Ivanti Connect Secure の3件連鎖：CISA KEV の記載、修正版、最初に確認すること
Ivanti は、3件の欠陥が連鎖して悪用されたことを受け、Ivanti Connect Secure の更新を公開しました。CISA は3件すべてを Known Exploited Vulnerabilities カタログに掲載し、うち2件はフォレンジックトリアージが必要だと示しています。CISA が述べる認証なしの遠隔からの任意コマンド実行は、これらをまとめて悪用した場合の結果です。Ivanti は、そのうち1件を単独ではローカルの権限昇格、別の1件を認証済みの遠隔からのファイルアップロードとして説明しています。以下の各記述は公式の出典にリンクしており、引用文もワンクリックで確認できます。このページには実行するコマンドを載せていません。
保存済みの出典と照合した最終確認日:
何が起きたか
-
CISA は に CVE-2026-111357 を Known Exploited Vulnerabilities カタログに追加し、Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability という名前で掲載しました。カタログに記載された期限は です。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-111357", "vendorProject": "Ivanti", "product": "Connect Secure", "vulnerabilityName": "Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability", "dateAdded": "2026-10-30",
"dueDate": "2026-11-02",
-
CISA は に CVE-2026-118527 を同じカタログに追加し、Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability という名前で掲載しました。カタログに記載された期限は で、フォレンジックトリアージは不要と示されています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-118527", "vendorProject": "Ivanti", "product": "Connect Secure", "vulnerabilityName": "Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability", "dateAdded": "2026-10-30",
"dueDate": "2026-11-13",
"forensicTriage": "No",
-
CISA はそれに先立ち に CVE-2026-104935 を追加し、Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability という名前で掲載していました。カタログに記載された期限は 期限経過 で、フォレンジックトリアージが必要だと示されています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-104935", "vendorProject": "Ivanti", "product": "Connect Secure", "vulnerabilityName": "Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability", "dateAdded": "2026-10-13",
"dueDate": "2026-10-16",
"forensicTriage": "Yes",
-
カタログは、CVE-2026-111357 が CVE-2026-104935 および CVE-2026-118527 と連鎖し得ると述べています。単独では、ローカルの認証済み攻撃者が権限を昇格できる可能性があると説明しています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-111357",
Ivanti Connect Secure contains a missing authentication for critical function vulnerability that could allow a local authenticated attacker to escalate their privileges. This vulnerability can be chained with CVE-2026-104935 and CVE-2026-118527.
-
カタログは、CVE-2026-118527 が CVE-2026-104935 および CVE-2026-111357 と連鎖し得ると述べています。単独では、遠隔の認証済み攻撃者が、攻撃者が制御する内容のファイルをディスク上の既知の場所へアップロードできると説明しています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-118527",
Ivanti Connect Secure contains a generation of predictable numbers or identifiers vulnerability that allows a remote authenticated attacker to upload files with attacker-controlled content to a known location on disk. This vulnerability can be chained with CVE-2026-104935 and CVE-2026-111357.
-
CISA は、脅威アクターがこれらの脆弱性を悪用していることを把握しており、それにより認証なしの遠隔からの任意コマンド実行が可能になり、資格情報の窃取とデータの持ち出しに使われていると述べています。これは一組としての説明であり、CVE-2026-111357 単独の説明ではありません。
出典: CISA
引用文
CISA is aware of cyber threat actors exploiting these vulnerabilities, which allows remote, unauthenticated execution of arbitrary commands, to conduct credential theft and data exfiltration.
CVE-2026-111357
-
Ivanti は、開示時点で CVE-2026-104935、CVE-2026-111357、CVE-2026-118527 が連鎖して悪用され、限られた数のお客様が影響を受けたことを把握していると述べています。
引用文
We are aware of exploitation in the wild affecting a limited number of customers at the time of disclosure when CVE-2026-104935, CVE-2026-111357 and CVE-2026-118527 are chained.
-
Ivanti は CVE-2026-104935 を、なりすましによる認証回避であり、遠隔の未認証の攻撃者が任意のコマンドを実行できるものとして説明し、評価は 8.6 (High) としています。
引用文
CVE-2026-104935 Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands
8.6 (High)
-
Ivanti は CVE-2026-111357 を単独では、重要な機能の認証欠如により、ローカルの認証済み攻撃者が権限を昇格できるものとして説明し、評価は 8.8 (High) としています。これは未認証の遠隔コマンド実行ではありません。
引用文
Missing authentication for a critical function in Ivanti Connect Secure before version 25.1.1.3, and 22.8R2.6 allows a local authenticated attacker to escalate their privileges.
8.8 (High)
CVE-2026-111357
-
Ivanti は CVE-2026-118527 を単独では、予測可能なファイル名の使用により、遠隔の認証済み攻撃者が攻撃者の制御する内容のファイルをディスク上の既知の場所へアップロードできるものとして説明し、評価は 4.3 (Medium) としています。
引用文
CVE-2026-118527
Use of predictable filenames in Ivanti Connect Secure before
allows a remote authenticated attacker to upload files with attacker-controlled content to a known location on disk.
4.3 (Medium)
影響を受ける版と修正版
Ivanti が Ivanti Connect Secure（ICS）について示しているバージョンです。ここに載せていないベンダーや製品は、このページの対象外です。
-
CVE-2026-104935 について、Ivanti は影響を受けるバージョンを 25.1.1.1 以前、25.1.2.2 以前、22.8R2.4 以前としています。その行の修正版は 25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5 です。
引用文
CVE-2026-104935 Ivanti Connect Secure (ICS) 25.1.1.1 and prior 25.1.2.2 and prior 22.8R2.4 and prior 25.1.1.2 25.1.3.0, 25.1.3.1 22.8R2.5
-
CVE-2026-111357 と CVE-2026-118527 について、Ivanti は影響を受けるバージョンを 25.1.1.2 以前と 22.8R2.5 以前としています。その行の修正版は 25.1.1.3 と 22.8R2.6 です。
引用文
CVE-2026-111357 & CVE-2026-118527 Ivanti Connect Secure (ICS) 25.1.1.2 and prior 22.8R2.5 and prior 25.1.1.3 22.8R2.6
-
Ivanti は、22.7.X およびそれより前のバージョンにはこの脆弱性は含まれないと述べています。22.7 のサポート終了は です。
引用文
Versions 22.7.X and lower do not contain this vulnerability. 22.7 reaches end of life on January 31, 2027
-
22.8.X について、Ivanti は 25.1.1.3 以降への更新を推奨しています。22.8 のサポート終了は です。直ちに 25.1.1.3 へ移れない場合は、22.8R2.6 へアップグレードできます。
引用文
22.8.X – Ivanti recommends customers update to 25.1.1.3or later.
For those who are unable to move immediately to 25.1.1.3, customers can upgrade to 22.8R2.6 which resolves all vulnerabilities in this disclosure.
22.8 reaches end of life on January 31, 2027
-
Ivanti は 25.1.3.0 以降にはこの脆弱性は含まれないと述べています。25.1.3.0 へ移行するお客様には、新しいプラットフォーム（ISA4500、ISA6500 または ISA8500）が必要です。
引用文
25.1.3.0 (released July 2026 and running on ISA4500, ISA6500 or ISA8500) or later do not contain this vulnerability
For customers who will be migrating to 25.1.3.0, the new platform is required (ISA4500, ISA6500 or ISA8500)
-
ISA6000 または ISA8000 上の 25.1.1.1 について、Ivanti は 25.1.1.3 へ更新するよう述べており、これで本開示の脆弱性はすべて解消されます。
引用文
25.1.1.1 (ISA6000 or ISA8000) – update to 25.1.1.3 which resolves all vulnerabilities in this disclosure.
-
CISA の警報は、影響を受ける範囲を Ivanti Connect Secure の 25.1.1.2 and prior, 25.1.2.2 and prior, and 22.8R2.5 and prior として挙げています。この書き方は、Ivanti の表のように CVE ごとに分かれていません。
出典: CISA
引用文
affecting Ivanti Connect Secure versions 25.1.1.2 and prior, 25.1.2.2 and prior, and 22.8R2.5 and prior
パッチを当てる前に、すでに侵害されていないか確認する
このページにはコマンドを載せていません。CISA は、侵害の有無の判断にはネットワークとメモリのフォレンジックが必要だとしています。パッチ適用や再起動の前に証拠を残してください。何も見つからなくても、装置が無事だという証明にはなりません。
-
CISA は、侵害されたかどうかを判断するには、ネットワークとメモリのフォレンジックを行い、悪用の証拠を特定する必要があると述べています。
出典: CISA
引用文
Organizations seeking to determine whether they were compromised will need to conduct network and memory forensics to identify evidence of exploitation.
-
CISA は、脅威アクターのコマンドがメモリ上で実行されるため、Ivanti の Integrity Checker Tool では CVE-2026-104935 の悪用の証拠を検出できない可能性があると注記しています。
出典: CISA
引用文
Ivanti’s Integrity Checker Tool may not detect evidence of exploitation of CVE-2026-104935 because threat actor commands execute in memory
-
カタログは CVE-2026-111357 についてフォレンジックトリアージが必要であると示しています。必要な対応では、CISA の Forensics Triage Requirements が参照されています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-111357",
"forensicTriage": "Yes",
ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes).
-
カタログは CVE-2026-104935 についても同様にフォレンジックトリアージが必要であると示し、同じ Forensics Triage Requirements を参照しています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-104935",
"forensicTriage": "Yes",
ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes).
-
侵害が疑われる場合、CISA は次の復旧手順を推奨しています。装置設定のバックアップを作成する。工場出荷状態にリセットし、最新版へアップグレードする。クラウドおよび仮想システムでは仮想インスタンスを再構築し、最新版へアップグレードする。そのバックアップから設定を復元する。ドメイン、管理者、ローカルを含むすべてのアカウントのパスワードをリセットする。保管している証明書を失効させて再発行する。保管している API キーとライセンスサーバーの資格情報をリセットする。
出典: CISA
引用文
Create a backup of the appliance configuration. Review Ivanti’s How to Backup & Restore the Binary Configuration Using Archiving Server for more information. Conduct a factory reset and upgrade the appliance to the latest version. For cloud and virtual systems, rebuild the virtual instance and upgrade to the latest version. Restore the appliance configuration from the backup created in step 1. Reset passwords for all accounts, including domain, administrator, and local accounts. Revoke and reissue stored certificates; reset stored API keys and license server credentials.
- 運用している ICS の装置を洗い出し、それぞれのバージョンを控えます。上の影響を受けるバージョンと修正版の表と見比べてください。
- 影響を受ける範囲の装置は、パッチ適用や再起動の前に証拠を集めます。ログと監視データを、ホストの外に複製してください。再起動するとメモリと、メモリにしかなかったものは失われます。
- CISA は、装置が侵害されたかどうかを判断するにはネットワークとメモリのフォレンジックが必要だと述べています。Ivanti の Integrity Checker Tool では、3件のうち1件の悪用を検出できない可能性があります。コマンドがメモリ上で実行されるためです。
- 侵害が疑われる場合は、CISA の復旧手順の順に従います。設定をバックアップし、工場出荷状態にリセットしてアップグレードし、クラウドや仮想のインスタンスは再構築し、設定を復元し、すべてのアカウントのパスワードをリセットし、証明書を失効させて再発行し、API キーとライセンスサーバーの資格情報をリセットします。
- そのうえで、上の表にある修正版へアップグレードします。推奨の系列へすぐ移れない場合は、Ivanti がその系列向けに挙げるつなぎのリリースを使います。