先に要点
- VPN 装置の Ivanti Connect Secure で、3つの脆弱性が連鎖して実際に悪用されています。認証の回避とコード実行（CVE-2026-104935、CVSS 8.6）、root への権限昇格（CVE-2026-111357、8.8）、ファイルの書き込み（CVE-2026-118527、4.3）です。
- 2026年10月13日に1件目、10月30日に残り2件が CISA の悪用確認済みの一覧（KEV）に加わりました。2件目（CVE-2026-111357）の対応期限は11月2日で、侵害調査（フォレンジックのトリアージ）も求められています。
- 10月13日の修正版だけでは足りません。権限昇格などの修正が入ったのは10月29日の版で、上げ先は 25.1.1.3、22.8 系なら 22.8R2.6、新しい機種（ISA4500・6500・8500）は 25.1.3.0 以降です。
- 攻撃者のコマンドはメモリ上で実行されるため、Ivanti の整合性チェッカー（Integrity Checker Tool）では痕跡が見つからないおそれがあります。更新で終わりにせず、侵害が疑われる場合は設定の退避、初期化、再構築、認証情報の総入れ替えまで進めます。
社内の VPN に Ivanti Connect Secure（旧 Pulse Connect Secure）を使っている方向けの記事です。ニュースを見て「うちの装置は大丈夫か」と確かめたい人が、版の確認から更新、侵害の調べ方までをたどれるようにまとめました。
この記事は、Ivanti のセキュリティアドバイザリ（2026年10月29日更新）、CISA の注意喚起と KEV の掲載内容、発見者である Volexity の調査記事をもとにしています（いずれも2026年10月31日に確認）。修正版の番号は更新される可能性があるので、作業の前に Ivanti のアドバイザリで最新を確かめてください。
何が起きたのか：3つの脆弱性の連鎖
3つは別々の弱点ですが、順番につなぐと、外部の人が認証なしで装置の root 権限を取れることが問題です。
| CVE | 役割 | 深刻度（CVSS） | KEV の追加日 | 期限 |
|---|---|---|---|---|
| CVE-2026-104935 | 認証の回避（なりすまし）から、認証なしで任意のコマンドを実行 | 8.6 | 10月13日 | 10月16日 |
| CVE-2026-111357 | 認証が欠けた重要機能。ローカルの認証済みユーザーが権限を昇格 | 8.8 | 10月30日 | 11月2日 |
| CVE-2026-118527 | 予測できるファイル名。認証済みのユーザーが決まった場所に細工したファイルを置ける | 4.3 | 10月30日 | 11月13日 |
Ivanti のアドバイザリは、この3つが連鎖したときの悪用を、限られた顧客の環境で確認していると説明しています。10月13日の時点では1件目だけが公表され、残り2件は修正版の準備ができた10月29日に追加されました。1件目の悪用を止める修正を先に出すため、と Ivanti は FAQ で理由を説明しています。
CVE-2026-104935 の対応期限は10月16日で、すでに過ぎています。KEV の期限は米国の連邦機関向けのものですが、民間でも、期限を過ぎたものは「すでに攻撃が広がっている」前提で急ぐのが安全です。KEV の見方は KEVカタログとは？ を参照してください。
発見者の観測：10月3日ごろから悪用
セキュリティ企業の Volexity の調査記事によると、攻撃者は2026年10月3日ごろから悪用を始めたと推定されています。Volexity が気づいたのは10月第1週で、修正版が出る前の脆弱性（ゼロデイ）が使われたと整理されています。
観測された攻撃者の行動は、次のとおりです。
認証情報の窃取
装置に保存された認証情報（ディレクトリ連携のドメインの資格情報など）を取得する。
社内の偵察
Active Directory の情報を集め、管理用パスワードや回復キーを探し、パスワードスプレーも行う。
痕跡の消去
デバッグログと監査ログの該当部分を書き換え、一時ファイルを消す。バックドアや Web シェルは確認されていない。
メモリ上で実行
後半の処理は Python をメモリ上だけで動かす。ディスクに残りにくく、整合性チェッカーに掛かりにくい。
つまり狙いは装置そのものより、装置を足がかりにした社内ネットワークへの侵入です。VPN 装置は社内と外をつなぐ位置にあり、認証情報が集まるので、侵害されると被害が広がります（VPN の基本は VPNの基本と脆弱性 を参照）。
自分の装置は対象か：版を確かめる
Ivanti のアドバイザリによると、22.7 系以前は、この脆弱性を含みません。対象かどうかは、使っている版で決まります。
| 使っている版・機種 | 状況 | 上げ先 |
|---|---|---|
| 25.1.1.2 以前（ISA6000・ISA8000） | 対象 | 25.1.1.3 |
| 22.8R2.5 以前 | 対象 | 25.1.1.3 以降を推奨。すぐに移れなければ 22.8R2.6 |
| 25.1.2.2 以前 | CISA の注意喚起で対象。アドバイザリの1件目の修正は 25.1.3.0・25.1.3.1 | 25.1.3.0 以降（新しい機種で動く版） |
| 25.1.3.0 以降（ISA4500・ISA6500・ISA8500） | 含まない | 最新の版を維持 |
| 22.7 系以前 | 含まない | 2027年1月31日にサポート終了のため、25.1 系への移行を計画 |
注意する点が2つあります。
- 22.8 系は、22.7 から 25.1 へ移るまでの「つなぎ」と Ivanti は位置づけています。22.8 も2027年1月31日にサポートが終わるので、移行の計画も合わせて立てます。
- 25.1.3.0 へ上げるには新しい機種が必要です。物理装置なら ISA4500・ISA6500・ISA8500 を用意し、仮想・クラウドの場合は 25.1.3.0 のテンプレートで新しい装置を作ります。移行の詳細は Ivanti の「25.x Upgrade and Migration Compatibility Guide」にあります。
現在の版は、管理画面のシステム情報で確認できます。画面の場所は版によって違うため、Ivanti の製品ドキュメントで確かめてください。
更新の手順：証拠を残してから、修正版へ
CISA は、悪用が確認されたものについて、可能なら、装置に手を入れる前に証拠を集め、そのあとで修正を当てるよう求めています（BOD 26-04 の実施ガイダンス）。更新や再起動で、メモリ上の情報が消えるためです。
更新から確認までの流れ
- 1版と公開範囲を確かめる
管理画面で版を確認する。インターネットから直接届く装置かどうかも整理し、優先順位を決める。
- 2証拠を残す
ログ、設定、可能ならメモリとネットワークの記録を、再起動の前に別の場所へ退避する。社内の調査担当や専門家に相談する。
- 3修正版へ更新する
上の表の上げ先へ更新する。機種によっては新しい装置の準備が必要なので、移行ガイドで確かめる。
- 4痕跡を確認する
整合性チェッカーを実行するだけでなく、ネットワークの記録や、Volexity が公開した痕跡の一覧と照らす。
- 5疑わしければ復旧する
設定を退避し、初期化して最新版を入れ直し、認証情報と証明書をすべて入れ替える（次の節）。
痕跡の探し方：整合性チェッカーだけに頼らない
CISA は、CVE-2026-104935 の悪用は、Integrity Checker Tool で検出できない可能性があると注意しています。攻撃者のコマンドがメモリ上で動くためです。Ivanti の FAQ も、痕跡の情報は限られているとしたうえで、Volexity の記事の痕跡を見ながら、整合性チェッカーを定期的に実行するよう案内しています。
Volexity の記事が挙げている主な手がかりは、次のとおりです。
| 見る場所 | 手がかり |
|---|---|
| ネットワークの記録 | ログイン前の画面（welcome.cgi）への大量のリクエスト。リクエストのヘッダーに、本来は指定されないはずの転送先（X-DSCGI-PATH）が入っている |
| 装置の一時領域 | /tmp にある見慣れない Python のスクリプトや、収集した結果のファイル |
| 装置のデータ領域 | /data/.icscap に、パケット収集用のツールが別名で置かれている |
| ログ | デバッグログと監査ログが欠けている、不自然に書き換えられている |
攻撃者はログも消しています。見つからなかったから大丈夫、とは言えません。判断が難しいときは、専門家に装置のメモリとネットワークの記録の解析を依頼します。
侵害が疑われるときの復旧手順
CISA の注意喚起は、侵害が疑われる場合の手順を次のように案内しています。更新だけでなく、装置の初期化と認証情報の総入れ替えまで求めている点が大切です。
侵害が疑われるときの復旧
パスワードの入れ替えが大切なのは、装置を直しても、すでに盗まれた認証情報は有効なままだからです。盗まれたドメインの資格情報で、攻撃者が装置の外から入れる状態が続くおそれがあります。
すぐに更新できないとき
Ivanti のアドバイザリには、更新以外の回避策は書かれていません（私が読んだ2026年10月29日更新の版）。以降は公式の指示ではなく、この記事の筆者の考えです。
更新までの時間を短くする
新しい機種の手配が必要で時間がかかるなら、まず 22.8R2.6 などの暫定の修正版で穴をふさぎ、移行は並行して進める、という順序が現実的です。
調査は更新と並行する
10月3日ごろから悪用されていた可能性があるので、更新が済んでも、その前の期間のログや通信を調べる作業は残ります。
VPN を止める判断もありえます。止めたときの影響（在宅勤務や拠点間の接続）と、止めずに使い続けるリスクを並べて、責任者と決めてください。
今回の学び：VPN 装置は「外から見える入口」
過去にも、Ivanti Connect Secure は繰り返し KEV に載ってきました。外に向けて開いていて、社内への入口になる装置は、攻撃者にとって狙う価値が高いからです。
更新の担当を決める
サーバーと違い、アプライアンスは「誰が更新するか」が曖昧になりがちです。版の確認と更新の担当、通知の受け取り先を決めておきます。
サポート終了日を把握する
22.7・22.8 は2027年1月31日にサポートが終わります。装置の機種変更を伴う更新は、半年単位の計画が要ります。
装置が侵害される前提を持つ
VPN の装置に保存される認証情報を最小限にし、ディレクトリ側でも不審なログインを検知できるようにします。
2026年の悪用確認の状況は、2026年のセキュリティ更新の記録にまとめています。同じ時期に、GitLab や Linux カーネルの Fragnesia、Cisco ASA/FTD の SSL VPN も KEV に載っています。
よくある質問
10月13日の修正版に上げていれば大丈夫ですか？
いいえ。10月13日の修正は CVE-2026-104935 についてです。権限昇格（CVE-2026-111357）とファイルの書き込み（CVE-2026-118527）は、10月29日の版（25.1.1.3、22.8R2.6）で直ります。25.1.3.0 以降なら、アドバイザリではこれらも含まないとされています。
22.7 系を使っています。対象ですか？
Ivanti のアドバイザリによると、22.7 系以前は CVE-2026-104935 を含みません。ただし 22.7 は2027年1月31日にサポートが終わるので、25.1 系への移行を計画してください。
悪用の被害は確認されていますか？
はい。Ivanti は限られた顧客の環境での悪用を確認していると述べ、CISA は3件とも KEV に載せています。ランサムウェアの攻撃での利用は、KEV では「不明」とされています（2026年10月31日時点）。
整合性チェッカーで異常が出なければ安全ですか？
安全とは言えません。CISA は、CVE-2026-104935 の悪用の痕跡を検出できない可能性を注意しています。ネットワークとメモリの記録の調査が必要です。
まとめ
- Ivanti Connect Secure で、認証回避・コード実行・権限昇格・ファイルの書き込みの3件が連鎖して悪用されている。KEV に10月13日（1件）と10月30日（2件）に追加
- 上げ先は 25.1.1.3、22.8 系なら 22.8R2.6、新しい機種は 25.1.3.0 以降。10月13日の修正版では足りない
- 悪用は10月3日ごろからと推定される。更新の前に証拠を残し、更新後も前の期間を調べる
- 整合性チェッカーでは見つからないおそれがある。侵害が疑われるときは、設定の退避、初期化、再構築、認証情報と証明書の総入れ替え
- 22.7・22.8 のサポート終了は2027年1月31日。25.1 系への移行を計画する
参考リンク
- Security Advisory Ivanti Connect Secure (CVE-2026-104935)（Ivanti、2026年10月29日更新）
- CISA Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure（CISA、2026年10月30日更新）
- Known Exploited Vulnerabilities Catalog（CISA）・BOD 26-04 実施ガイダンス（CISA）
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days（Volexity）
- Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide（Ivanti）