Ivantiは、ゼロデイ脆弱性CVE-2026-104935が明らかになったことを受け、リモートアクセスゲートウェイIvanti Connect Secureを直ちにアップデートするよう顧客に求めた。この脆弱性は、実際の攻撃で悪用されている深刻度の高い認証回避の脆弱性である。脆弱性の影響を受けるのは、22.8R2.4以前、25.1.2.2以前、25.1.1.1以前のバージョンである。
この脆弱性により、権限のない攻撃者は、ユーザーによる操作を必要としない低複雑度の攻撃を通じて、標的デバイス上で任意のコマンドを実行できる。Connect Secureは、以前はPulse Connect Secure、その前はJuniper Pulseとして知られており、従業員、請負業者、ハイブリッド勤務チームに企業リソースやクラウドサービスへの安全なアクセスを提供するために利用されている。
多段階の悪用
Ivantiは、情報開示時点でインターネット環境における脆弱性の悪用は限定的だったと述べ、顧客に対し、セキュリティ情報を確認して修正済みバージョンへアップグレードし、Integrity Checkerツールを定期的に実行するよう呼びかけた。しかし、脆弱性を発見して報告したVolexityは、UTA0576という名称で追跡している正体不明の脅威アクターが、少なくとも10月3日以降この脆弱性を悪用していたと述べた。また、完全にアップデートされたデバイスであっても、認証なしでroot権限によるコード実行を可能にする追加の2つの脆弱性と組み合わせていたという。
Volexityによると、攻撃者は永続的なマルウェアやウェブシェルを植え付けず、コマンドを実行するたびにデバイスを再び悪用していた。また、痕跡を隠すためにログを改ざんし、IvantiのIntegrity Checkerツールを回避することにも成功していた。Defusedは、実環境におけるこの脆弱性の悪用を示す最初の兆候を10月1日に確認したと述べた。
実際に何が変わるのか
リスクは、現在の脆弱性に対する修正プログラムをインストールすることだけにとどまらない。Ivantiは、同じ攻撃チェーンの一部として利用された権限昇格の脆弱性への対応にも引き続き取り組んでいると説明した。そのため、影響を受けるデバイスの運用担当者は、セキュリティ情報の内容全体に従い、システムとログの完全性を確認し、Integrity Checkerを通過したことだけを、デバイスが改ざんされていない十分な証拠と見なしてはならない。
Shadowserverは、インターネット上に公開されたConnect Secureのインスタンスを5,500件以上追跡している。ただし、そのうち何台がハニーポットに当たるのか、またはすでに保護済みなのかを特定する情報は得られていない。このことは、公開資産を特定してアップグレードの優先順位を付ける重要性を高めている。特に、リモートアクセスゲートウェイはインターネットと企業ネットワークの境界に位置しているためだ。
標的となってきた製品に繰り返される背景
Ivantiは過去数年間、Connect Secureにおける攻撃で悪用された複数のゼロデイ脆弱性を修正してきた。これには、2024年1月のCVE-2023-46805およびCVE-2024-21887、同月後半のCVE-2024-21893、さらに2025年のリモートコード実行の脆弱性CVE-2025-0282およびCVE-2025-22457が含まれる。また、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、2021年11月以降に実際の攻撃で悪用されたIvanti製品の脆弱性を36件数えており、そのうち12件はランサムウェア集団によって悪用された。
certi.newsの見解：ここで実際に変化したのは、認証回避の脆弱性が情報開示の段階から、攻撃者に高い権限でコマンドを実行する能力を与える実際の悪用へ移行したことだ。さらに、検証ツールの回避を助ける手法を示す兆候もある。一方、悪用の範囲と実際に侵害されたデバイスの数は依然として確定していない。そのため、アップデートと影響を受けたシステムのフォレンジック検証は、どちらか一方ではなく、並行して実施すべき2つの手順となる。