Ivanti VPNのゼロデイ攻撃、狙いは認証情報：適用すべきパッチと対応策

侵害されたVPN機器にパッチを適用しても、脆弱性は塞がれますが、攻撃者がすでに窃取した認証情報は無効になりません。このリスクは、Ivanti Connect Secureの3件のゼロデイ脆弱性を連鎖させた攻撃を研究者が発見したことで明らかになりました。攻撃者はこれらを悪用して認証情報を盗み、機密性の高いディレクトリ情報にアクセスしていました。

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年10月13日、攻撃者がCVE-2026-104935を悪用し、不正なコマンドをリモートから実行していると警告しました。同庁はこの脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加し、早急な対処を呼びかけています。各組織は、パッチ適用前に攻撃者が内部システムへアクセスしていないかどうかも調査する必要があります。

認証情報とディレクトリデータを露出させるIvantiの攻撃チェーン

CVE-2026-104935は、CVSSスコアが8.6の重大度の高い脆弱性です。企業向けVPNゲートウェイであるIvanti Connect Secureに影響する、認証バイパスとリモートコード実行の弱点を組み合わせたものです。

Volexityによる調査では、UTA0576として追跡される攻撃者が、3件の脆弱性を悪用していたことが判明しました。標的となったのは、当時完全にパッチが適用されていたバージョン22.8R2.4の機器です。悪用は10月3日に始まりました。

攻撃チェーンでは、認証バイパス、リモートコード実行、権限昇格を組み合わせてroot権限を奪取していました。CVE-2026-104935は、このうち最初の2件の弱点を対象としています。権限昇格の脆弱性は別個のもので、Volexityが10月13日に調査結果を公表した時点では、まだパッチが提供されていませんでした。

攻撃者は、保存されていたLDAP認証情報を抽出し、限定的なActive Directoryのメタデータを外部へ持ち出したほか、Windows LAPSのパスワードやBitLockerの回復キーも探索していました。また、米国の水道事業者で発生したリモートアクセス用認証情報の窃取は、露出した認証データがネットワークへの不正アクセスの足がかりになり得ることを示しています。

攻撃者はさらに、メモリ上のコードを改変し、変更した設定を元に戻し、一部のログを削除していました。調査対象の機器では、永続的なWebシェルやバックドアは確認されていません。これらの手口はIvantiの整合性チェックツール（Integrity Checker Tool）を回避する可能性があり、検出を難しくします。侵害されたセキュリティ管理システムが内部ネットワークを危険にさらす場合にも、同様のリスクが生じます。

影響を受けるバージョンへのパッチ適用と侵害調査

Ivantiのセキュリティアドバイザリによると、影響を受けるのは各ブランチの25.1.1.1、25.1.2.2、22.8R2.4までのリリースです。修正版は25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5です。管理者はアップグレード前に、適切なリリースとハードウェアの互換性を確認してください。

CISAのアラートは、侵害の可能性についても調査するよう求めています。セキュリティチームは、次の対応を優先する必要があります。

• パッチ適用とアクセス制限：適切な修正版リリースをインストールし、不要な外向きの接続を制限するとともに、機器から重要な内部システムへのアクセスを制限する。
• 不審な活動の調査：認証ログ、ネットワークトラフィック、メモリ上の証拠を調べ、/dana-na/auth/url_default/welcome.cgiへの異常なリクエスト、想定外のX-DSCGI-PATH値、/tmp/配下の不審なファイルを確認する。
• 証拠の保全とシステム復旧：侵害された物理アプライアンスを工場出荷状態にリセットする前、または仮想インスタンスを再構築する前に、フォレンジックデータを収集する。復元する設定は、精査したものに限る。
• 認証情報のローテーションと権限の制限：漏えいの可能性があるパスワードをリセットし、影響を受けた証明書とAPIキーを交換する。LDAPおよびActive Directoryのサービスアカウントの権限も監査する。
• 監視と認証の強化：可能な場合は多要素認証を徹底し、KerberosとLDAPの異常なアクティビティを監視する。セキュリティログも一元管理する。
• インシデント対応計画の検証：封じ込め、横展開（ラテラルムーブメント）の調査、認証情報のローテーション、安全な復旧手順を検証する。

米国立脆弱性データベース（NVD）は、対象となる米連邦文民行政機関に対する対処期限を2026年10月16日としています。最近のSharePointの悪用事例も、積極的に悪用されている脆弱性が、連邦政府による対処要件の前倒しにつながり得ることを示しています。

修正パッチの適用により、確認された侵入口は塞がれますが、窃取された認証情報は引き続き使用できる可能性があります。各組織は、攻撃者がVPN機器以外のシステムにも到達したかどうかを判断するため、その先のアクセスを調査する必要があります。

関連記事：Citrix NetScalerの重大な脆弱性は、影響を受けるゲートウェイ構成の確認、適切なセキュリティアップデートの適用、アップグレード後の認証サービスのテストが必要であることを示しています。