CISA、ヘッダーによる認証バイパスを悪用するIvantiの緊急パッチ適用を指示

米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は、組織に対し、Ivanti Connect Secureアプライアンスを直ちに更新するよう緊急指令を発行しました。これは、現在脅威アクターによって実環境で悪用されている重大なゼロデイ脆弱性の公表を受けてのものとなります。同局は、リモート攻撃者がこの欠陥を利用して認証を回避し、影響を受けるシステム上で任意のコマンドを実行していることを確認しました。

何が起きたか

CVE-2026-104935として特定されたこのセキュリティ上の欠陥は、CVSSスコア8.6を持ち、Ivanti Connect Secureプラットフォームの複数のバージョンに影響します。具体的には、バージョン25.1.1.1以前、25.1.2.2以前、および22.8R2.4以前が対象です。CISAは、サイバー脅威アクターがこの認証バイパスを用いて資格情報の窃取やデータのエクスフィレーション（外部への持ち出し）を行っていることを明言しました。その結果、同局はこの脆弱性を「既知の悪用済み脆弱性（Known Exploited Vulnerabilities）」カタログに追加し、連邦民間行政機関（FCEB）に対して2026年10月16日までに修正を適用することを義務付けました。

複数のセキュリティ企業において、積極的な悪用の証拠が増加しています。Previdianは、2026年10月14日時点でハニーポットセンサーを狙った105件の悪用試行を観察したと報告しました。これらの攻撃は、シンガポールと米国にある50個の一意なIPアドレスから発信されました。一方、Volexityは2026年10月3日に最初の悪用を検出しており、UTA0576という以前は文書化されていなかった脅威アクターによるものと判断されています。Defused Cyberもまた、2026年10月1日から公表前の悪用を確認しており、攻撃者が公開前に活動していたことを示唆しています。

CISAは、侵害の有無を判断するにはネットワークおよびメモリのフォレンジック調査が必要であると助言しています。侵害が検出された場合、推奨される対応は、設定のバックアップ取得、工場出荷時状態へのリセット、最新バージョンへのアップグレード、そして設定の復元です。クラウドまたは仮想システムの場合は、インスタンスの再構築が優先されます。組織はすべてのパスワードをリセットし、証明書を失効させ、APIキーをリセットする必要があります。さらにCISAは、バージョン22.8が2027年1月31日にサポート終了となるため、顧客に移行ガイドの確認を促しています。

仕組み

この脆弱性は、リモートの未認証攻撃者が任意のコマンドを実行できる認証バイパスです。watchTowrの主任脅威インテリジェンススペシャリストであるYordan Ganchev氏によると、根本原因は驚くほど単純です。「X-DSCGI-PATH」ヘッダーを含む特別に細工された単一のリクエストだけで、認証制御を回避するのに十分です。このヘッダーは、本来制限されるべき機密性の高い内部機能へのアクセスを許可し、有効な資格情報なしでシステムへの扉を開けることになります。

Previdianの創設者Ryan Dewhurst氏は、脅威アクターがこのヘッダーを使用して内部CGIハンドラーに到達すると説明しました。アクセスを得た後、攻撃者はZIPファイルに偽装したPerlスクリプトをアップロードします。これらのスクリプトは、リモートコード実行が成功したかどうかを確認するための一意なマーカーを返します。Previdianが観察した現在のペイロードは主にコード実行のテストであり、完全なマルウェアの展開ではありませんが、専門家は武器化された悪用が急速に続く可能性が高いと警告しています。エクスプロイトメカニズムの単純さにより、自動化およびスケールが容易に行えます。

Volexityの研究者らは、脅威アクターUTA0576がこの脆弱性と権限昇格の欠陥を組み合わせて、未認証でのルートレベルコード実行を実現したことを指摘しました。永続的なマルウェアやウェブシェルを残す典型的な攻撃とは異なり、このアクターはコマンドの実行ごとにデバイスを再悪用していました。彼らはログを改ざんし、IvantiのIntegrity Checker Toolなどの検知ツールを回避するために一時アーティファクトを削除しました。このファイルレスアプローチにより、ディスク上に残る静的な侵害指標（IOC）が少なくなるため、従来のフォレンジック分析がより困難になります。

主要な詳細

• 脆弱性ID: CVE-2026-104935、CVSSスコア8.6。
• 影響を受けるバージョン: Ivanti Connect Secure 25.1.1.1以前、25.1.2.2以前、および22.8R2.4以前。
• エクスプロイトメカニズム: 細工された「X-DSCGI-PATH」ヘッダーによる認証バイパス、それに伴うリモートコード実行。
• 積極的な脅威: Previdian、Volexity、Defused Cyberにより2026年10月初旬以降に確認。
• 脅威アクター: UTA0576。犯罪動機があると評価され、ファイルレス技術とログ改ざんを使用。
• 連邦期限: FCEB機関は2026年10月16日までにパッチを適用する必要がある。

なぜ重要なのか

ソフトウェアエンジニアやITリーダーにとって、この事案は複雑なネットワークアプライアンスがもたらす持続的なリスクを浮き彫りにしています。Ivanti Connect Secureには脆弱性の歴史があり、今回の問題はCISA KEVリスト上の他の14件に加わります。悪用が標的型攻撃から広範なスキャンへと移行する速度は、大規模な悪用が差し迫っていることを示唆しています。これらのアプライアンスをリモートアクセスに依存している組織は、資格情報の窃取やネットワーク内での横方向移動に対する即時的なリスクに直面しています。エクスプロイトが単純かつファイルレスであるため、標準的なエンドポイント保護では初期侵入を検知できない可能性があります。

運用上の影響は重大です。なぜなら、修復は単なるパッチ適用では済まないからです。CISAによる工場出荷時リセットと設定復元の推奨は、一度侵害されると既存インストールの整合性が信頼できなくなることを意味します。このプロセスはダウンタイムと運用上の摩擦をもたらし、慎重な計画が必要です。さらに、すべての資格情報をリセットし証明書を再発行する必要性は、影響を受けるあらゆる組織にとって広範なセキュリティ見直しを意味します。攻撃者が活動を意図的に隠蔽したため、エンジニアはバックドアが残存していないことを確認するためにフォレンジック調査を優先する必要があります。

あなたができること

• Ivanti Connect Secureアプライアンスを最新の修正版へ直ちに更新してください。
• 「X-DSCGI-PATH」ヘッダーを含む受信リクエストについてネットワークログをスキャンしてください。
• パッチ適用が遅れた場合、悪用の兆候を特定するためにメモリおよびネットワークのフォレンジックを実施してください。
• 侵害が疑われる場合は、工場出荷時リセット、アップグレード、バックアップからの設定復元を実行してください。
• すべてのユーザー、管理者、ドメインのパスワードをリセットし、保存された証明書とAPIキーを再発行してください。
• 特にバージョン22.8のユーザーは、Ivantiのアップグレードおよび移行互換性ガイドを確認してください。