Ivanti Connect Secure 0-Days Exploited in the Wild to Gain Unauthenticated Root Access
2026/10/30 CyberSecurityNews — Ivanti Connect Secure VPN アプライアンスに存在する、複数のゼロデイ脆弱性を組み合わせて悪用する攻撃者が、認証を必要とせずに root 権限を取得し、保存された認証情報や Active Directory の機密情報を漏えいさせている。Ivanti は、10月に最初の修正パッチを公開した後に、2026年10月29日に追加の修正版を公開し、限定された数の顧客に対する攻撃を確認したとしている。
Volexity が確認したのは、UTA0576 による攻撃活動が 10月3日まで遡ることである。また、10月05日の調査では、当時の修正パッチが適用されたバージョン 22.8R2.4 (Build 19097) の、Ivanti アプライアンスが侵害されていることを特定した。それが示すのは、この脆弱性により、既存の保護対策が回避されることである。
Volexity の技術分析によると、攻撃は公開ログインスクリプト “welcome.cgi” に存在する、認証回避の脆弱性を悪用することから始まった。リクエストされた URL と X-DSCGI-PATH ヘッダーの不一致を悪用する攻撃者は、ログインを必要とせずに、アクセスが制限されたアップロード処理へ到達できた。
アップロード処理を担当する “wu.cgi” は、受信したデータが有効な ZIP ファイルであるかを検証する前に、予測可能な一時保存先へ書き込んでいた。攻撃者は Perl スクリプトをアップロードし、そのスクリプトがアプライアンスにより削除される前に実行させるために、複数のリクエストを並列に送信した。この処理タイミングの不備を悪用することで、アプライアンスの cgi-server ユーザー権限でコードを実行できた。
続いて UTA0576 は、高権限を持つ dsinvoked サービスを悪用した。この攻撃者は、メモリ内のライブラリコードを書き換え、DSCache の設定ストアに保存されたメンテナンスタスクを変更することで、攻撃者が制御するコードを、このサービスに root 権限で実行させた。その後に、ペイロードは変更した設定とメモリの内容を元に戻し、攻撃活動を隠蔽した。
Ivanti Connect Secure のゼロデイ脆弱性が実際に悪用される
以前の CybersecurityNews による、Ivanti の認証回避の脆弱性 CVE-2026-104935に関する報道では、最初の公表内容と影響を受けるバージョンが詳しく説明されている。
今回、Ivanti が公表した脆弱性は、認証回避とコード実行を可能にする CVE-2026-104935 (CVSS 8.6)／権限昇格を可能にする CVE-2026-111357 (CVSS 8.8)／予測可能なファイル名に起因する CVE-2026-118527 (CVSS 4.3) の 3件である。
UTA0576 は、バックドアや Web シェルを設置していなかった。その代わりに、コマンドを実行するたびに一連の脆弱性を悪用し、HTTPS レスポンスを通じて実行結果を取得していた。この手法により、永続的なアクセスを維持するためのツールをディスク上に残す必要性を低減していた。
システムの制御権を取得した攻撃者は、保存されていたドメインの認証情報を抽出し、VPN アプライアンスの Active Directory サービスアカウントを使用して、内部システムへ問い合わせを実行した。その標的に含まれたのは、Windows LAPS の管理者パスワード／BitLocker の回復キー／パスワードを含む属性情報などである。
攻撃活動には、パスワードスプレー攻撃／ユーザー名の収集／ネットワーク通信から認証情報を取得するためのパケット解析も含まれていた。Active Directory の認証情報窃取に関する関連報道では、侵害された VPN ゲートウェイが、内部システムへ向けたさらなるアクセスの起点となった経緯が詳しく説明されている。Volexity は、これらの活動について、他システムへの横展開を、攻撃者が準備していたものと評価している。
今回の報告に提供された 10月29日の更新情報によると、バージョン 25.1.1.3 および 22.8R2.6 では、それぞれの系列で公表されたすべての脆弱性が修正されている。管理者にとって必要なことは、Ivanti のセキュリティ・アドバイザリに従い、使用しているアプライアンスのプラットフォームに適した修正版を選択することである。
侵害の検出には、整合性検査で問題がないことを確認するだけでは不十分である。メモリ内だけで行われた変更や、元に戻された設定内容が、Ivanti の Integrity Checker による検出を回避していたことを、Volexity は確認している。
防御側にとって必要なことは、”welcome.cgi” に対する異常な通信／リクエストパスとヘッダーの不一致／”/tmp/” 内の不審なファイル／VPN アプライアンスから内部システムへの接続などを調査することである。
この攻撃者は、一部のデバッグログと監査ログのエントリも削除しているため、侵害が疑われる場合は、メモリ／ディスク／ネットワークの分析が必要となる。整合性検査で異常が検出されなかったとしても、今回の攻撃による侵害の可能性を否定することはできない。
この記事は、Ivanti Connect Secure における複数のゼロデイ脆弱性を悪用したサイバー攻撃と、その対応策について解説するものです。認証回避やファイル処理の不備などの複合的な欠陥が背景に存在します。影響として、未認証での最高権限取得／内部システムへの侵入範囲拡大／Active Directory に保管された機密情報の流出が生じる恐れがあります。対応策として、最新の修正済みファームウェアへの即時アップデート／ログや通信履歴の精査／メモリ解析を含めた多角的な侵害調査が求められます。 (対象 CVE：CVE-2026-104935／CVE-2026-111357／CVE-2026-118527)
You must be logged in to post a comment.