Ivanti Connect Secure の脆弱性 CVE-2026-104935 が FIX：認証なしのコマンド実行の可能性

Ivanti Connect Secure CVE-2026-104935 Flaw Enables Unauthenticated Remote Code Execution

2026/10/14 gbhackers — Ivanti が公開したのは、Ivanti Connect Secure (ICS) に存在する認証バイパスの脆弱性 CVE-2026-104935 を修正するセキュリティ・アップデートである。この脆弱性を悪用する未認証のリモート攻撃者は、任意のコマンド実行を引き起こす可能性がある。2026年10月13日の公表時点で Ivanti は、少数の顧客環境での悪用を確認していた。すでに修正済みバージョンは提供されており、影響を受けるアプライアンスを運用している組織に求められるのは、早急なアップグレードである。

Ivanti Connect Secure に認証バイパスの脆弱性

脆弱性 CVE-2026-104935 の CVSS v3.0 スコアは 8.6 (High) と評価されており、CWE-290 (なりすましによる認証バイパス) に分類されている。Ivanti のセキュリティ・アドバイザリによると、悪用の前提として有効な認証情報もユーザー操作も必要なく、ネットワーク経由で攻撃できる上、攻撃の複雑さも低いため、外部に公開されている ICS 環境では特に注意が必要である。公表された評価では、機密性への影響は高く、完全性および可用性への影響は低いとされている。

さらに Ivanti は、この脆弱性が ICS の特定のバージョン系列に影響し、悪用によって任意のコマンドが実行される可能性があると説明している。ただし、実際の影響範囲と修正済みバージョンは、製品のバージョン系列に応じて異なるため、25.1.3.0 だけを基準に判断するのではなく、アドバイザリに記載された系列別の情報を確認する必要がある。

影響を受けるバージョンと修正済みバージョン

Ivanti の公式セキュリティ・アドバイザリでは、ICS 22.7R2.14 以前のバージョンは、この脆弱性の影響対象外とされている。一方、更新ガイダンスには、影響を受けるバージョン系列と、それぞれに対応する修正済みリリースが記載されている。

影響を受ける ICS バージョン修正済みバージョン
25.1.1.1 以前（該当系列）25.1.1.2
25.1.2.2 以前（該当系列）25.1.3.0／25.1.3.1
22.8R2.4 以前（該当系列）22.8R2.5

影響対象のバージョン系列によって修正済みリリースが異なるため、現在使用しているバージョン系列を確認し、公式アドバイザリの修正済みリリース一覧と照合して、適切なアップグレード先を判断する必要がある。なお、22.7R2.14 以前は影響対象外とされているため、すべての古い ICS バージョンが影響を受けると一律に判断せず、対象系列を取り違えないよう注意する必要がある。

すでに悪用を確認、攻撃者や被害の詳細は非公開

Ivanti が実際の悪用を確認していることから、CVE-2026-104935 は理論上の脆弱性ではなく、実環境で悪用が確認された脆弱性である。

ただし、公式アドバイザリでは、次の情報が明らかにされていない。

  • 攻撃を実行した人物やグループ。
  • 影響を受けた組織の詳細。
  • 攻撃が行われた具体的な期間。
  • 実際のインシデントで実行されたコマンド。
  • 侵害の痕跡 (Indicators of Compromise：IoC)。
  • 認証バイパスが成立する具体的な仕組み。

そのため、攻撃者の目的や、攻撃キャンペーンの規模、侵害後に実施された活動について、現時点で断定することはできない。

Volexity のブログ記事が追加されているが、10月13日のアドバイザリ更新の FAQ では、Volexity の調査結果の詳細は確認できない。また、影響を受けた顧客は限定的であると Ivanti が説明していても、ほかの脆弱な環境で悪用されていないとは限らない。したがって、影響対象の ICS を運用する組織は、悪用の有無を決めつけず、必要な対策を講じる必要がある。

修正済みバージョンへのアップグレードを推奨

CVE-2026-104935 に対処するために、Ivanti がユーザーに対して求めるのは、公式アドバイザリに記載された修正済みバージョンへ向けて、対象製品をアップグレードすることだ。この修正済みソフトウェアは、Ivanti License System (ライセンス管理システム) からダウンロードできる。管理者にとって必要なことは、影響を受ける ICS の稼働環境を優先的に確認し、現在稼働しているバージョンを公式アドバイザリのリリース一覧と照合することだ。

公表されたガイダンスでは、ソフトウェアのアップデートが対策として指定されているが、回避策は記載されていない。また、今回の脆弱性は、公表前から悪用されているため、修正済みバージョンにアップグレードしただけでは、アプライアンスが過去に侵害されていないことを証明できない。影響を受けるバージョンを使用していた組織は、修正済みリリースへの更新を優先した上で、脆弱性の公表前に侵害が発生していなかったかどうかを確認する必要がある。

Ivanti Connect Secure における認証バイパスの脆弱性 CVE-2026-104935 は、認証されていないリモートの攻撃者による任意のコマンド実行を許す問題であり、外部に公開されている環境において深刻な影響を及ぼします。すでに実環境での悪用が確認されているため、迅速な対応が求められます。背景として、ネットワーク経由で攻撃可能な脆弱性が存在することにより、不正アクセスやシステム制御の危険性が高まっています。影響として、機密性の侵害や不正なコマンド実行のおそれがあります。対応策として、公式アドバイザリに基づく修正済みバージョンへの速やかなアップグレードの実施、稼働環境のバージョン確認、過去の侵害痕跡の調査が求められます。