侵害されたVPNアプライアンスにパッチを適用しても、攻撃者がすでに窃取した認証情報が無効になるとは限らず、脆弱性を塞ぐだけにとどまる可能性がある。研究者が、認証情報の窃取と機密性の高いディレクトリ情報へのアクセスに使われた、Ivanti Connect Secureの3つのゼロデイを連鎖させた攻撃を発見したことで、このリスクが明らかになった。
米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年10月13日、攻撃者がCVE-2026-104935を悪用してリモートから不正なコマンドを実行していると警告した。同庁はこの脆弱性を既知の悪用脆弱性カタログに追加し、直ちに修正するよう促した。組織は、脆弱性にパッチを適用する前に攻撃者が内部システムへアクセスしていないかどうかも調査する必要がある。
Ivantiのエクスプロイトチェーンが認証情報とディレクトリデータを露出
CVE-2026-104935は、CVSSスコア8.6の深刻度の高い脆弱性だ。企業向けVPNゲートウェイであるIvanti Connect Secureに影響する、認証バイパスとリモートコード実行の脆弱性を組み合わせたものである。
Volexityによる調査で、22.8R2.4を実行するアプライアンスに対し、UTA0576として追跡されている脅威アクターが3つの脆弱性を悪用していたことが判明した。このアプライアンスには当時、すべてのパッチが適用されていた。悪用は10月3日に始まった。
この攻撃チェーンでは、認証バイパス、リモートコード実行、権限昇格を組み合わせてroot権限を取得していた。CVE-2026-104935は、最初の2つの脆弱性を対象とする。別の権限昇格の脆弱性は、Volexityが10月13日に調査結果を公表した時点で、まだパッチが適用されていなかった。
攻撃者は保存されたLDAP認証情報を抽出し、限定的なActive Directoryのメタデータを外部へ持ち出したほか、Windows LAPSのパスワードとBitLockerの回復キーを探した。これとは別に、米国の水道事業者から盗まれたリモートアクセス認証情報は、露出した認証データが不正なネットワークアクセスの機会を生み出し得ることを示している。
攻撃者はメモリ上のコードも改変し、変更した設定を元に戻したうえで、一部のログを削除した。調査対象となったアプライアンス上に、永続的なWebシェルやバックドアは確認されなかった。こうした手法はIvantiのIntegrity Checker Toolによる検知を回避する可能性があり、発見を難しくする。侵害されたセキュリティ管理システムが内部ネットワークを露出させる場合にも、同様のリスクが生じる。
影響を受けるバージョンにパッチを適用し、侵害を調査する
Ivantiのセキュリティアドバイザリでは、それぞれのブランチで25.1.1.1、25.1.2.2、22.8R2.4までのリリースが影響を受けると示されている。修正版リリースは25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5だ。管理者はアップグレード前に、適切なリリースとハードウェア互換性を確認する必要がある。
CISAの警告でも、侵害の可能性を調査するよう求めている。セキュリティチームは、次の対応を優先すべきだ。
- パッチを適用し、アクセスを制限する：適切な修正版リリースをインストールし、不要な外向き接続を制限するとともに、アプライアンスから重要な内部システムへのアクセスを制限する。
- 不審な活動を調査する：認証ログ、ネットワークトラフィック、メモリ上の証拠を調べ、異常なリクエスト、
/dana-na/auth/url_default/welcome.cgi予期しないX-DSCGI-PATH値、不審なファイルを確認する。/tmp/. - 証拠を保全し、システムを復旧する：侵害された物理アプライアンスを工場出荷時の状態にリセットしたり、仮想インスタンスを再構築したりする前に、フォレンジックデータを収集する。確認済みの設定だけを復元する。
- 認証情報をローテーションし、権限を制限する：露出した可能性のあるパスワードをリセットし、影響を受けた証明書とAPIキーを交換するとともに、LDAPおよびActive Directoryのサービスアカウント権限を監査する。
- 監視と認証を強化する：適用可能な場合は多要素認証を強制し、異常なKerberosおよびLDAPの活動を監視するとともに、セキュリティログを一元管理する。
- インシデント対応計画をテストする：封じ込め、横方向の移動に関する調査、認証情報のローテーション、安全な復旧手順が有効であることを検証する。
National Vulnerability Databaseには、対象となる米国連邦政府の文民行政機関について、2026年10月16日が修正期限として記載されている。最近のSharePoint悪用事例も、実際に悪用されている脆弱性が、連邦政府による修正要件の前倒しにつながり得ることを示している。
修正プログラムをインストールすれば、確認されている侵入経路には対処できるが、窃取された認証情報は引き続き使用可能な場合がある。組織は、攻撃者がVPNアプライアンスの先にあるシステムへ到達していないかどうかを判断するため、下流のアクセスを調査しなければならない。
詳しく読む：「重大なCitrix NetScalerの脆弱性は、影響を受けるゲートウェイ設定の確認、適切なセキュリティ更新プログラムのインストール、アップグレード後の認証サービスのテストが必要であることを浮き彫りにしている。