CISAは、新たに公開されたIvanti Connect Secureの脆弱性がハッカーに悪用され、認証情報の窃取やデータの外部流出が起きているとして警告しました。
CVE-2026-104935として追跡されているこの認証バイパスの脆弱性を突かれると、脆弱なVPNアプライアンスに対し、認証なしでリモートからコマンドを実行される恐れがあります。企業のアクセス基盤や、連携するIDシステムが危険にさらされます。
CISAは2026年10月13日、この脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加しました。影響を受けるのは、バージョン25.1.1.1以前、25.1.2.2以前、22.8R2.4以前のリリースです。
CISAは各組織に対し、Ivantiのセキュリティアドバイザリーと移行ガイダンスに従い、該当する最新の更新プログラムを直ちに適用するよう呼びかけています。
Volexityは、10月5日に、当時すべてのパッチが適用されていたバージョン22.8R2.4のアプライアンスで不審な動きを確認したことをきっかけに、この攻撃キャンペーンの調査に着手しました。
研究者らは、悪用が10月3日に始まっていたことを突き止め、この活動をUTA0576として追跡している正体不明の攻撃者によるものと結論づけました。攻撃では、認証バイパス、リモートコード実行、そして別の権限昇格の脆弱性が連鎖的に使われていました。
Ivantiは、認証バイパスとコード実行の部分をCVE-2026-104935として管理しています。権限昇格の問題については、Volexityによると、別途修正が将来提供される予定です。
技術面では、攻撃者はリクエストのルーティングが一貫していない点を悪用し、認証不要のログインエンドポイント経由で、保護されているはずのCGI機能に到達していました。
さらに、ファイルアップロード処理の欠陥により、アップロードされたスクリプトが削除される前に実行できるわずかな時間が生まれていました。続くペイロードの段階では、Pythonコードがメモリ上で実行されました。
root権限を得るため、攻撃者は特権サービスdsinvokedに関連するメモリ内の設定を操作し、メンテナンスタスクを悪意あるコードの実行へと振り向けていました。
その後、ペイロードは変更した設定とメモリを元の状態に戻し、侵害の痕跡が残りにくいようにしていました。Volexityは、攻撃者がアプライアンスに保存された認証情報、特にLDAP認証に使われるドメイン認証情報を抜き取っていたことを確認しています。
攻撃者は、侵害したActive Directoryのサービスアカウントを使い、独自ツールでディレクトリデータを検索しました。狙われたのは、Local Administrator Password Solution（LAPS）のパスワード、BitLockerの回復情報、パスワードを含む属性などです。
このほか、パスワードスプレー攻撃、認証ログの調査、社内DNSの偵察、アプライアンスの設定データの収集も確認されました。
パケットキャプチャの解析でも、平文のLDAP認証情報、HTTP Basic認証の認証情報、NTLMチャレンジレスポンスのハッシュといった、機密性の高い認証関連データが狙われていました。
UTA0576は、永続的なWebシェルを設置する代わりに、エクスプロイトチェーンを繰り返し呼び出し、コマンドの実行結果をHTTPSレスポンスで返していました。また、一部のデバッグログやLinuxの監査ログのエントリも削除しており、事後の調査を難しくしています。
CISAは、攻撃者のコマンドがメモリ上で実行されるため、IvantiのIntegrity Checker Toolでは悪用を見逃す可能性があると注意を促しています。侵害が疑われる組織は、ディスクの整合性チェックの結果だけに頼らず、ネットワークフォレンジックとメモリフォレンジックを行う必要があります。
侵害の疑いがある場合、CISAは、アプライアンスの設定をバックアップしたうえで工場出荷時の状態にリセットし、アップグレードしてから設定を復元するよう推奨しています。クラウドや仮想環境の場合は、再構築してアップグレードを行ってから復元する必要があります。
復旧作業では、ドメイン、管理者、ローカルアカウントのパスワードのリセットに加え、保存されている証明書の失効と再発行、保存されているAPIキーやライセンスサーバーの認証情報の交換も必要です。
ソフトウェアの更新だけでは、盗まれたシークレットを侵害された環境全体で無効にすることはできません。こうした対策はそのための措置です。また、22.8ブランチを運用している組織は、2027年1月31日にサポートが終了する点も踏まえ、サポート対象のリモートアクセス基盤へ移行し、維持する計画を立てておく必要があります。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を減らしています。 チームで試してみる
翻訳元: https://cyberpress.org/cisa-warns-exploiting-ivanti-vpn-zero-day/
