Ivanti ICSのゼロデイ攻撃、ベンダーのパッチ提供における課題が浮き彫りに

テクノロジーベンダーが攻撃者より先に脆弱性を発見していても、ゼロデイ攻撃の被害に遭う可能性があります。

今週、Ivantiが直面したのはまさにそうした状況です。攻撃者がIvanti Connect Secure（ICS）製品の2件のゼロデイ脆弱性を悪用しました。SSL-VPNおよびリモートアクセスゲートウェイにおける深刻度「高」の認証バイパスの脆弱性と、それに続く認証不要のリモートコード実行（RCE）です。同社は昨日、両方の脆弱性をまとめてCVE-2026-104935として公表しました。

Ivantiはセキュリティアドバイザリで、「公表時点で、限られた数の顧客に影響する悪用を確認しています」と述べています。

ただ、状況は典型的なゼロデイのシナリオより複雑です。アドバイザリによると、Ivantiは7月、自社の製品セキュリティプログラムを通じて「この脆弱性の一部を発見」し、ICSバージョン25.1.3.0のリリースで修正していました。「悪用が発生した時点では、残りのサポート対象バージョンへ修正をバックポートする作業を進めていました」とIvantiは説明しています。

Volexityの研究者は、UTA0576として追跡している攻撃者が今月初め、CVE-2026-104935を含むゼロデイのエクスプロイトチェーンを使用していたことを突き止めました。このチェーンにより、当時すべてのパッチを適用済みだったICSアプライアンスが侵害されました。

Ivantiが夏にCVE-2026-104935のどの部分を発見したのかは不明です。ただし、Ivantiの広報担当者は、この発見がIvantiのLLMプロジェクトによるものだと認めました。このプロジェクトは、複数の最先端AIモデルとオープンソースAIモデルを使い、自社製品の脆弱性を発見して自動的に修正するものです。しかし、AIモデルのおかげでIvantiはCVE-2026-104935への対応で先行したものの、攻撃者はさらに素早く動いたとみられます。

Ivanti ICSインスタンスに対して複数のゼロデイが悪用される

火曜日に公開されたブログ記事によると、Volexityの研究者が悪意ある活動を最初に検知したのは10月5日でした。「ネットワークセキュリティ監視の顧客」で発生したインシデントを調査していた際のことです。フォレンジック調査の結果、10月3日に始まった攻撃の原因はICSアプライアンスであり、UTA0576がゼロデイのエクスプロイトチェーンを使ってこのデバイスを侵害したことが判明しました。

「このエクスプロイトチェーンは、認証バイパス、リモートコード実行（RCE）、権限昇格の各脆弱性を組み合わせ、認証不要でroot権限のコード実行を達成していました」と、Volexityの研究者は記しています。「RCEと認証バイパスの脆弱性は、CVE-2026-104935として追跡されています」

この権限昇格の脆弱性は公表されていません。Volexityによると、Ivantiは現在この脆弱性の修正に取り組んでおり、今後のアップデートでパッチが提供される予定です。

UTA0576の攻撃者はICSアプライアンスから認証情報を抜き取り、その後さまざまな侵害後の活動を行いました。組織のActive Directoryへのアクセスから、Ivantiのデバッグログに残った悪用の痕跡の削除までが含まれます。Volexityの研究者は、攻撃が検知されて阻止されたため、UTA0576の最終的な目的は不明だとしています。

Rapid7の脆弱性インテリジェンス担当ディレクターであるDouglas McKee氏によれば、はっきりしているのは、今日のベンダーが直面する課題です。攻撃者より先に脆弱性を見つけるだけでなく、悪用される前に完全に対処することも求められているのです。

「バグを見つけるのは仕事の一部にすぎません」と、同氏はDark Readingに語りました。「Ivantiはこの脆弱性の一部を発見し、7月に最新リリースで修正しました。そのうえで、現場で稼働している古いサポート対象バージョンすべてに同じ修正を移植する必要がありました。まさにそのバックポートの期間に問題が起きました。修正は存在していたものの、攻撃者が現れた時点では、必要なすべての環境に行き渡っていなかったのです」

McKee氏は、あるバージョンへのひそかな修正が、攻撃者にとっては大きなシグナルになり得ると強調しました。「攻撃者はベンダーの変更点に細心の注意を払っています。サポート対象バージョンの間でパッチが適用されていない部分があれば、パッチが届いていない環境で同じ問題を探し出してくださいと言っているようなものです」と述べています。

McKee氏は、ベンダーが自社の脆弱性を発見する能力を高めている点は前向きな動きだと指摘します。一方で、修正がリリースされた瞬間から悪用までのカウントダウンが始まるとも強調しました。「『修正はある』という状態から『全顧客が修正を適用済み』という状態までの距離を縮めることにこそ、リスクの多くが潜んでいます。正直なところ、これは私たちが常に直面してきた非常に難しい課題です」と話しています。

CVE-2026-104935-Risks-Mitigations">CVE-2026-104935：リスクと緩和策

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は火曜日、CVE-2026-104935を悪用が確認された脆弱性（KEV）カタログに追加しました。連邦政府の文民機関に対しては、修正バージョンへの更新またはアプライアンスの無効化により、10月16日までにこの脆弱性を緩和するよう求めています。

CVE-2026-104935のCVSSスコアは、深刻度「高」にとどまる8.6です。しかしMcKee氏は、この脆弱性は極めて深刻であり、セキュリティチームは優先的に対処すべきだと述べています。

「この数値が伝えきれないのは、すでにゼロデイとして実環境で悪用されていること、インターネットに面したVPNアプライアンスに存在すること、そして攻撃者が別のバグと連鎖させていることです」と同氏は指摘します。「組織が対応を急ぐ速さを左右すべきなのはこうした要素です。これらが重なることで、実質的なリスクは8.6という数字から受ける印象を大きく上回ります」

Volexityの研究者によると、ICSの内部ルーティングヘッダーであるX-DSCGI-PATHを含む偽装HTTPリクエストによって、この脆弱性を悪用できます。ただし、攻撃者は今後「このエクスプロイトのURLまたはヘッダーの標的として使える、別の経路を特定する」可能性が高いと警告しています。研究者は、URLパスとX-DSCGI-PATHの不一致を監視するよう推奨しています。

ただし、CVE-2026-104935の悪用を検知するのは難しい可能性があります。Ivantiは顧客にIntegrity Checker Tool（ICT）の実行を促していますが、Volexityの研究者は、ICTではデバイスへの改変を検知できない可能性があると述べています。「このエクスプロイトチェーンは、メモリ内でのみライブラリコードにパッチを当て、構成ストアのデータを復元する」ためです。同社は、悪用の痕跡を特定するにはネットワークとメモリのフォレンジック調査が必要だとしています。