Ivanti Connect Secureの脆弱性を連鎖させ、認証なしでrootアクセスを獲得

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、2026年10月31日金曜日、Ivanti Connect Secure (ICS) の2件の重大なセキュリティ脆弱性を既知の悪用済み脆弱性（KEV）カタログに追加しました。この対応は、これまで記録されていなかった脅威アクターによる実環境での積極的な悪用が確認されたことを受けたものであり、広く使用されている安全なアクセスゲートウェイに対する攻撃の深刻化を示しています。

何が起きたか

新たにリストアップされた脆弱性は、CVE-2026-111357とCVE-2026-118527です。CVE-2026-111357はCVSSスコア8.8を持ち、重要な機能に対する認証の欠如により、ローカルの認証済み攻撃者が権限を昇格させることを可能にします。CVE-2026-118527はCVSSスコア4.3を持ち、予測可能な数値や識別子の生成に起因し、リモートの認証済み攻撃者が制御された内容のファイルを既知のディスク場所にアップロードすることを可能にします。

これらのバグは孤立した問題ではなく、Volexityによって2026年10月初頭に初めて文書化された高度なエクスプロイトチェーンの一部です。このチェーンは、これら2つの脆弱性と、CISAがすでに2026年10月13日にKEVカタログへ追加していた認証バイパス脆弱性であるCVE-2026-104935（CVSS 8.6）を組み合わせて武器化しています。これらの攻撃の背後にいる脅威アクター「UTA0576」は、この組み合わせを使用して、標的システム上で認証なしのrootレベルコード実行を実現しています。

典型的なランサムウェアやマルウェア展開キャンペーンとは異なり、UTA0576の目的はスパイ活動と資格情報の収集に集中しているようです。観察によると、アクターは資格情報と限定的なActive Directoryメタデータを抽出し、ホストのリコネサンスを実施し、特に管理者パスワードとBitLocker回復キーを探しています。これは無差別な妨害ではなく、高価値ターゲットを狙ったアプローチであることを示唆しています。

仕組み

この攻撃は、複数の防御層を回避するために3つの異なる脆弱性を連鎖させることに依存しています。まず、有効な資格情報なしでシステムへの侵入を許す認証バイパスであるCVE-2026-104935から始まります。内部に入った後、攻撃者はCVE-2026-118527を利用してディスク上の予測可能な場所に悪意のあるファイルをアップロードし、アプリケーションのコンテキスト内でリモートコード実行（RCE）を実質的に達成します。

最終ステップでは、ローカル権限昇格の脆弱性であるCVE-2026-111357が含まれます。前のステップで攻撃者に限定的な権限を持つ足掛かりが与えられているため、この脆弱性によりアクセスをrootレベルまで昇格させることができます。認証バイパス、RCE、権限昇格を組み合わせることで、アクターは正当な認証を行うことなくデバイス全体の完全な制御を手にします。Volexityは、このチェーンが「認証なしのrootレベルコード実行」を達成し、アプライアンスの完全な侵害を表していると指摘しています。

主要な詳細

• CVE-2026-111357: CVSS 8.8、重要機能に対する認証の欠如、ローカル権限昇格を許可。
• CVE-2026-118527: CVSS 4.3、予測可能な識別子により既知の場所へのリモートファイルアップロードを許可。
• CVE-2026-104935: CVSS 8.6、認証バイパス、2026年10月13日にKEVへ追加。
• 脅威アクター: UTA0576、以前は未記録、資格情報とメタデータの抽出に注力。
• 修正済みバージョン: ICS 25.1.1.3（25.1.1.2以前を修正）および22.8R2.6（22.8R2.5以前を修正）。
• 期限: FCEB機関は、CVE-2026-111357を2026年11月2日までに、CVE-2026-118527を2026年11月13日までにパッチ適用する必要があります。

なぜ重要なのか

エンジニアリングおよびITリーダーシップチームにとって、このインシデントは脆弱性チェーンの危険性を浮き彫りにします。CVE-2026-118527のような中程度のCVSSスコアを持つ単一の脆弱性は、標準的なリスク評価では優先度が低くなる可能性がありますが、他の弱点と組み合わさると、完全なシステム侵害につながるチェーンの重要なリンクとなります。これは、特に安全なアクセスゲートウェイなどのペリメーターデバイスにおいて、セキュリティパッチを個別ではなく包括的に捉える必要性を強化します。

UTA0576の挙動は、単なるマルウェア検出から資格情報の衛生管理と横方向移動の監視へと防御の焦点をシフトさせます。攻撃者がBitLockerキーやActive Directoryメタデータを探しているため、バイナリペイロードがドロップされない場合、従来のエンドポイント保護ではその活動を悪意あるものとしてフラグ付けしない可能性があります。チームは、信頼できる内部サービスからの異常な列挙活動や資格情報アクセスパターンを検出できるよう、ロギングおよび監視ソリューションをチューニングする必要があります。

実施すべきこと

• 現在のブランチに応じて、Ivanti Connect Secureをバージョン25.1.1.3または22.8R2.6に直ちにアップグレードしてください。
• ICSアプライアンスの既知の書き込み可能ディレクトリに不正なファイルがアップロードされていないか確認してください。
• 影響を受けるシステム上に保存されている、またはそこからアクセス可能なすべての管理者パスワードとBitLocker回復キーをローテーションしてください。
• 2026年10月初頭以降のホストリコネサンスや異常なActive Directoryメタデータクエリの兆候についてログを確認してください。
• アプライアンスが侵害された場合の影響を制限し、横方向移動を防ぐために厳格なネットワークセグメンテーションを実施してください。
• マルウェア署名だけでなく資格情報抽出に焦点を当てて、UTA0576に関連する侵害の指標（IOC）を監視してください。