CISAが10月13日に出したIvanti Connect Secureへの警告は、仮説上の欠陥に対する予防措置ではなかった。攻撃者は認証回避と実行の連鎖を使い、当時その系列では最新のパッチを適用していた機器を侵害していた。同庁はCVE-2026-104935を既知の悪用済み脆弱性カタログに追加し、連邦文民機関に10月16日までの是正を求めた。
ソフトウェアの修正と未解決の侵害は別問題だ。Volexityの調査は、通常の永続的Webシェルを置かず、繰り返しの悪用、一時的なメモリー変更、認証情報の収集、選択的なログ削除を行う手口を示す。更新は記録された入口を閉じるが、盗まれた秘密を失効させず、過去にアクセスがなかったことも証明しない。
期限と影響するリリース
CVSSスコアは8.6で、攻撃の複雑性は低い。有効なアカウントも利用者の操作も不要で、遠隔からコマンドを実行できる。Connect Secureはインターネットと内部アプリケーション、認証基盤の間にあるため、認証の失敗は攻撃者に重要な信頼済みの足場を与える。
完成済みの報道が挙げる対象は、それぞれの系列で25.1.1.1以前、25.1.2.2以前、22.8R2.4以前だ。修正版には25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5がある。ただし系列を自由に入れ替えてよいという意味ではない。設置済みの版とサポートされた更新経路をIvantiの勧告に照合する必要がある。
旧版の例外には記述の精度の違いがある。主原稿は22.7.x以前、統合したCVEベースの原稿は22.7R2.14以前とする。どちらも旧版全体の安全性の保証でも、ダウングレードの理由でもない。無関係の脆弱性やサポート終了は別に確認すべきだ。
10月13日のKEV更新にはWindows ShellのCVE-2026-96951も入った。こちらは利用者の操作が必要な別の問題であり、Ivantiの直接的な未認証攻撃とは異なる。原稿が引用するBOD 26-04の下で、連邦文民行政機関には両件とも10月16日の期限が設定された。民間に同じ指令上の義務が自動的に生じるわけではないが、技術的な露出は共通する。Windowsの問題は背景であって、二つ目のIvantiの欠陥ではない。
KEV登録は実際の悪用を示すが、全公開機器の侵害や大規模な攻撃を意味しない。ランサムウェア利用欄は不明であり、関連が確認されたという意味ではない。Ivantiが把握する悪用は限定的だという説明も、同社の可視性を表すだけで被害数の確かな上限ではない。
公表前に、当時最新の機器が狙われた
Volexityは10月5日に調査を始め、10月3日まで悪用をさかのぼった。対象はその系列で当時最新のConnect Secure 22.8R2.4、Build 19097だった。別の脅威情報事業者は10月1日から関連兆候を観測したとされる。別々の観測であり、後者をVolexityが確認した最初の日と書くべきではない。
同社は未特定の活動をUTA0576として追跡する。これは分析上の集団名で、実在の組織や政府スポンサーを証明しない。諜報より犯罪目的との評価は低い確信度だった。最終目的を確定する前に活動は阻止された。
Ivantiは、問題の一部を製品セキュリティー活動で見つけ、2026年7月の25.1.3.0で修正したと説明する。他のサポート系列へ修正を移植している間に悪用が起きた。系列間に保護の空白があったことは事実だが、全連鎖や実際の悪用を同社がいつ把握したかは公開資料で確定しない。移植や互換性の作業を、根拠なく意図的な遅延と扱えない。
背景には2025年1月のスタックバッファーオーバーフローCVE-2025-0282、後に中国関連の諜報と結び付けられたCVE-2025-22457もある。これらはUTA0576の正体も全Ivanti機器の危険性も証明しない。VolexityはSonicWallの遠隔アクセス機器への攻撃でもパケット記録から認証情報が回収されたことと比較し、信頼された境界装置全般の価値を指摘した。
三つの弱点が公開アクセスをrootへ変えた
調査によると、最初に認可と経路選択が食い違った。公開ログイン部品welcome.cgiへの要求で、X-DSCGI-PATHヘッダーに別の宛先を指定できた。機器は公開URLで認可を判定しながら、保護されたアップロード処理wu.cgiへ要求を渡した。
その処理はZIP形式か検証する前にファイルを書き込んだ。拡張子を偽装したPerlスクリプトが、拒否・削除まで短時間存在した。並列要求がその削除との競争に勝つと、制限されたcgi-serverアカウントで実行できた。これはタイミングに依存するファイル処理の失敗で、普通のZIPが本質的に実行可能だという意味ではない。
認証回避と遠隔実行はCVE-2026-104935にまとめられた。別の権限昇格では、特権サービスが改変された設定を信頼し、メモリー上のライブラリー変更と組み合わせて正規の保守作業を悪意あるスクリプトへ向け、rootで実行した。攻撃者は保護されたパスワード情報へのアクセスを試し、設定と変更したメモリー命令を戻した。
完成済み記事の時点で、独立した昇格問題の修正は後日予定されていた。ただし、10月13日の更新後も記録された未認証経路が開いているという意味ではない。入口と実行を遮断すれば、その特定の連鎖は切れる。それでも後続リリースの確認は必要だ。
攻撃者は初期バックドアを残す代わりに、脆弱性の経路を繰り返し使い、HTTPSでコマンドと結果をやり取りした。圧縮・符号化したPythonを含め、一部はメモリーだけで動いた。デバッグ記録やLinux監査ログの一部を削り、一時ファイルと結果を消し、変更状態を復元した。
VolexityはIvantiのIntegrity Checker Toolを回避したとする。同ツールが調べるのは予期しないファイル変更であり、一時的なメモリー改変や復元済み設定は、正常なディスク検査で否定できる範囲を超える。検査の無意味さではなく、正常結果が意味する範囲の限界である。
影響を装置の外へ広げる認証情報
機器のディレクトリー接続を使い、攻撃者は内部Active Directoryドメインコントローラーを照会した。独自LDAPツールとPythonスクリプトは、LAPSのローカル管理者資格情報、BitLocker回復情報、パスワードを含む属性、利用者情報、ログオンスクリプトの場所を狙った。認証記録から有効なユーザー名も得た。
LAPS情報はローカル管理者アクセス、BitLocker回復データは暗号化ドライブの解除につながる。Volexityは対象照会で利用可能な情報が流出したと高い確信度で評価した。ただし、要求した秘密がすべて存在したことや、後続の侵害がすべて成功したことまでは示さない。
パケット記録からは平文LDAP資格情報、HTTP Basic認証、NTLMチャレンジ・レスポンスのハッシュも探した。隠しディレクトリーの改名済み取得ツールがLDAP、HTTP、FTP、Telnetなどを監視し、8本のファイルを循環させた。ハッシュ悪用やオフライン解析のリスクは設定とパスワード強度次第だが、収集済み情報はVPN更新では取り戻せない。
内部DNSとホスト名の偵察、VPN設定と認証ログの検索、ディレクトリーアカウントへのパスワードスプレーも行われた。一連の挙動は横展開とアクセス拡大の準備を裏付けたが、最終目的や全手法の成功は確認されていない。
統合原稿のAIに関する記述にも留保が必要だ。Volexityは独自スクリプト、固定された資格情報、コマンド経路の反復利用、複雑な連鎖などから、開発や侵入後の活動に大規模言語モデルを使った可能性を中程度の確信度で評価した。直接証拠ではなく推論である。人間の反復作業や既存の非公開ツールでも似た形になり得るため、自律AI侵入が確認されたとは書けない。
根拠をもって対応を終えるために
公表後、Shadowserverはインターネットに向いているように見えるConnect Secureを5500台以上観測した。脆弱機器や被害企業の数ではない。ハニーポット、重複、更新済み機器を含み得る。稼働系、待機系、復旧ノード、忘れられた試験機を含め、実際のビルドを確認したい。
Ivantiは即時更新と定期的整合性検査を勧め、Rapid7は更新後も侵害を探す必要を強調した。公開期間、装置から出る通信、認証・ディレクトリーログ、ファイアウォールとDNSの記録、保全したメモリーは版確認と違う問いに答える。welcome.cgiへの異常な要求量やURLとヘッダーの不一致は手掛かりだが、攻撃者は変更できる。公開指標の不在だけで安全とはいえない。
封じ込めと証拠保存は衝突する。再起動や再構築で揮発性の痕跡を失う一方、隔離を遅らせればアクセスを延ばす。現在の危険、冗長性、調査能力に応じて順序を決め、不必要に侵入を長引かせず採取を調整し、時刻と操作を記録する必要がある。
資格情報の変更は接続先、触れられた秘密、観測活動に基づくべきだ。サービス用資格情報、ローカル管理者パスワード、回復キー、トークン、再利用可能な利用者の秘密は別々に検討する。無計画な一斉変更は依存関係を壊し、目立たない情報を漏らし得る。信頼されたゲートウェイ発の下流通信も個別調査が必要だ。
長期的には不要な公開・管理経路を減らし、ログを集中保存し、サービスアカウントの権限を絞り、内部を分離し、平文認証を可能な限り廃止する。ゼロデイは消せないが、一台の侵害が届く範囲と消される証拠を限定できる。
次に見るべきは追加の攻撃・被害調査、サポート系列での実更新率、別の昇格修正、盗難資格情報の下流利用だ。Volexityは武器化した実証コードを非公開にしたが、技術分析は模倣にも役立ち得る。新たな公表例がなくても侵害の不在は証明できない。
終結には、脆弱な版だったか、悪用期間に公開されていたか、アクセスの証拠があるか、その後どのシステムや秘密に届いたかという別々の答えがいる。更新が答えるのは最初の問いだ。必要な節目ではあるが、残り三つの代わりにはならない。