Ivanti Connect Secureで新たに公表された認証バイパスがすでに攻撃に悪用されており、CISAは組織に迅速な対応を促している。CVE-2026-104935として追跡されているこの脆弱性は深刻度「高」と評価されており、Cyber Dailyの報道で引用されたあるアナリストは、悪用が「信じられないほど簡単」だと述べている。あなたの組織がこのVPNゲートウェイを運用しているなら、Ivanti Connect Secureのゼロデイパッチは最優先事項に引き上げるべきだ。

公開されている詳細はまだ限られているため、本記事は報道された内容にとどめ、実行可能な実践的ステップに焦点を当てる。

CVE-2026-104935とは何か、なぜ悪用されているのか

CVE-2026-104935は、Ivanti Connect Secureにおける認証バイパスである。平たく言えば、認証バイパスとは、外部の者をシステムから遠ざけるはずのログイン手順を攻撃者が突破できるようにするものである。パスワードを盗んだりユーザーを騙したりするのではなく、攻撃者はチェックそのものを飛ばしてしまう。

この問題が注目を集めている理由を説明する2つの詳細がある。第一に、この脆弱性は攻撃者がすでに標的にしたゼロデイであるとされている。第二に、あるアナリストが悪用は「信じられないほど簡単」だと述べている。認証情報を必要とせず、ほとんど技術を要しない単純な脆弱性は急速に広がる傾向がある。より多くの攻撃者が利用でき、自動スキャンが現実的になるからだ。

CISAは迅速な対応を促している。元記事は影響を受けるバージョン番号や攻撃者の身元など、それ以上の技術的詳細を提供していないため、二次的な要約に頼らず、それらの詳細についてはIvantiの公式アドバイザリを確認してほしい。

あなたのVPNゲートウェイは影響を受けているか？侵害の痕跡を確認する方法

基本から始めよう。そもそもIvanti Connect Secureを運用しているかどうかを確認する。支社、テスト環境、クラウド展開にある古い、あるいは忘れられた機器も含めること。管理されていないゲートウェイは、パッチが当てられないままになりがちだ。

次に、インストールされているバージョンをIvantiのアドバイザリに記載されたバージョンと比較する。影響を受ける範囲にある場合は、更新されるまでそのデバイスはリスクにさらされていると想定すること。

攻撃が進行中と報じられているため、パッチ適用だけでは十分でない可能性がある。修正プログラムが存在する前に悪用されたバイパスは、痕跡を残しているかもしれない。妥当なステップは以下のとおりである。

  • 認証ログと管理者ログを確認し、予期しないログイン、特に見慣れないIPアドレスからのものや奇妙な時間帯のものを探す。
  • 新規または変更されたアカウント、設定変更、機器上の見慣れないファイルがないか探す。
  • ベンダーが提供する整合性チェックツールがあれば実行し、その結果の意味についてのガイダンスに従う。
  • 管理インターフェースが公開インターネットから到達可能である必要がないのに到達可能になっていないか確認する。

不審な点を見つけた場合は、インシデントとして扱うこと。デバイスを隔離し、ログを保全し、再びオンラインに戻す前にベンダーとCISAのガイダンスに従うこと。

CISAのガイダンスに沿ったパッチ適用と緩和策

最も明確な指示は、あなたのバージョン向けのベンダー修正プログラムが利用可能になり次第、直ちに適用することである。CISAが迅速な対応を促していることは、ここでは定例のメンテナンスウィンドウを待つのがリスクの高い選択だという信号である。

実践的な手順は次のようになる。

  1. 更新を適用する。 Ivantiが提供するパッチをインストールするか、あなたのリリース向けの修正プログラムがまだ利用できない場合は、ベンダーが公表する暫定緩和策に従う。
  2. 露出を制限する。 管理アクセスを信頼できるネットワークに限定し、可能であればゲートウェイの前に追加の制御を設ける。
  3. 侵害が疑われる場合は認証情報をローテーションする。 これにはローカルアカウントや、機器上に保存されている、あるいは機器を通じて到達可能なあらゆるシークレットが含まれる。
  4. その後も監視する。 以前の侵入がすぐに現れない可能性があるため、パッチ適用後もしばらくは強化されたログ取得を維持する。
  5. 文書化して報告する。 発見した内容と実施した対応を記録し、あなたの組織に適用される報告義務に従う。

正確なパッチバージョンと緩和手順については、状況の進展に伴い指示が更新される可能性があるため、IvantiとCISAに直接依拠すること。

なぜVPN機器は価値の高い標的なのか

VPNゲートウェイはネットワークの端に位置し、設計上インターネットに面している。そのため誰からでも到達可能であり、侵害に成功すれば内部システムへの直接的な経路を提供しうる。攻撃者がこれらを好むのは、これらのデバイスがしばしば広範な権限で動作し、多くのユーザーの認証情報を扱う可能性があるからでもある。

エッジ機器はノートPCやサーバーよりも監視が難しい場合もある。同じセキュリティエージェントをサポートしていないことがあるからだ。このギャップが攻撃者に気付かれずに活動する時間を与える。このパターンは、攻撃者がアクセスを保護するインフラを狙うという、より広範な変化の一部である。同じテーマは、最近のスパイ活動キャンペーンにおいてAIが攻撃者の助手から自律的なオペレーターへと移行している方法を考察した記事にも現れており、そこでは速度と規模が攻撃者に有利に働いている。

あなたにとって何を意味するか

Ivanti Connect Secureを管理しているなら、これは緊急の課題である。デバイスを特定し、パッチを適用し、侵害の痕跡を確認すること。静かなログがクリーンなデバイスを意味すると仮定してはならない。

会社のVPNの従業員またはリモートユーザーであるなら、自分でゲートウェイにパッチを適用することはできないが、ITチームに影響を受けているかどうか、修正が適用されたかどうかを尋ねることはできる。アカウントには強力で固有のパスワードと多要素認証を使用し、予期しないログイン要求やアカウントの警告があれば報告すること。認証バイパスはログインを回避しうるため、これらの習慣はリスクを減らすがパッチ適用の代わりにはならないことに注意してほしい。

消費者向けVPNサービスを利用している場合、この特定の問題はIvantiのエンタープライズ製品に関するものであり、消費者向けアプリではない。それでも、インターネットに面するあらゆるリモートアクセスシステムには定期的な更新が必要だという有用なリマインダーではある。

主な要点

  • CVE-2026-104935に対するIvanti Connect Secureのゼロデイパッチは、攻撃がすでに発生していると報じられているため、緊急のものとして扱うこと。
  • どのゲートウェイがIvanti Connect Secureを運用しているかを確認し、そのバージョンをIvantiのアドバイザリと照合すること。
  • パッチ適用後であっても、侵害の痕跡がないかログと機器の整合性を確認すること。
  • 更新されるCISAのガイダンスとIvantiの公式指示に従うこと。
  • この機会に、管理インターフェースの露出やエッジデバイスの監視を含め、あなたの組織がリモートアクセスインフラをどのように保護しているかを見直すこと。

まずパッチを適用し、次に調査し、監視を続ける。この順序が、この問題を先回りする最良の可能性を与えてくれる。