【11/6】Ivanti Connect Secure脆弱性 CVE-2026-104935 など3件とは？悪用を確認・修正版と確かめ方・対策

社外から社内のネットワークにつなぐためのVPN機器 Ivanti Connect Secure（旧名 Pulse Connect Secure）に、3件の脆弱性（CVE-2026-104935・CVE-2026-111357・CVE-2026-118527）が見つかりました。Ivanti によると、3件を連ねた攻撃がすでに一部の利用企業で悪用されています。

発見した調査会社 Volexity の報告では、攻撃者はこの連鎖で、ログインせずに、機器の最も強い権限（root）でコマンドを実行していました。機器の中の認証情報を盗み、社内の Active Directory の情報を持ち出していたとされています。米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）も、3件すべてを「実際に悪用が確認された脆弱性」の一覧（KEV）に加えました。

この記事では、VPN機器を管理している情報システムの担当者と、その上司の方に向けて、何が起きたのか、自社の機器が影響を受けるのか、今日なにをすればよいのかを、2026年11月6日時点の公式情報で整理します。

結論：Ivanti Connect Secure を 25.1.1.3 以降（22.8系なら 22.8R2.6 以降）に更新してください。 10月13日の修正版（25.1.1.2・22.8R2.5）では、3件のうち2件が直っていません。また、この攻撃は Ivanti の Integrity Checker Tool（ICT）では見つからないことがあります。10月中に古い版のまま外部に公開していた機器は、侵害を受けていないかの調査も検討してください。

VPN機器の脆弱性の対応をお手伝いします

「うちのVPNは何の版？」の確認から、更新・侵害の調査まで

Ivanti Connect Secure の版の確認、修正版への更新の段取り、侵害が疑われるときの初期化と復旧、パスワードや証明書の入れ替えを、エンハンスドがお手伝いします。販売店・保守会社と連絡が取りにくい機器もご相談ください。

VPN機器の対応を相談する

何が起きたのか：3件の脆弱性と、その連鎖

Ivanti は2026年10月13日にセキュリティアドバイザリを出し、10月29日に更新しました。対象は Ivanti Connect Secure（ICS）で、深刻度「High」が2件、「Medium」が1件です。Ivanti は「3件を連ねた悪用を、公表の時点で限られた数の顧客で確認している」としています。

CVE番号	内容	深刻度（Ivanti の評価）
CVE-2026-104935	なりすましによる認証の回避。ログインしていない遠隔の攻撃者が、任意のコマンドを実行できる	CVSS 8.6（High）
CVE-2026-111357	重要な機能に認証が無い。機器の中で動けるようになった攻撃者が、権限を引き上げられる	CVSS 8.8（High）
CVE-2026-118527	予測できるファイル名の使用。ログインした遠隔の攻撃者が、ディスクの決まった場所に好きな内容のファイルを置ける	CVSS 4.3（Medium）

出典：Ivanti のセキュリティアドバイザリ、NVD。2026年11月6日確認。CVE-2026-111357 は、NVD に載る MITRE の評価では CVSS 7.0（High）です。

1件ずつでは弱く見えても、連ねると「ログインなしで root」になる

CVE-2026-111357 と CVE-2026-118527 は、それだけでは「機器の中で動ける」「ログインしている」ことが前提です。しかし CVE-2026-104935 でログインを回避できるため、3件を組み合わせると、外部からログインなしで機器を完全に乗っ取れてしまいます。CISA も KEV で、3件は互いに連ねられると説明しています。

Volexity の報告によると、攻撃の流れは次の3段でした。

認証の回避：ログイン画面のための公開された仕組みを通して、本来はログインが必要な処理に要求を回す
コードの実行：ファイルを受け取る処理に、攻撃用のスクリプトを送り込み、消される前の一瞬に実行させる
root への権限の引き上げ：機器の保守の処理を、root の権限のまま攻撃者のスクリプトを動かすように書き換える

Ivanti は 1 と 2 をまとめて CVE-2026-104935、3 を CVE-2026-111357 として扱っています。

攻撃者は何をしていたか

Volexity は、2026年10月の第1週に、当時の最新版（22.8R2.4、Build 19097）だった機器がこの連鎖で侵害されているのを見つけました。攻撃者（Volexity は UTA0576 と呼んでいます）は10月3日から繰り返し悪用し、次のようなことをしていました。

VPN機器に保存された認証情報（LDAP で使うドメインの認証情報など）を取り出す
Active Directory の情報を調べて持ち出す。ローカル管理者のパスワード（LAPS）や BitLocker の回復キーも探していた
パスワードの総当たり（パスワードスプレー）や、VPN機器を通る通信の盗み見
攻撃の跡が残るログの一部を消す

攻撃者はバックドアや Web シェルを置かず、命令のたびに脆弱性を突き直していました。CISA も、攻撃者がこれらの脆弱性を使って認証情報の窃取とデータの持ち出しをしているとしています。VPN機器は社内のネットワークの入り口にあるため、ここを取られると社内全体への侵入の足がかりになります。

影響を受ける製品と版・修正版

Ivanti のアドバイザリが対象としているのは Ivanti Connect Secure です。同じ系列の Ivanti Policy Secure や ZTA ゲートウェイは、11月6日時点でこのアドバイザリには載っていません。

使っている系統	影響を受ける版	更新先（修正版）
25.1.1 系（ISA6000・ISA8000 など）	25.1.1.2 以前	25.1.1.3（3件すべてを修正）
25.1.2 系	25.1.2.2 以前（CVE-2026-104935）	25.1.3.0・25.1.3.1
25.1.3 系（ISA4500・ISA6500・ISA8500 など）	影響なし（25.1.3.0 以降）	— （最新版の利用を推奨）
22.8 系	22.8R2.5 以前	22.8R2.6（3件すべてを修正）。Ivanti は 25.1.1.3 以降への移行を推奨
22.7 系以前	影響なし	— （2027年1月31日にサポート終了）

出典：Ivanti のセキュリティアドバイザリ（10月29日更新）、CISA の告知（10月30日更新）。2026年11月6日確認

注意が要るのは、10月13日に出た修正版（25.1.1.2・22.8R2.5）は CVE-2026-104935 しか直していない点です。残りの2件（CVE-2026-111357・CVE-2026-118527）の修正は、10月29日の 25.1.1.3・22.8R2.6 で入りました。10月中旬に一度更新した機器も、もう一度更新が必要です。

22.7系・22.8系はサポート終了が近い

Ivanti によると、22.7系と22.8系は、どちらも2027年1月31日にサポートが終わります。22.8系は「22.7系から25.1系へ移るための一時的な橋渡し」という位置づけで、Ivanti はそれまでに25.1系へ移るよう求めています。22.7系は今回の脆弱性の影響を受けませんが、移行の計画は今のうちに立てておくのが安全です。

なお、25.1.3.0 へ移るには新しい機種（ISA4500・ISA6500・ISA8500）が必要です。物理の機器を使っている場合は新しい機器の用意が、仮想・クラウドの場合は 25.1.3.0 のテンプレートからの作り直しが要ります。

自社の機器が影響を受けるか確かめる方法

1. 動いている版を確かめる

Ivanti Connect Secure の管理コンソール（管理者用の Web 画面）で、動いている版（「22.8R2.5」「25.1.1.2」のような番号）を確かめ、上の表と突き合わせてください。画面の場所は版によって違います。分からない場合や、VPN機器の管理を販売店・保守会社に任せている場合は、次のことを問い合わせてください。

今の版は何か。25.1.1.3 以降、または 22.8R2.6 以降になっているか
まだなら、いつ更新するか。10月13日の修正版（25.1.1.2・22.8R2.5）で止まっていないか
22.7系・22.8系なら、2027年1月31日のサポート終了までに25.1系へ移る計画はあるか

2. Integrity Checker Tool（ICT）だけで安心しない

Ivanti は、機器のファイルが書き換えられていないかを調べる Integrity Checker Tool（ICT）を提供しており、今回のアドバイザリでも「ICT を定期的に実行する」よう案内しています。

ただし、今回の攻撃は ICT では見つからないことがあります。CISA は「攻撃者のコマンドはメモリの上で動くため、ICT は CVE-2026-104935 の悪用の跡を検知できないおそれがある」としています。Volexity も、攻撃者がメモリの上だけで仕組みを書き換え、後で元に戻していたため、ICT では変化が見つからなかったと報告しています。

CISA は、侵害されたかどうかを判断するにはネットワークとメモリのフォレンジック（専門的な調査）が必要としています。

3. 公開されている攻撃の手がかり

Ivanti は「侵害の痕跡（IoC）は今のところ限られている」として、Volexity の報告の痕跡を見るよう案内しています。Volexity が挙げている手がかりは次のとおりです。

/dana-na/auth/url_default/welcome.cgi への大量の要求。悪意のある要求には X-DSCGI-PATH という見出し（ヘッダー）が付き、URL と食い違う場所を指している
VPN機器の /tmp/ に、攻撃の後の作業の跡が残っていないか
VPN機器を起点にした、社内の別の機器への接続の試み

ログやヘッダーを見られる仕組み（WAF・通信の監視など）があれば、こうした通信が無かったかを確かめてください。痕跡が見つかった、または判断がつかない場合は、専門家に調査を依頼してください。

修正版への更新の手順

Ivanti は「修正版のいずれかに更新すれば解決する」としています。CISA も、影響を受ける機器をすぐに最新版へ更新するよう求めています。

今の版と機種を確かめる：上の表で、どの修正版へ上げるかを決めます（25.1.1 系なら 25.1.1.3、22.8 系なら 22.8R2.6、または 25.1.1.3 以降）。
設定をバックアップする：更新の前に、機器の設定を保存しておきます。
Ivanti の手引きを確かめる：CISA は、物理の機器・仮想の機器それぞれの更新の進め方について、Ivanti の「Connect Secure 25.x Upgrade and Migration Compatibility Guide」を見るよう案内しています。Ivanti のアドバイザリでは、修正版は ILS（Ivanti のダウンロードの窓口）から入手できるとされています。
更新する：VPN を使う人に止まる時間を知らせてから、更新します。
版とつながりを確かめる：更新の後、管理コンソールで修正版になったことと、社外からVPNにつながることを確かめます。

すぐに更新できないときは

2026年11月6日時点で、Ivanti は更新以外の回避策（設定の変更など）を示していません。CISA も KEV で「ベンダーの指示に従って対策を当てる。対策が無い場合は製品の使用をやめる」としています。更新を最優先にし、どうしても更新できない間は、VPN機器の利用を止めることも選択肢になります。

侵害が疑われるとき（公式の復旧の手順）

Ivanti は、侵害が疑われる場合は公式の復旧の手順（Recovery Procedures）に従うよう案内しています。CISA が示している手順は次のとおりです。

機器の設定のバックアップを取る
機器を工場出荷時の状態に戻し（ファクトリーリセット）、最新版に更新する。クラウド・仮想の機器は、インスタンスを作り直して最新版に更新する
1 で取ったバックアップから設定を戻す
ドメイン・管理者・ローカルを含むすべてのアカウントのパスワードを変える。機器に保存した証明書を失効させて発行し直し、API キーとライセンスサーバーの認証情報も変える

Ivanti の復旧の手順では、機器を完全に更新するまでは隔離した環境で作業し、インターネットにつながないよう求めています。証明書には、機器や利用者の認証に使うもの、外向きの SSL 証明書なども含まれます。認証サーバーの設定に使っているサービス用のアカウントのパスワードも変える対象です。

今回の攻撃では、VPN機器に保存された認証情報や Active Directory の情報が狙われていました。機器を初期化しても、盗まれた可能性のあるパスワードは、変えるまで使われるおそれが残ります。

VPN機器の緊急対応

「更新したいが、止められない」「侵害されていないか不安」ならご相談ください

エンハンスドが、版の確認から修正版への更新の段取り、侵害が疑われるときの初期化・復旧、アカウントのパスワードや証明書の入れ替えまでをお手伝いします。社内に VPN 機器に詳しい担当者がいない会社もご相談いただけます。会社全体の守りの見直しはセキュリティ対策の支援でもお受けしています。

VPN機器の対応を相談する

Ivanti Connect Secure の脆弱性の時系列【11月6日時点】

日付は各発表の表記によります（海外の発表は米国の日付のため、日本時間では翌日になることがあります）。

日付	出来事
2026年7月	Ivanti が 25.1.3.0 を公開。Ivanti は脆弱性の一部を自社で見つけ、この版で直していた（Ivanti）
10月3日	攻撃者 UTA0576 が悪用を始める（Volexity）
10月5日	Volexity が顧客先で調査を始め、VPN機器が侵入口だと突き止める
10月13日	Ivanti がアドバイザリを公開し、CVE-2026-104935 の修正版（25.1.1.2・22.8R2.5 など）を出す。CISA が KEV に追加し、告知を出す。Volexity が報告を公開
10月29日	Ivanti が CVE-2026-111357・CVE-2026-118527 を追加で公表し、3件すべてを直す修正版（25.1.1.3・22.8R2.6）を出す
10月30日	CISA が CVE-2026-111357・CVE-2026-118527 を KEV に追加し、告知を更新。米政府機関の対応期限は CVE-2026-111357 が11月2日、CVE-2026-118527 が11月13日（CISA）
11月3日	NVD に CVE-2026-118527 が載る（NVD）
11月6日	JPCERT/CC・IPA には、今回の件の注意喚起はまだ無い（確認時点）
2027年1月31日	22.7系・22.8系のサポート終了（Ivanti）

よくある質問

CVE-2026-104935 とは何ですか？

VPN機器 Ivanti Connect Secure の、なりすましによる認証の回避の脆弱性です。ログインしていない遠隔の攻撃者が、任意のコマンドを実行できます。Ivanti の評価は CVSS 8.6（High）で、2026年10月13日に修正版が出ました。CVE-2026-111357・CVE-2026-118527 と連ねると、機器を root の権限で乗っ取れます。

10月に 22.8R2.5（または 25.1.1.2）に更新しました。これで大丈夫ですか？

いいえ。その版で直ったのは CVE-2026-104935 だけです。残りの2件は 22.8R2.6・25.1.1.3 で直りました。もう一度、22.8R2.6 以降か 25.1.1.3 以降に更新してください。

22.7系を使っています。対応は必要ですか？

Ivanti によると、22.7系以前は今回の脆弱性の影響を受けません。ただし、22.7系は2027年1月31日にサポートが終わります。それまでに25.1系へ移る計画を立ててください。

Integrity Checker Tool（ICT）で異常が無ければ安全ですか？

そうとは言い切れません。CISA と Volexity は、今回の攻撃はメモリの上で動くため、ICT では見つからないことがあるとしています。侵害の有無をはっきりさせるには、ネットワークとメモリの専門的な調査が必要です。

Ivanti Policy Secure や ZTA ゲートウェイも対象ですか？

11月6日時点で、Ivanti のアドバイザリに載っているのは Connect Secure だけです。Policy Secure や ZTA ゲートウェイを使っている場合も、Ivanti の最新のアドバイザリが更新されていないか、定期的に確かめてください。

更新すれば、侵害の調査はしなくてよいですか？

更新で防げるのは、これからの攻撃です。悪用は10月3日から確認されているので、それより後に修正版でない版のまま外部に公開していた機器は、すでに侵害されているおそれがあります。不審な通信や痕跡があれば、公式の復旧の手順（初期化・更新・パスワードや証明書の入れ替え）を進め、専門家に調査を依頼してください。

まとめ

Ivanti Connect Secure の3件の脆弱性（CVE-2026-104935・CVE-2026-111357・CVE-2026-118527）を連ねると、ログインなしで機器を root の権限で乗っ取れる。悪用は2026年10月3日から確認されている
修正版は 25.1.1.3・22.8R2.6（25.1.2 系は 25.1.3.0 以降）。10月13日の 25.1.1.2・22.8R2.5 では2件が残る
攻撃は ICT で見つからないことがある。侵害が疑われるなら、公式の手順で初期化・更新し、パスワードと証明書を入れ替える
22.7系・22.8系は2027年1月31日にサポート終了。25.1系への移行の計画を立てる