# IvantiのVPNで悪用確認。更新と侵害調査を進める

Canonical: https://security.qutori.jp/article/ivanti-connect-secure-kev-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-10-31

CISAは30日、Ivanti Connect Secureの2件を既知悪用リストへ追加しました。既存の脆弱性と組み合わせた攻撃で、認証情報やデータの窃取が報告されています。修正と、侵害がなかったかの調査を進めてください。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-31 / 本記事更新：2026-10-31 / 原文確認：2026-10-31。

原文発行：CISA / 原文公表：2026-10-30。

## 対象と影響

社内への接続にIvantiのVPNを使う企業や、運用を委託している企業が確認対象です。更新済みでも、それ以前の侵入が解消したとは限りません。

## 自社で確認すること

保守担当へ、該当バージョン・修正状況・ネットワークとメモリの調査結果を確認する。

1. CISAの30日続報が挙げる25.1.1.2以前、25.1.2.2以前、22.8R2.5以前の利用を確認し、メーカーの現行案内に従って更新する。
2. ネットワークとメモリを調査する。CISAは、メモリ内で動くCVE-2026-104935の悪用をIntegrity Checker Toolが検出できない場合があると説明している。
3. 侵害が疑われる場合は、証拠保全と復旧手順を担当者と確認する。CISAが示す機器の再構築や、機器から取得され得た認証情報・証明書・APIキーの失効と再発行を検討する。

## 攻撃の流れと防御の確認箇所

公開VPN機器 → 複数の脆弱性を連鎖 → 認証情報・データの窃取

防御の確認箇所：VPN更新・侵害調査・復旧

## 優先度の考え方

至急確認。CISAが実際の悪用を確認。2件を単独で認証不要の遠隔実行と扱わず、CVE-2026-104935との連鎖と区別する。一般企業への対策優先度は編集判断で、米連邦機関の期限をそのまま適用しない。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-111357](https://www.cve.org/CVERecord?id=CVE-2026-111357)
- [CVE-2026-118527](https://www.cve.org/CVERecord?id=CVE-2026-118527)
- [CVE-2026-104935](https://www.cve.org/CVERecord?id=CVE-2026-104935)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

Ivanti Connect Secureの該当環境。国内の被害企業数は公表されていない。

## 原文と確認箇所

- [CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog)
- [追加の一次資料](https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerabilities-ivanti-connect-secure)
- [追加の一次資料](https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json)
- [追加の一次資料](https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US)

10/30のCISA告知とKEVカタログ2026.10.30を確認。新規追加は111357と118527、104935の追加日は10/13。CISAの10/13告知にある10/30改訂で対象版・認証情報窃取・メモリ調査・復旧を確認。111357はローカル認証済み攻撃者の権限昇格、118527はリモート認証済み攻撃者のファイル配置。Ivantiのリンク先はHTTP200でも本文がLoading/CSS Errorのため、メーカー本文や具体的修正版は確認済みとしない。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)