# 【11/6】Ivanti Connect Secure脆弱性 CVE-2026-104935 など3件とは？悪用を確認・修正版と確かめ方・対策 > VPN機器 Ivanti Connect Secure の脆弱性3件（CVE-2026-104935 ほか）を連ねると、ログインなしで機器を乗っ取られます。米CISAが悪用を確認。影響する版と修正版 25.1.1.3・22.8R2.6、確かめ方、侵害が疑われるときの手順をまとめます。 - URL: https://enhanced.co.jp/articles/ivanti-connect-secure-cve-2026-104935/ - 公開日: 2026-11-06 - カテゴリー: [セキュリティ対策](https://enhanced.co.jp/topics/security/) - タグ: セキュリティ, 脆弱性 - 発行: エンハンスド株式会社 (https://enhanced.co.jp/) --- # 【11/6】Ivanti Connect Secure脆弱性 CVE-2026-104935 など3件とは？悪用を確認・修正版と確かめ方・対策 社外から社内のネットワークにつなぐためのVPN機器 **Ivanti Connect Secure**（旧名 Pulse Connect Secure）に、**3件の脆弱性（CVE-2026-104935・CVE-2026-111357・CVE-2026-118527）**が見つかりました。Ivanti によると、3件を連ねた攻撃が**すでに一部の利用企業で悪用**されています。 発見した調査会社 Volexity の報告では、攻撃者はこの連鎖で、**ログインせずに、機器の最も強い権限（root）でコマンドを実行**していました。機器の中の認証情報を盗み、社内の Active Directory の情報を持ち出していたとされています。米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）も、3件すべてを「実際に悪用が確認された脆弱性」の一覧（KEV）に加えました。 この記事では、VPN機器を管理している情報システムの担当者と、その上司の方に向けて、**何が起きたのか、自社の機器が影響を受けるのか、今日なにをすればよいのか**を、2026年11月6日時点の公式情報で整理します。 > **結論：Ivanti Connect Secure を 25.1.1.3 以降（22.8系なら 22.8R2.6 以降）に更新してください。** 10月13日の修正版（25.1.1.2・22.8R2.5）では、3件のうち2件が直っていません。また、この攻撃は Ivanti の Integrity Checker Tool（ICT）では見つからないことがあります。10月中に古い版のまま外部に公開していた機器は、侵害を受けていないかの調査も検討してください。 VPN機器の脆弱性の対応をお手伝いします「うちのVPNは何の版？」の確認から、更新・侵害の調査まで Ivanti Connect Secure の版の確認、修正版への更新の段取り、侵害が疑われるときの初期化と復旧、パスワードや証明書の入れ替えを、エンハンスドがお手伝いします。販売店・保守会社と連絡が取りにくい機器もご相談ください。 [VPN機器の対応を相談する](https://enhanced.co.jp/?inquiry=security#contact) ## 何が起きたのか：3件の脆弱性と、その連鎖 Ivanti は2026年10月13日にセキュリティアドバイザリを出し、10月29日に更新しました。対象は Ivanti Connect Secure（ICS）で、深刻度「High」が2件、「Medium」が1件です。Ivanti は「3件を連ねた悪用を、公表の時点で限られた数の顧客で確認している」としています。 | CVE番号 | 内容 | 深刻度（Ivanti の評価） | | --- | --- | --- | | CVE-2026-104935 | なりすましによる認証の回避。**ログインしていない遠隔の攻撃者が、任意のコマンドを実行**できる | CVSS 8.6（High） | | CVE-2026-111357 | 重要な機能に認証が無い。機器の中で動けるようになった攻撃者が、**権限を引き上げ**られる | CVSS 8.8（High） | | CVE-2026-118527 | 予測できるファイル名の使用。ログインした遠隔の攻撃者が、ディスクの決まった場所に**好きな内容のファイルを置ける** | CVSS 4.3（Medium） | 出典：[Ivanti のセキュリティアドバイザリ](https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US)、[NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-104935)。2026年11月6日確認。CVE-2026-111357 は、NVD に載る MITRE の評価では CVSS 7.0（High）です。 ### 1件ずつでは弱く見えても、連ねると「ログインなしで root」になる CVE-2026-111357 と CVE-2026-118527 は、それだけでは「機器の中で動ける」「ログインしている」ことが前提です。しかし CVE-2026-104935 でログインを回避できるため、**3件を組み合わせると、外部からログインなしで機器を完全に乗っ取れてしまいます**。CISA も KEV で、3件は互いに連ねられると説明しています。 Volexity の報告によると、攻撃の流れは次の3段でした。 1. **認証の回避**：ログイン画面のための公開された仕組みを通して、本来はログインが必要な処理に要求を回す 2. **コードの実行**：ファイルを受け取る処理に、攻撃用のスクリプトを送り込み、消される前の一瞬に実行させる 3. **root への権限の引き上げ**：機器の保守の処理を、root の権限のまま攻撃者のスクリプトを動かすように書き換える Ivanti は 1 と 2 をまとめて CVE-2026-104935、3 を CVE-2026-111357 として扱っています。 ### 攻撃者は何をしていたか Volexity は、2026年10月の第1週に、**当時の最新版（22.8R2.4、Build 19097）**だった機器がこの連鎖で侵害されているのを見つけました。攻撃者（Volexity は UTA0576 と呼んでいます）は10月3日から繰り返し悪用し、次のようなことをしていました。 - VPN機器に保存された認証情報（LDAP で使うドメインの認証情報など）を取り出す - Active Directory の情報を調べて持ち出す。ローカル管理者のパスワード（LAPS）や BitLocker の回復キーも探していた - パスワードの総当たり（パスワードスプレー）や、VPN機器を通る通信の盗み見 - 攻撃の跡が残るログの一部を消す 攻撃者はバックドアや Web シェルを置かず、命令のたびに脆弱性を突き直していました。CISA も、攻撃者がこれらの脆弱性を使って**認証情報の窃取とデータの持ち出し**をしているとしています。VPN機器は社内のネットワークの入り口にあるため、ここを取られると社内全体への侵入の足がかりになります。 ## 影響を受ける製品と版・修正版 Ivanti のアドバイザリが対象としているのは **Ivanti Connect Secure** です。同じ系列の Ivanti Policy Secure や ZTA ゲートウェイは、11月6日時点でこのアドバイザリには載っていません。 | 使っている系統 | 影響を受ける版 | 更新先（修正版） | | --- | --- | --- | | 25.1.1 系（ISA6000・ISA8000 など） | 25.1.1.2 以前 | **25.1.1.3**（3件すべてを修正） | | 25.1.2 系 | 25.1.2.2 以前（CVE-2026-104935） | 25.1.3.0・25.1.3.1 | | 25.1.3 系（ISA4500・ISA6500・ISA8500 など） | 影響なし（25.1.3.0 以降） | — （最新版の利用を推奨） | | 22.8 系 | 22.8R2.5 以前 | **22.8R2.6**（3件すべてを修正）。Ivanti は 25.1.1.3 以降への移行を推奨 | | 22.7 系以前 | 影響なし | — （2027年1月31日にサポート終了） | 出典：[Ivanti のセキュリティアドバイザリ](https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US)（10月29日更新）、[CISA の告知](https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerabilities-ivanti-connect-secure)（10月30日更新）。2026年11月6日確認 注意が要るのは、**10月13日に出た修正版（25.1.1.2・22.8R2.5）は CVE-2026-104935 しか直していない**点です。残りの2件（CVE-2026-111357・CVE-2026-118527）の修正は、10月29日の 25.1.1.3・22.8R2.6 で入りました。10月中旬に一度更新した機器も、もう一度更新が必要です。 ### 22.7系・22.8系はサポート終了が近い Ivanti によると、**22.7系と22.8系は、どちらも2027年1月31日にサポートが終わります**。22.8系は「22.7系から25.1系へ移るための一時的な橋渡し」という位置づけで、Ivanti はそれまでに25.1系へ移るよう求めています。22.7系は今回の脆弱性の影響を受けませんが、移行の計画は今のうちに立てておくのが安全です。 なお、25.1.3.0 へ移るには新しい機種（ISA4500・ISA6500・ISA8500）が必要です。物理の機器を使っている場合は新しい機器の用意が、仮想・クラウドの場合は 25.1.3.0 のテンプレートからの作り直しが要ります。 ## 自社の機器が影響を受けるか確かめる方法 ### 1. 動いている版を確かめる Ivanti Connect Secure の管理コンソール（管理者用の Web 画面）で、動いている版（「22.8R2.5」「25.1.1.2」のような番号）を確かめ、上の表と突き合わせてください。画面の場所は版によって違います。分からない場合や、VPN機器の管理を販売店・保守会社に任せている場合は、次のことを問い合わせてください。 - 今の版は何か。25.1.1.3 以降、または 22.8R2.6 以降になっているか - まだなら、いつ更新するか。10月13日の修正版（25.1.1.2・22.8R2.5）で止まっていないか - 22.7系・22.8系なら、2027年1月31日のサポート終了までに25.1系へ移る計画はあるか ### 2. Integrity Checker Tool（ICT）だけで安心しない Ivanti は、機器のファイルが書き換えられていないかを調べる **Integrity Checker Tool（ICT）**を提供しており、今回のアドバイザリでも「ICT を定期的に実行する」よう案内しています。 ただし、**今回の攻撃は ICT では見つからないことがあります**。CISA は「攻撃者のコマンドはメモリの上で動くため、ICT は CVE-2026-104935 の悪用の跡を検知できないおそれがある」としています。Volexity も、攻撃者がメモリの上だけで仕組みを書き換え、後で元に戻していたため、ICT では変化が見つからなかったと報告しています。 CISA は、侵害されたかどうかを判断するには**ネットワークとメモリのフォレンジック（専門的な調査）が必要**としています。 ### 3. 公開されている攻撃の手がかり Ivanti は「侵害の痕跡（IoC）は今のところ限られている」として、Volexity の報告の痕跡を見るよう案内しています。Volexity が挙げている手がかりは次のとおりです。 - `/dana-na/auth/url_default/welcome.cgi` への大量の要求。悪意のある要求には `X-DSCGI-PATH` という見出し（ヘッダー）が付き、URL と食い違う場所を指している - VPN機器の `/tmp/` に、攻撃の後の作業の跡が残っていないか - VPN機器を起点にした、社内の別の機器への接続の試み ログやヘッダーを見られる仕組み（WAF・通信の監視など）があれば、こうした通信が無かったかを確かめてください。痕跡が見つかった、または判断がつかない場合は、専門家に調査を依頼してください。 ## 修正版への更新の手順 Ivanti は「修正版のいずれかに更新すれば解決する」としています。CISA も、影響を受ける機器を**すぐに最新版へ更新する**よう求めています。 1. **今の版と機種を確かめる**：上の表で、どの修正版へ上げるかを決めます（25.1.1 系なら 25.1.1.3、22.8 系なら 22.8R2.6、または 25.1.1.3 以降）。 2. **設定をバックアップする**：更新の前に、機器の設定を保存しておきます。 3. **Ivanti の手引きを確かめる**：CISA は、物理の機器・仮想の機器それぞれの更新の進め方について、Ivanti の「Connect Secure 25.x Upgrade and Migration Compatibility Guide」を見るよう案内しています。Ivanti のアドバイザリでは、修正版は ILS（Ivanti のダウンロードの窓口）から入手できるとされています。 4. **更新する**：VPN を使う人に止まる時間を知らせてから、更新します。 5. **版とつながりを確かめる**：更新の後、管理コンソールで修正版になったことと、社外からVPNにつながることを確かめます。 ### すぐに更新できないときは 2026年11月6日時点で、**Ivanti は更新以外の回避策（設定の変更など）を示していません**。CISA も KEV で「ベンダーの指示に従って対策を当てる。対策が無い場合は製品の使用をやめる」としています。更新を最優先にし、どうしても更新できない間は、VPN機器の利用を止めることも選択肢になります。 ## 侵害が疑われるとき（公式の復旧の手順） Ivanti は、侵害が疑われる場合は公式の復旧の手順（Recovery Procedures）に従うよう案内しています。CISA が示している手順は次のとおりです。 1. 機器の設定のバックアップを取る 2. 機器を**工場出荷時の状態に戻し（ファクトリーリセット）、最新版に更新する**。クラウド・仮想の機器は、インスタンスを作り直して最新版に更新する 3. 1 で取ったバックアップから設定を戻す 4. **ドメイン・管理者・ローカルを含むすべてのアカウントのパスワードを変える**。機器に保存した証明書を失効させて発行し直し、API キーとライセンスサーバーの認証情報も変える Ivanti の復旧の手順では、機器を完全に更新するまでは隔離した環境で作業し、インターネットにつながないよう求めています。証明書には、機器や利用者の認証に使うもの、外向きの SSL 証明書なども含まれます。認証サーバーの設定に使っているサービス用のアカウントのパスワードも変える対象です。 今回の攻撃では、VPN機器に保存された認証情報や Active Directory の情報が狙われていました。機器を初期化しても、**盗まれた可能性のあるパスワードは、変えるまで使われるおそれが残ります**。 VPN機器の緊急対応「更新したいが、止められない」「侵害されていないか不安」ならご相談ください エンハンスドが、版の確認から修正版への更新の段取り、侵害が疑われるときの初期化・復旧、アカウントのパスワードや証明書の入れ替えまでをお手伝いします。社内に VPN 機器に詳しい担当者がいない会社もご相談いただけます。会社全体の守りの見直しは[セキュリティ対策の支援](https://enhanced.co.jp/services/ai-acceleration/security/)でもお受けしています。 [VPN機器の対応を相談する](https://enhanced.co.jp/?inquiry=security#contact) ## Ivanti Connect Secure の脆弱性の時系列【11月6日時点】 日付は各発表の表記によります（海外の発表は米国の日付のため、日本時間では翌日になることがあります）。 | 日付 | 出来事 | | --- | --- | | 2026年7月 | Ivanti が 25.1.3.0 を公開。Ivanti は脆弱性の一部を自社で見つけ、この版で直していた（[Ivanti](https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US)） | | 10月3日 | 攻撃者 UTA0576 が悪用を始める（[Volexity](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/)） | | 10月5日 | Volexity が顧客先で調査を始め、VPN機器が侵入口だと突き止める | | 10月13日 | Ivanti がアドバイザリを公開し、CVE-2026-104935 の修正版（25.1.1.2・22.8R2.5 など）を出す。CISA が KEV に追加し、告知を出す。Volexity が報告を公開 | | 10月29日 | Ivanti が CVE-2026-111357・CVE-2026-118527 を追加で公表し、3件すべてを直す修正版（25.1.1.3・22.8R2.6）を出す | | 10月30日 | CISA が CVE-2026-111357・CVE-2026-118527 を KEV に追加し、告知を更新。米政府機関の対応期限は CVE-2026-111357 が11月2日、CVE-2026-118527 が11月13日（[CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111357)） | | 11月3日 | NVD に CVE-2026-118527 が載る（[NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-118527)） | | 11月6日 | JPCERT/CC・IPA には、今回の件の注意喚起はまだ無い（確認時点） | | 2027年1月31日 | 22.7系・22.8系のサポート終了（Ivanti） | ## よくある質問 ### CVE-2026-104935 とは何ですか？ VPN機器 Ivanti Connect Secure の、なりすましによる認証の回避の脆弱性です。ログインしていない遠隔の攻撃者が、任意のコマンドを実行できます。Ivanti の評価は CVSS 8.6（High）で、2026年10月13日に修正版が出ました。CVE-2026-111357・CVE-2026-118527 と連ねると、機器を root の権限で乗っ取れます。 ### 10月に 22.8R2.5（または 25.1.1.2）に更新しました。これで大丈夫ですか？ いいえ。その版で直ったのは CVE-2026-104935 だけです。残りの2件は 22.8R2.6・25.1.1.3 で直りました。もう一度、22.8R2.6 以降か 25.1.1.3 以降に更新してください。 ### 22.7系を使っています。対応は必要ですか？ Ivanti によると、22.7系以前は今回の脆弱性の影響を受けません。ただし、22.7系は2027年1月31日にサポートが終わります。それまでに25.1系へ移る計画を立ててください。 ### Integrity Checker Tool（ICT）で異常が無ければ安全ですか？ そうとは言い切れません。CISA と Volexity は、今回の攻撃はメモリの上で動くため、ICT では見つからないことがあるとしています。侵害の有無をはっきりさせるには、ネットワークとメモリの専門的な調査が必要です。 ### Ivanti Policy Secure や ZTA ゲートウェイも対象ですか？ 11月6日時点で、Ivanti のアドバイザリに載っているのは Connect Secure だけです。Policy Secure や ZTA ゲートウェイを使っている場合も、Ivanti の最新のアドバイザリが更新されていないか、定期的に確かめてください。 ### 更新すれば、侵害の調査はしなくてよいですか？ 更新で防げるのは、これからの攻撃です。悪用は10月3日から確認されているので、それより後に修正版でない版のまま外部に公開していた機器は、すでに侵害されているおそれがあります。不審な通信や痕跡があれば、公式の復旧の手順（初期化・更新・パスワードや証明書の入れ替え）を進め、専門家に調査を依頼してください。 ## まとめ - Ivanti Connect Secure の3件の脆弱性（CVE-2026-104935・CVE-2026-111357・CVE-2026-118527）を連ねると、ログインなしで機器を root の権限で乗っ取れる。悪用は2026年10月3日から確認されている - 修正版は **25.1.1.3**・**22.8R2.6**（25.1.2 系は 25.1.3.0 以降）。10月13日の 25.1.1.2・22.8R2.5 では2件が残る - 攻撃は ICT で見つからないことがある。侵害が疑われるなら、公式の手順で初期化・更新し、パスワードと証明書を入れ替える - 22.7系・22.8系は2027年1月31日にサポート終了。25.1系への移行の計画を立てる ## 参考資料 - [Security Advisory Ivanti Connect Secure (CVE-2026-104935) - Ivanti（公式のアドバイザリ）](https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US) - [Ivanti Connect Secure (ICS) and Ivanti Policy Secure (IPS) Recovery Procedures - Ivanti（公式の復旧の手順）](https://hub.ivanti.com/s/article/Recovery-Steps) - [Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide - Ivanti](https://hub.ivanti.com/s/article/Ivanti-Connect-Secure-25-x-Upgrade-and-Migration-Compatibility-Guide) - [CISA Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure - CISA](https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerabilities-ivanti-connect-secure) - [Known Exploited Vulnerabilities Catalog - CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) - [CVE-2026-104935 - NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-104935) - [CVE-2026-111357 - NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-111357) - [CVE-2026-118527 - NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-118527) - [A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days - Volexity（発見した調査会社の報告）](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/) --- 出典: 「【11/6】Ivanti Connect Secure脆弱性 CVE-2026-104935 など3件とは？悪用を確認・修正版と確かめ方・対策」エンハンスド株式会社 https://enhanced.co.jp/articles/ivanti-connect-secure-cve-2026-104935/