Ivanti Connect Secure：CVE-2026-104935の修正と過去の侵害の調査

概要

2026年10月25日時点の情報である。CVE-2026-104935は、Ivanti Connect Secureで未認証のコマンド実行を可能にする認証回避の脆弱性である。本稿は、2026年10月13日付のCISAの警告とIvantiのセキュリティ更新情報に基づく。是正前に、ベンダーの情報、ハードウェアと互換性のあるアップグレード経路、および別件の権限昇格の修正を再確認する。Ivantiの10月の更新情報でも、その追加修正は今後提供予定とされていた。本稿は、報告された攻撃チェーン全体が修正済みだとは主張しない。Ivantiの更新情報。

重要な理由

CISAは認証情報の窃取とデータの持ち出しを報告し、この脆弱性が2026年10月13日にKnown Exploited Vulnerabilitiesカタログへ登録されたことを確認している。コマンドはメモリ内で実行できるため、Integrity Checker Tool（ICT）の結果から悪用を否定することはできない。その可能性を調べるには、ネットワークとメモリのフォレンジックが必要である。CISAの警告。

Ivantiの以前のICTの説明は、ファイルの完全性比較とマルウェア検知を区別している。外部パッケージはバージョン固有のファイルとハッシュを比較し、内部チェックと外部チェックは継続的な監視を補完する。その過去のガイダンスはツールの説明として役立つが、そこにある古いインシデント固有のパッチ手順は、この脆弱性の復旧手順ではない。ICT FAQ。

適用方法

• 各アプライアンスにインストールされたコード系列と露出状況を記録する。CISAは、影響を受ける系列として、25.1.1.1以前、25.1.2.2以前、22.8R2.4以前を挙げている。これらのブランチ固有の記述を、すべてのリリースにまたがる単一の数値範囲へ置き換えない。
• 互換性のある修正を選ぶ。Ivantiは、コード系列に応じて25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5を挙げている。イメージを選ぶ前に、そのアプライアンスでサポートされる移行経路を確認する。これらはこのCVEの修正であり、すべての脆弱性が解決したという宣言ではない。ベンダーのリリース概要。
• 状態を大きく変える復旧作業の前に、インシデント対応チームと証拠を保全する。Neurons for Secure Accessでゲートウェイを管理している場合は、Administration > Tenant Logsで管理者とイベントの記録を確認し、エクスポートする。説明のつかないアップグレード、設定変更、再起動を調査用に記録する。文書に記載されたログのエクスポート操作はExport Logsである。管理ガイド。
• 該当する内部ICTと最新の外部ICTを実行する。同じ管理サービスでAdministration > Integrity Checker Toolを選び、ゲートウェイを選択してからScan nowを実行する。レポートと取得可能なスナップショットを保存する。スキャンが実際に完了したことを確認する。スキャン履歴が空であることは、異常なしの結果ではない。異常の解釈はサポートに依頼する。
• 侵害が疑われる場合は、CISAの復旧手順に従う。設定をバックアップし、ハードウェアを工場出荷時の状態にリセットするか、仮想またはクラウドのインスタンスを再構築し、アップグレードしてから設定を復元する。ドメイン、管理者、ローカルアカウントのパスワードをリセットし、保存済み証明書を失効させて再発行する。保存済みのAPIキーとライセンスサーバーの認証情報も置き換える。復旧ガイダンス。
• 復旧後は、インストール済みのリリースを検証し、該当する完全性チェックを繰り返して、ネットワーク監視とログ確認を続ける。Ivantiは、パッチ適用を継続的なアプライアンスの完全性検証の一部として明確に位置付けている。セキュリティ更新情報。

落とし穴

完全性の異常は調査が必要であり、異常なしのスキャンでも過去に侵害されなかったとは判断できない。フォレンジックの結論とアップグレード記録を分けておく。最新のアドバイザリと導入形態を確認せずに、過去のIvantiインシデントのパッチ手順やリセット手順を流用しない。