Ivanti脆弱性の対応｜VPN機器の更新と侵入調査の手順

目次8

VPN機器「Ivanti Connect Secure（イバンティ・コネクトセキュア）」を狙う攻撃で、3つの脆弱性が組み合わせて使われました。10月29日に新しい修正版が公開され、10月30日には米国のCISAが2件を「実際に悪用が確認された脆弱性」の一覧に加えました。

大事なのは、10月中旬に更新を済ませた会社も、もう一度更新が必要だという点です。さらに今回の攻撃は痕跡が残りにくく、更新だけでは「侵入されていない」とは言えません。社内のVPNをだれが管理しているかわからない会社でも進められるよう、順番に説明します。

この記事のポイント

3件

組み合わせて使われた脆弱性

root

ログインなしで奪われる最高権限

10月3日

Volexity社が確認した攻撃の開始

ことばの説明

VPN（ブイピーエヌ）＝社外から社内のネットワークへ安全につなぐ仕組みです。テレワークや、拠点どうしの接続に使われます。

Ivanti Connect Secure＝企業向けのVPN機器です。以前は「Pulse Connect Secure」という名前でした。

root（ルート）＝機器の中で、どんな操作でもできる最高の権限です。

Active Directory（AD）＝社内のアカウントやパソコンをまとめて管理する仕組みです。

どんな攻撃？なぜ危ないの？

調査したVolexity社によると、攻撃者は3つの弱いところを順番に使いました。1つずつでは条件が必要でも、つなげるとログインなしで、VPN機器の最高権限を奪えることになります。当時の最新版だった機器でも被害が確認されました。

CVE番号	弱いところ
CVE-2026-104935	ログインの確認をすり抜け、プログラムを実行される
CVE-2026-118527	予測できる番号を使い、狙った場所にファイルを置かれる（Ivantiの評価は4.3）
CVE-2026-111357	機器の中で最高権限まで上げられる（Ivantiの評価は8.8）

VPN機器は社内ネットワークの入り口です。ここを取られると、被害は機器の中だけで終わりません。今回の攻撃では、次のような動きが報告されています。

パスワードの窃取

機器に保存された社内アカウントの情報を抜き取り、通信からも集めていました。

社内ネットワークの調査

Active Directoryから、パソコンの管理者パスワードや、ディスク暗号化の回復キーを探していました。

痕跡の消去

マルウェアを置かず、メモリの中だけで動き、ログの該当部分を消していました。

「点検ツールで問題なし」でも安心できません

Ivantiの点検ツール（Integrity Checker Tool、ICT）は、機器のファイルに変更がないかを調べるものです。Volexity社によると、今回の攻撃はファイルを残さないため、ICTでは検知できません。侵入の有無を調べるには、通信やメモリの調査が必要です。

被害の規模について

Ivantiは「限られた数のお客様」が被害を受けたとし、Volexity社が確認した被害組織は1件です。攻撃者（UTA0576と呼ばれています）の正体はわかっていません。私たちが確認した範囲では、この記事の時点で、日本国内の被害の公表は見つかっていません。

※Ivantiは22.8系から25.1.1.3以降への移行を勧めていて、すぐに移れない場合に22.8R2.6を案内しています。報道によると回避策は示されておらず、更新が修正の方法です。

※25.1.2系、25.1.3系の扱いは報道によって書き方が違います。必ずIvantiの公式アドバイザリで確認してください。

VPN機器の種類を確かめる
情シス担当者か、ネットワークの保守会社に聞きます。機器の購入資料、保守契約書、社員が使っている接続アプリの名前（Ivanti Secure Access、Pulse Secureなど）も手がかりになります。
版を確認する
機器の管理画面で版を確認し、上の表と見比べます。
更新の前に、記録を保存する
セキュリティ会社のRapid7社は、可能であれば再起動やリセットの前に、メモリとログを保存するよう勧めています。調査の材料が消えないようにするためです。
最新の修正版に更新する
通常の更新日を待たず、緊急の作業として行いましょう。
侵入の形跡を調べる
Volexity社は、/dana-na/auth/url_default/welcome.cgi への大量のアクセスや、/tmp/ の中の痕跡の確認を勧めています。通信とメモリの調査には専門の知識が必要です。
あやしければ、パスワードと鍵を入れ替える
Ivantiの復旧手順に沿って対応し、VPNとActive Directoryのパスワード、パソコンの管理者パスワード（LAPS）、BitLockerの回復キーなどを入れ替えます。