Ivanti Connect Secureの脆弱性でCISAが警告、ただしパッチ適用だけでは不十分
Ivantiは、10月13日の公表前に、攻撃者が完全にパッチ適用済みのアプライアンスを標的としてIvanti Connect Secureの脆弱性を悪用したことを受け、緊急対応を迫られている。CISAは同日、CVE-2026-104935をKnown Exploited Vulnerabilitiesカタログに追加した。この欠陥により、リモート攻撃者は認証を回避し、ユーザー操作なしで任意のコマンドを実行できる。
直ちに行うべきことは明確だ。Ivantiの修正版リリースを導入する必要がある。より困難なのは、攻撃者がすでに侵入し、認証情報を盗み、最も明白な痕跡を消去したかどうかを判断することだ。調査担当者は、観測されたオペレーターが一般的なバックドアを設置するのではなく、アプライアンスを繰り返し悪用していたことを確認した。
この挙動は、従来の「パッチ適用とスキャン」という対応に疑問を投げかける。パッチは公表済みの侵入経路を閉じるが、盗まれたシークレットを無効化するものでも、事前にアプライアンスがクリーンだったと証明するものでもない。インターネットに公開されたVPNゲートウェイでは、ソフトウェア保守とインシデント調査の両方が今や必要となる。
CISA、Ivanti Connect Secureの脆弱性を緊急事態に位置付け
CISAの警告により、CVE-2026-104935は理論上のソフトウェアの弱点から、対応が確認済みのインシデント対応優先事項へと変わった。
CISAの10月13日付連邦政府向け警告によると、脅威アクターは認証情報の窃取とデータ流出を目的にこの脆弱性を悪用している。CISAはこの欠陥を、一般にKEVと呼ばれるKnown Exploited Vulnerabilitiesカタログにも掲載した。
KEVへの掲載は、通常の脆弱性通知よりも大きな運用上の意味を持つ。これは、攻撃者が研究室の外でこの欠陥を利用している証拠をCISAが有していることを意味する。米国連邦政府の文民機関は、拘束力のある連邦要件に基づき、KEV掲載項目を修正しなければならない。
影響を受ける製品は、企業ネットワークの中でも特に重要な位置にある。Ivanti Connect Secureは、ユーザーを社内アプリケーションやクラウドリソースに接続するリモートアクセスゲートウェイだ。インターネットトラフィックを受け入れつつ、社内のアイデンティティシステムとの信頼された接続を維持する必要がある。
この配置により、認証回避の成功は特に重大な影響を及ぼす。攻撃者は一般的な従業員用ワークステーションから始めるのではない。インターネットと保護されたサービスの間のアクセスを仲介するよう設計されたデバイスから始める。
CVE-2026-104935のCVSSスコアは8.6だ。これはスプーフィングによる認証回避に分類され、アプライアンスがリクエストのルーティングに用いられる情報を誤って信頼することを意味する。悪用には低い複雑性しか必要なく、既存アカウントも被害者の操作も不要だ。
Ivantiによると、影響を受けるリリースは以下の通りである。
当該コードラインのバージョン25.1.1.1以前
当該コードラインのバージョン25.1.2.2以前
当該コードラインのバージョン22.8R2.4以前
利用可能な修正版リリースには25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5が含まれる。管理者は導入済みのブランチに適合する更新を選び、セキュリティアドバイザリで最新のガイダンスを確認する必要がある。
Ivantiは、22.7.x以前のバージョンはこの特定の脆弱性の影響を受けないとしている。この説明を、古いソフトウェアに対する一般的なサポートやセキュリティ保証と解釈すべきではない。組織は、導入済みリリースのライフサイクル状況と、影響し得る他の脆弱性を別途確認する必要がある。
同社は、この欠陥を公表した時点で限定的な悪用を把握していたと述べた。「限定的」という表現はIvantiが把握している事例を示すものであり、侵害されたアプライアンスの総数を示すものではない。高度なオペレーターはしばしば痕跡を最小限に抑え、多くの組織はネットワークアプライアンスから完全なテレメトリーを取得できていない。
インターネットへの公開は緊急性を高める。Shadowserverは、公表後に5,500を超えるConnect Secureのインスタンスがオンラインで確認されたと追跡していた。この数には、ハニーポット、重複した観測、すでに更新済みのシステムが含まれる可能性がある。
それでも、この件数は到達可能な攻撃対象領域を示している。技術的な知識が広まれば、攻撃者は多くの企業が保守作業を予定するよりはるかに速く、脆弱なゲートウェイをスキャンできる。そのため、公開されたアプライアンスは、当初のオペレーターと後続の模倣者の双方からリスクにさらされる。
これが、CISAが「直ちに」という言葉を用いた理由だ。通常の月次パッチサイクルは、防御側に更新のテスト、予定化、展開のための時間があることを前提としている。ゼロデイ悪用が確認されると、その前提は崩れる。
しかし、更新は最初の判断にすぎない。観測されたキャンペーンは公開前に始まり、最新の利用可能リリースを実行するアプライアンスを標的としていた。したがって、影響を受けるすべての組織は、パッチをいつ導入したかだけでなく、いつから公開状態にあったのかを問う必要がある。
攻撃者はログインせずにroot権限を取得した
このエクスプロイトは、3つの弱点が連鎖し、単一の公開ログインリクエストをrootレベルのコマンド実行へと変えたことで機能した。
Volexityは、10月5日に始まった調査の中でこの活動を発見した。同社の研究者は、不審な挙動をバージョン22.8R2.4、Build 19097を実行するIvanti Connect Secureアプライアンスにたどり着いた。このリリースは当時、完全にパッチ適用されていた。
同社は、悪用が10月3日までさかのぼることを確認した。別の脅威インテリジェンス提供者も、10月1日から関連する兆候を観測していたと報じられている。公開と修正は10月13日に行われ、無認識のまま露出していた可能性がある期間は無視できない長さだった。
Volexityは、この未特定のオペレーターをUTA0576として追跡している。このラベルは、確認済みの組織や政府支援者ではなく、活動クラスターを示すものだ。同社は低い確信度で、観測された活動はスパイ活動主導ではなく、犯罪目的だったと評価した。
最初の段階では、アプライアンスのログインページを提供する公開コンポーネントwelcome.cgi周辺のリクエストルーティングが悪用された。攻撃者はX-DSCGI-PATHヘッダーに別のパスを指定した。アプライアンスは公開URLを対象に認可を確認する一方、そのヘッダーを使用して宛先を選択していた。
この不整合により、認証されていないリクエストが、保護されたアップロードハンドラーwu.cgiへルーティングされた。その結果、認証回避が成立した。ログイン制御の背後に置かれるべきコンポーネントが、公開リクエスト経由で到達可能になった。
第2段階では、一時的なファイル処理の競合状態が悪用された。競合状態とは、2つの操作のどちらが先に完了するかにセキュリティが依存する状態を指す。ここでは、アップロードハンドラーは、ファイルが有効なZIPアーカイブかどうかを検証する前に、提供されたファイルを書き込んでいた。
攻撃者は、.zip拡張子を付けたPerlスクリプトをアップロードした。ハンドラーは最終的に無効なファイルを拒否して削除した。しかし、削除される前に、そのファイルは短時間ディスク上に存在していた。
UTA0576は、その時間枠内に一時ファイルを実行しようとする並列リクエストを送った。こうしたリクエストを繰り返すことで、クリーンアップ前に1件が到達する可能性を高めた。タイミングが成功すると、制限されたcgi-serverアカウントでコードが実行された。
Ivantiは、認証回避とリモートコード実行の手順をCVE-2026-104935としてまとめている。10月13日のリリースは、連鎖のこれらの部分を修正している。root権限へ昇格する第3段階は、別途対応が進められている。
権限昇格では、オペレーターは特権を持つバックグラウンドサービスが設定データを信頼する仕組みを操作した。エクスプロイトはプロセスメモリ内のIvantiライブラリを変更した後、正規の保守タスクを悪意あるPerlスクリプトへとリダイレクトした。
特権サービスはそのスクリプトをrootとして実行した。rootアクセスにより、オペレーターは基盤となるアプライアンスに対して実質的に最高レベルの制御を得られる。エクスプロイトは、Linuxシステムで保護されたパスワード情報を保存する/etc/shadowを読み取れるかどうかを確認することで、成功を検証した。
その後、オペレーターは変更した設定とメモリ命令を復元した。また、IvantiのデバッグログとLinux監査ログから選択したエントリーを削除した。これらの操作により、各コマンドの実行後に残る証拠を減らした。
完全な技術的再構成は、この攻撃が単一の恒久的なペイロードを伴う1件のリクエストではなかったことを示している。オペレーターは別のコマンドが必要になるたびに、エクスプロイトチェーンを再実行した。
この手法は手間がかかるが、攻撃者にとって防御上の利点がある。調査担当者は、侵害されたアプライアンス上で初期段階のバックドアや一般的なWebシェルを発見しなかった。コマンドとその出力は、エクスプロイトのHTTPSリクエストを通じて送受信された。
一部のペイロード段階はメモリ内にのみ存在した。ある段階では、圧縮されBase64エンコードされたPythonスクリプトを展開し、生のスクリプトをディスクに残さず実行した。メモリのみでの実行は、通常のファイルベースのスキャンで後から復元できる情報を制限する。
Volexityによると、このチェーンはIvantiのIntegrity Checker Toolも回避した。このツールは予期しないファイル変更を探すが、攻撃ではメモリと設定データが一時的に変更された。エクスプロイトはrootアクセスを得た後、それらの変更を復元した。
この違いは、影響を受けるすべての組織にとって重要だ。完全性チェックで予期しないファイル変更が見つからなかったとしても、悪用が一度も起きなかったことの証明にはならない。それは、そのツールが調べるよう設計された、より限定的な問いに答えるだけだ。
認証情報窃取によりVPNが足掛かりとなった
UTA0576は侵害したゲートウェイを利用してアイデンティティデータに到達し、アプライアンスの欠陥をより広範な企業アクセスの問題へと転化させた。
オペレーターによる侵害後の活動は、認証情報、ディレクトリ情報、ネットワーク偵察、データの持ち出しに集中していた。これらの行動は、VPNアプライアンスを超えた移動に向けた準備を示唆する。Volexityは、攻撃者の最終目的が明らかになる前に、このキャンペーンは阻止されたと述べた。
Active Directoryが主要な標的だった。Active Directoryは、企業のアイデンティティ、コンピューター、権限、認証を管理するMicrosoftのディレクトリサービスだ。VPNアプライアンスは、リモートユーザーを検証できるよう、サービスアカウントを通じてこれに接続することが多い。
UTA0576は、アプライアンスのアクセス権を利用して、社内のドメインコントローラーにクエリを送った。調査担当者は、カスタムLDAPツールと関連するPythonスクリプトを復元した。LDAPは、ディレクトリ情報の検索と管理に使われるプロトコルだ。
オペレーターは、以下のような価値の高いデータを検索した。
Local Administrator Password Solutionの認証情報
BitLockerの回復情報
保存済みパスワード値を含む属性
ユーザーアカウントのメタデータとログオンスクリプトのパス
認証記録で確認された有効なユーザー名
Local Administrator Password Solution、すなわちLAPSは、Windowsデバイスのローカル管理者パスワードを管理する。BitLockerの回復情報は、暗号化されたWindowsドライブのロックを解除できる。いずれかが盗まれれば、脆弱なVPNへのパッチ適用後も長期にわたってアクセスが拡大する可能性がある。
攻撃者は、ディレクトリの結果を圧縮・エンコードした後、エクスプロイトチャネルを通じて移動させた。Volexityは高い確信度で、オペレーターが標的となったActive Directoryクエリで利用可能な情報を流出させたと評価した。
UTA0576は、アプライアンスに保存されたパケットキャプチャも調査した。オペレーターは、記録されたネットワークトラフィックから認証情報やパスワードクラッキング用のデータを見つけるためのパーサーを実行した。標的には、平文のLDAP認証情報、HTTP Basic Authenticationの認証情報、NTLMチャレンジレスポンスハッシュが含まれていた。
NTLMハッシュは、オフラインでのパスワード攻撃や、その他の認証情報悪用手法を可能にする。リスクは組織の設定、パスワード強度、認証管理に左右される。収集された場合、単一デバイスの更新だけでは済まない是正対応が必要になる。
調査担当者は、隠しディレクトリから実行されていた、名称変更済みのパケットキャプチャユーティリティを発見した。このツールはLDAP、HTTP、FTP、Telnetを含む平文プロトコルに関連するトラフィックをフィルタリングしていた。8つのローテーション型キャプチャファイルにより、古いトラフィックを継続的に置き換えながらストレージ使用量を抑えていた。
このキャンペーンには、内部DNSの名前解決とホスト名の偵察も含まれていた。攻撃者は、Active Directoryアカウントに対するパスワードスプレーを行う補助スクリプトを使用した。パスワードスプレーは、単一のユーザー名に対する失敗の繰り返しを避けるため、少数の可能性が高いパスワードを複数のアカウントに試す手法だ。
これらの活動は、エッジアプライアンスが重要な情報収集拠点になり得る理由を示している。認証フローを処理し、通常のエンドポイントでは受信しない可能性があるネットワークトラフィックも確認できるためだ。侵害されると、侵入経路であると同時に、内部の関係性を観測する基盤にもなる。
確認された攻撃者は、VPN設定ディレクトリと認証ログも検索していた。こうした記録からは、認証方式、ユーザー名、内部ドメイン、接続済みサービスが明らかになる可能性がある。検索に失敗しても、攻撃者が次の段階を把握する助けになり得る。
これがCISA警告における中心的な逆転現象だ。組織はアイデンティティ境界を強制するためにリモートアクセスゲートウェイを導入する。しかしこのインシデントでは、ゲートウェイが認証を迂回する経路となり、さらに追加の認証情報を得る供給源にもなった。
リスクはアプライアンスのローカルアカウントに限定されない。管理者は、デバイスが保存、送信、取得した、または統合サービスアカウント経由でアクセス可能だった、あらゆるシークレットを検討しなければならない。対象には、ディレクトリ認証情報、リカバリーキー、トークン、ユーザーパスワードが含まれ得る。
認証情報のローテーションは、証拠とアーキテクチャに基づいて進める必要がある。計画なしにすべてのアカウントをリセットすれば、目立ちにくいサービス認証情報を見落としたまま業務を混乱させる可能性がある。チームはアプライアンスの統合先を特定し、特権的または再利用可能なアクセスを持つシークレットを優先すべきだ。
組織は、ゲートウェイを起点とする活動も確認する必要がある。エクスプロイトが成功すると、悪意ある接続が信頼されたネットワークデバイスからのものに見える可能性がある。下流システムは、そうした接続を通常のインターネットトラフィックとは異なる形で扱う場合がある。
Volexityは、初期デバイスから他のシステムへ移動するラテラルムーブメントに向けた準備の痕跡を発見した。ただし、確認されたすべての手法が成功したとは主張していない。また、攻撃者の最終目的も特定していない。
この不確実性は結論を慎重にする理由にはなるが、封じ込めを遅らせる理由にはならない。防御側は、少なくとも1つの調査対象環境で認証情報窃取とデータ流出の確かな証拠を確認している。更新済みのアプライアンスが、過去のアクセスによるすべての影響を終わらせると考えるべきではない。
パッチ適用は侵入口を閉じるが、調査を終わらせるものではない
現在の主な対立は、パッチ適用と立証の間にある。修正済みソフトウェアの導入は必要だが、それだけで過去の侵害が成功したかどうかを証明することはできない。
Ivantiは顧客に対し、直ちにアップグレードし、Integrity Checker Toolを定期的に実行するよう勧めている。これらの措置は露出を減らし、一部の改ざんを特定できる。しかし、このインシデントで記録されたすべての手法を対象にするものではない。
Volexityは、攻撃者が選択したログエントリを削除し、一時的な変更を復元していたことを確認した。攻撃者は使用後にスクリプトと実行結果も削除していた。いくつかの重要なコンポーネントはメモリ内でのみ実行されていた。
このアンチフォレンジック行為は、クリーンなスキャン結果の意味を変える。想定どおりの結果は、アプライアンスがクリーンであることを意味し得る。一方で、攻撃者が選択したツールで計測される痕跡を残さなかったことを意味する可能性もある。
そのためRapid7の対応分析では、更新適用後にも侵害の痕跡を探すよう推奨している。不審な活動を特定した組織は、Ivantiの復旧ガイダンスに従い、有用な証拠を保全すべきだ。
アプライアンスのログが利用できない場合、ネットワークテレメトリが手がかりになることがある。Volexityは、公開されているwelcome.cgiパスへの異常な量のリクエストを探すよう推奨している。防御側は、要求されたURLとX-DSCGI-PATHヘッダーの不一致も確認できる。
こうした指標は有用だが、完全ではない。攻撃者はパス、タイミング、インフラ、侵害後のコマンドを変更できる。公開済みパターンの1つが見つからないことを、万能な安全確認テストにしてはならない。
メモリ取得は、ディスク検査では見逃す揮発性の痕跡を明らかにできる。ただし、本番環境のゲートウェイからメモリを収集するには、適切な手順と専門知識が必要だ。不注意な再起動や再構築は、インシデントの理解に必要な証拠を破壊する可能性がある。
ここには運用上のトレードオフがある。チームは脆弱なデバイスを迅速にサービスから外したい。一方、調査担当者は何が起き、どの認証情報を交換すべきか判断するために、十分な状態を保全したい。
適切な順序は、露出状況、事業上の必要性、冗長性、利用可能なフォレンジック支援によって異なる。組織は、アプライアンスからのインジケーターや説明できない接続を発見した場合、早い段階でインシデント対応担当者を関与させるべきだ。すべての封じ込め措置と実施時刻を記録する必要がある。
防御可能な対応では通常、次の4つの問いを切り分ける。
インストールされているリリースは脆弱か？
悪用の期間中、アプライアンスは到達可能だったか？
悪用の試行または成功を示す証拠はあるか？
侵害後、どのシステムと認証情報にアクセス可能だったか？
パッチ適用が答えるのは最初の問いだけだ。露出記録、ネットワークログ、メモリ証拠、アイデンティティログ、下流のテレメトリが残りの問いに対応する。これらの問いを同一視すれば、誤った安心感が生まれる。
未解決の権限昇格の弱点は、さらに複雑さを加える。Ivantiは10月13日、認証バイパスとリモートコード実行のコンポーネントにパッチを適用した。Volexityによれば、Ivantiは別の権限昇格の脆弱性に対し、後日のリリースを予定していた。
これは、10月の修正後も記録された攻撃チェーンが利用可能なままであることを意味しない。未認証の侵入段階と実行段階を閉じることで、その特定の経路は遮断されるはずだ。それでも管理者は追加リリースを追跡し、Ivantiが提供し次第インストールすべきだ。
組織は、更新が実際に完了したことも検証する必要がある。アプライアンスクラスタ、スタンバイノード、災害復旧システム、忘れられたテスト用ゲートウェイは、主要デバイスを変更した後も脆弱なまま残る可能性がある。資産記録は実際のバージョンデータと照合すべきだ。
外部からの検出は、管理されていない露出の発見に役立つ場合がある。Shadowserverの露出ダッシュボードは外部からの1つの見方を提供するが、完全な資産台帳を提供できる外部データセットはない。内部の所有者記録は引き続き不可欠だ。
包括的な対応には、アイデンティティ制御も含める必要がある。チームは、認証パターン、サービスアカウントの利用、特権ディレクトリクエリ、パスワードスプレーの兆候、異常なリカバリーキーへのアクセスを確認すべきだ。関連するシークレットは、依存関係を把握した後にローテーションする必要がある。
下流システムについても個別のレビューが必要だ。VPNアプライアンスからの接続は、信頼を継承していたり、通常のクライアントに適用される制御を迂回していたりする可能性がある。調査担当者は、疑わしい期間中にゲートウェイから発生した異常なトラフィックを特定すべきだ。
最も安全な結論は、同時に最も都合の悪いものでもある。このインシデントに単一の「問題なし」ボタンは存在しない。修正済みソフトウェア、クリーンな整合性確認結果、公開済みインジケーターの不在はいずれも証拠を提供する。しかし、どれも単独ではデバイスが一度も侵害されなかったことを証明しない。
Ivantiの過去のゼロデイが圧力を高める
CVE-2026-104935は、エッジ製品が繰り返し悪用されてきた後に発生しており、顧客は1つのパッチだけでなく対応体制の成熟度も評価している。
Ivanti Connect Secureは近年、積極的に悪用された複数の深刻な脆弱性に直面してきた。2024年初頭には、攻撃者がCVE-2023-46805とCVE-2024-21887を連鎖させた。この組み合わせにより、インターネットに公開されたゲートウェイに対する認証バイパスとコマンドインジェクションが可能になった。
CISAはこの事案で積極的に対応した。連邦機関には、軽減策の適用、整合性チェックの実行、指定条件下での影響を受けたデバイスの切断が指示された。その後の分析では、一部の復旧措置を講じても攻撃者がアクセスを維持できる可能性が警告された。
2025年1月、IvantiはConnect Secureに影響するスタックベースのバッファオーバーフローであるCVE-2025-0282の積極的な悪用を開示した。同年後半には、別のConnect Secureの脆弱性CVE-2025-22457が、中国関連のスパイ活動グループによる悪用と結び付けられた。
今回のインシデントは、すべてのIvantiアプライアンスが侵害されている、あるいはIvantiだけが特別に安全でないことを示すものではない。複数ベンダーのエンタープライズ向けエッジ製品は、集中的な研究と継続的な攻撃者の関心を引き付けている。その位置づけにより、エクスプロイトの成功は非常に大きな価値を持つ。
Volexityは、最近のSonicWall Secure Mobile Accessアプライアンスの悪用と直接比較した。どちらのケースでも、rootアクセスを得た攻撃者はパケットキャプチャを調べ、認証情報を復元していた。この共通点は、信頼されたネットワークエッジシステムに対する、より広範な戦略を示唆している。
VPNゲートウェイには、攻撃者に有利な特徴がいくつかある。インターネットから到達可能で、多くの場合は継続的に稼働し、アイデンティティインフラに直接接続している。また、多くのエンドポイントセキュリティ製品が通常どおり監視できない、専用の運用環境で動作する。
ワークステーションには、エンドポイント検知、アプリケーション制御、詳細なプロセステレメトリが備わっている場合がある。これに対し、セキュリティアプライアンスは所有者に提供する調査ツールが少ないことが多い。攻撃者は、高度に信頼されたネットワーク位置から活動しながら、この可視性の隙間を悪用できる。
この繰り返されるパターンは、ベンダーと顧客の双方に圧力をかける。ベンダーは、部分的な脆弱性の発見から、サポート対象のすべてのブランチを保護するまでの期間を短縮しなければならない。顧客は、緊急通知を主要な検知手段として頼る状況を減らす必要がある。
Ivantiによれば、CVE-2026-104935の一部は同社の製品セキュリティプログラムを通じて発見された。このコンポーネントは、バージョン25.1.3.0の2026年7月リリースで修正されていた。悪用は、同社が他のサポート対象バージョンに修正をバックポートしている間に発生した。
このタイムラインは精査に値するが、単純な非難を裏付けるものではない。セキュリティ変更を複数のリリースブランチにバックポートするには、エンジニアリング作業と互換性テストが必要になる場合がある。公開情報からは、Ivantiが完全な攻撃チェーンや実環境での悪用をいつ把握したのかは確定できない。
それでも結果として、パッチの空白期間が露呈した。あるブランチには関連する修正が含まれていた後も、他のサポート対象ブランチの一部顧客は脆弱なままだった。攻撃者はその期間に活動し、当該ラインでは現行と見なされていたリリースを侵害した。
これは実務的な調達上の問いを提起する。購入者は、ベンダーがセキュリティ修正をサポート対象ブランチ全体にどのように展開するかを尋ねるべきだ。また、修正とともに検知ガイダンスが提供されるか、アプライアンスがフォレンジック証拠をどのように保全するかも確認すべきだ。
顧客は、次のアドバイザリを待たずに将来の露出を減らせる。直接的なインターネット到達可能性を最小限にし、管理インターフェースを制限し、ゲートウェイ起点のトラフィックを監視できる。また、攻撃者がローカルの有用な記録をすべて消去できないよう、ログを一元化することも可能だ。
セグメンテーションも重要だ。リモートアクセスアプライアンスは、信頼された機能を担うというだけで無制限の到達範囲を与えられるべきではない。サービスアカウントには必要な権限だけを付与し、可能な限り平文認証プロトコルを廃止すべきだ。
これらの対策はゼロデイリスクを排除するものではない。1台のデバイスが侵害された後に攻撃者が得られる価値を抑えるためのものだ。Ivanti、SonicWall、Citrixなどで繰り返されてきたエッジ領域のインシデントが示す教訓は、境界アプライアンスにも内部での封じ込めが必要だということである。
したがって、Ivantiへの圧力はアップデートの提供だけにとどまらない。顧客は、残る権限昇格の修正がどれほど迅速に提供されるかを注視する。また、新リリースが証拠収集を改善し、メモリ上のみで行われる改ざんへの耐性を高めるかどうかも評価するだろう。
対応が機能したかを示す3つのシグナル
次の局面は、悪用の拡大、残るIvanti修正プログラム、そして当初調査された環境を超えた侵害の証拠に左右される。
最初のシグナルは、公表後にスキャンや悪用が拡大するかどうかだ。Volexityは武器化されたエクスプロイトコードを公開していないものの、技術的な詳細はすでに利用可能になっている。他の攻撃者も、ルーティングの欠陥を分析し、レース条件を再現して独自の実装を開発できる。
welcome.cgiを含むリクエストや、不審なX-DSCGI-PATH値を伴うリクエストが急増すれば、緊急の封じ込めが必要であるとの見方が強まる。インシデント対応企業の報告は、UTA0576が引き続き主な実行主体だったのか、それとも多数の攻撃者の一つになったのかを示すことになる。
2つ目のシグナルは、別の権限昇格の脆弱性に対してIvantiが約束した修正プログラムだ。管理者は同社のアドバイザリ、リリースノート、サポート対象バージョンに関するガイダンスを追跡すべきである。導入後は、稼働中と待機中のすべてのノードを検証する必要がある。
迅速なリリースは、この攻撃チェーンで確認された別のローカル権限昇格経路を排除する。遅延すれば、CVE-2026-104935自体が修正された後であっても、顧客には追加の不確実性が残る。
3つ目のシグナルは、下流での侵害の発見である。盗まれたディレクトリ認証情報、権限のないBitLocker回復へのアクセス、あるいは横展開に関する新たな報告があれば、このインシデントで理解されている影響範囲は拡大する。また、アプライアンスだけに焦点を当てた修復では不十分だったことも裏付けられる。
組織は、そうした報告を待ってから自社環境を確認すべきではない。確認された攻撃者は、rootアクセスを取得した直後にアイデンティティの秘密情報を探索していた。この行動は、公開されていたシステムに対する調査範囲の最低基準を定義している。
防御側は、公開期間全体をカバーするゲートウェイ、ファイアウォール、アイデンティティ、DNS、ディレクトリのログを保全すべきである。アプライアンスからの接続のうち、通常のリモートアクセスの挙動に一致しないものを調査する必要がある。関連するサービスアカウントと再利用可能なシークレットには、特別な注意が必要だ。
Ivanti Connect Secureの脆弱性は、脆弱性管理プログラムをより広く試す機会にもなる。パッチ適用の速さと同じくらい、資産インベントリの速度が重要である。誰も所有していない待機中のゲートウェイ、忘れ去られたラボ用デバイス、引き継がれたアプライアンスを、組織は保護できない。
したがって、CISAの警告は単一の連携ワークフローを起動させるべきである。セキュリティ運用、ネットワークエンジニアリング、アイデンティティチーム、インシデント対応担当者は、同じタイムラインと資産リストを共有する必要がある。各チームは攻撃経路の異なる部分を見ているからだ。
パッチ適用は依然として緊急だが、それは最初の一手にすぎない。より重要なのは、パッチが適用されるまでにアプライアンスが何にアクセスしたのかを、自組織が証明できるかどうかである。アドバイザリを確認し、導入済みのすべてのバージョンを検証し、証拠を保全し、ゲートウェイ起点のアクティビティを今すぐ調査してほしい。デバイスが価値の高いアイデンティティデータにアクセスできたなら、これを通常の保守作業として扱うべきだろうか。それとも、侵害の可能性として扱うべきだろうか。
