IvantiがConnect Secureゲートウェイにおける2件のゼロデイ脆弱性を修正、連鎖攻撃を確認
Ivanti社は、リモートアクセスゲートウェイ（Connect Secure - ICS）における2件の新たなゼロデイ脆弱性に対処するため、緊急セキュリティアップデートをリリースしました。これは、2026年10月初旬から始まった連鎖的な攻撃で悪用されていたことが判明したためです。この措置は、攻撃者が企業ネットワークの深い制御レベルにアクセスするために利用した脆弱性を塞ぐための同社の取り組みの一環です。
脆弱性の詳細と連鎖的な悪用メカニズム
1件目の脆弱性（CVE-2026-111357）は、権限昇格を可能にする深刻度の高い欠陥です。2件目の脆弱性（CVE-2026-118527）は、認証済みの攻撃者が未更新のデバイスに悪意のあるファイルをアップロードすることを可能にします。攻撃者は、これら2件の脆弱性を、Ivanti社が先月修正プログラムをリリースした認証バイパスの脆弱性（CVE-2026-104935）と組み合わせて悪用していました。
同社は当初、認証バイパスの脆弱性が攻撃の主な経路であると判断し、その修正に注力していましたが、後に攻撃者が他の脆弱性を利用してシステム内での足場を固めていることを発見しました。Ivanti社は、この連鎖的な悪用により、企業が完全に保護されていると考えていたデバイスであっても、攻撃者がルートレベルでコマンドを実行できる状態になっていたことを明らかにしました。
攻撃者の行動と隠蔽技術
これらの攻撃を観測したサイバーセキュリティ企業Volexityは、UTA0576と呼ばれる脅威アクターがこの作戦の背後にいると指摘しました。この攻撃の特徴は、攻撃者が従来のマルウェアやWebシェルを設置するのではなく、コマンドを実行するたびに脆弱性を再利用し、システムログを改ざんして痕跡を消去することで、Ivanti社の整合性チェックツールによる検出を回避していた点です。
セキュリティインテリジェンス企業Defusedもこれらの調査結果を裏付け、活発な悪用の最初の兆候が10月1日に確認されたと指摘しました。これは、攻撃者が重要なインフラストラクチャにおける新たに発見された脆弱性に迅速に対応していることを示しています。
公式警告と世界的な影響
事態の深刻さを鑑み、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、主要な脆弱性を「悪用が確認された脆弱性カタログ」に追加し、連邦機関に対して直ちにシステムをアップデートするよう命じました。Shadowserver財団のデータによると、インターネット上に公開されているICSデバイスは5,000台を超えており、現時点で実際に何台のデバイスが保護されているかは不明です。
このニュースが極めて重要な理由
Ivantiのリモートアクセスゲートウェイは、機密データを盗むために大企業のネットワークへの直接的な入り口となるため、国家に関連するサイバー諜報グループにとって好ましい標的となっています。今回実質的に変化したのは、攻撃者が「ファイルレス攻撃」を通じてより隠密性を高めている点であり、従来の検査ツールへの依存だけでは不十分であることを示しています。システム管理者は、アップデートを適用するだけでなく、10月初旬まで遡って異常なアクティビティがないかアクセスログを精査する必要があります。アップデートは脆弱性を修正しますが、すでにシステムに侵入し、他の手段で足場を築いている攻撃者を排除するものではないためです。