ですが、Volexityは3つの脆弱性を連鎖させた攻撃チェーンを説明しています。火曜日の更新プログラムは、このうち認証バイパスとリモートコード実行の段階に対処するものです。
3つ目の権限昇格を可能にする脆弱性は、CVE-2026-104935に含まれる脆弱性とは別のものです。
Volexityによると、Ivantiはこの追加のバグを認識しており、「今後数週間以内に」修正を公開する予定です。
今週のゼロデイ公表により、IvantiがConnect Secureの未公開の脆弱性を突く攻撃への対応を迫られるのは、3年連続となりました。
過去のICSのゼロデイ脆弱性は、2025年1月に公表されました。その1年前の2024年1月に公表された脆弱性は、数千台のICSアプライアンスに影響する攻撃につながっています。
その間にも、中国のスパイ集団とみられる攻撃者がEndpoint Manager Mobile（EPMM）の脆弱性を悪用したほか、Sentryでも重大な脆弱性が見つかっています。
Ivantiでは今年初めにも1月のゼロデイ脆弱性が相次ぎましたが、これらはConnect SecureではなくEPMMに影響するものでした。®
