Ivanti、10月1日以降にConnect Secureの新たなゼロデイ2件にパッチを適用

Ivantiは、Connect Secure（ICS）リモートアクセスゲートウェイのさらなる2件の脆弱性に対するセキュリティアップデートをリリースした。同社によると、これらの脆弱性は少なくとも10月1日以降、ゼロデイ攻撃で連鎖的に悪用されているという。組織でこのアプライアンスを運用している場合、このIvanti Connect Secureのゼロデイパッチは優先的に対応すべきものだ。

現時点で入手可能な詳細は限られているため、本記事では報告されている内容に限定し、ゲートウェイに依存する管理者や従業員向けの実践的な手順に焦点を当てる。

Ivantiがパッチを適用した内容と攻撃の開始時期

報告によると、IvantiはConnect Secureのさらなる2件の脆弱性に対応するアップデートを発行した。Connect Secureは、多くの組織が従業員にオフィス外から内部システムへアクセスさせるために使用しているリモートアクセスゲートウェイだ。これらの脆弱性はゼロデイとして悪用されており、つまり修正プログラムが存在する前に攻撃者が利用していたことを意味する。

タイムラインの重要な点は、攻撃が少なくとも10月1日以降続いていることだ。「少なくとも」という表現は重要だ。これは現時点で確認されている最も早い活動を示すものであり、必ずしも最初の活動ではないことを示唆している。その期間に未パッチのアプライアンスを運用していた組織は、修正プログラムだけで問題が解決すると仮定するのではなく、露出していた可能性を考慮すべきだ。

また、これらの脆弱性は連鎖的に悪用されており、攻撃者が単一のバグに頼るのではなく、複数を組み合わせたことを意味する。この詳細は、防御側がリスクをどう考えるべきかに影響する。

VPNゲートウェイにおける連鎖的エクスプロイトが危険な理由

リモートアクセスゲートウェイはネットワークのエッジに位置する。設計上インターネットから到達可能であり、外部ユーザーを内部リソースに接続するものとして信頼されている。この組み合わせが、この機器を価値の高い標的にしている。侵害に成功すれば、露出しつつも十分に接続された場所に足場を築けるのだ。

連鎖はこれをさらに深刻にする。1つの脆弱性が攻撃者に限定的なアクセスを与え、2つ目がそのアクセスを拡張したり、より強力なものに変えたりする可能性がある。組み合わせて使用されると、個別には対処可能な2つの脆弱性が、はるかに大きな問題に発展しうる。各バグを個別に評価してトリアージする防御側は、現実世界での影響を過小評価する可能性がある。

これはより広範なパターンの一部でもある。以前の報道でIvanti Connect Secureの認証バイパス（CVE-2026-104935として追跡）を取り上げたが、同じ製品の別の脆弱性がすでに攻撃に使用されていた。同じゲートウェイで2回目のゼロデイが発生していることは、これらのアプライアンスに細心の注意を払うべき理由を強調している。

職場のVPNゲートウェイにパッチが適用されているか確認する方法

Connect Secureを管理している場合、基本から始めよう。

• アプライアンスのバージョンを確認する。 現在実行中のバージョンを確認し、これら2件の脆弱性に関するIvantiのセキュリティアドバイザリに記載されている修正済みリリースと比較する。
• アップデート履歴を確認する。 アップデートが実際に適用され、アプライアンスがパッチ済みビルドで再起動されたことを確認する。ダウンロードされただけでは不十分だ。
• 10月1日まで遡って確認する。 攻撃は少なくともその日まで遡るため、その期間以降のログと整合性チェックの結果を確認する。
• 関連する修正を確認する。 CVE-2026-104935の問題に対するものを含め、以前のパッチも適用されていることを確認する。

管理者ではなく従業員の場合、アプライアンスに自分でパッチを適用することはできないが、IT部門またはセキュリティチームにConnect Secureゲートウェイが最新のアップデートを受信したかどうかを尋ねることはできる。短く直接的な質問は合理的であり、多くの場合歓迎される。

Connect Secureアプライアンスが更新されていない場合の対処

変更プロセスが許す限り速やかにパッチを適用すること。これらの脆弱性は実際に悪用されているため、定期的なメンテナンスウィンドウを待つことには実際のリスクが伴う。

更新の準備中は、アプライアンスの管理インターフェースに到達できる人を制限し、Ivantiが提供する暫定的な緩和策のガイダンスに従うことを検討すること。パッチ適用後は、利用可能であればベンダーの整合性チェックツールを実行し、異常なセッション、予期しない設定変更、見覚えのないアカウントを探すこと。侵害の兆候が見つかった場合は、インシデントとして扱うこと。アプライアンスを隔離し、ログを保全し、ゲートウェイを通過した可能性のある認証情報をリセットする前にインシデント対応チームを関与させること。

これが意味するもの

管理者にとって、メッセージは明快だ。バージョンを確認し、パッチを適用し、10月1日以降の期間を調査すること。更新前に露出していた場合、修正済みのアプライアンスが自動的にクリーンであるとは限らない。

企業VPNの一般ユーザーにとって、この問題に関して自分のデバイスにインストールするソフトウェアはない。脆弱なコンポーネントはゲートウェイだからだ。それでも、強力で固有のパスワードを使用し、提供されている場合は多要素認証を有効にし、予期しないログインプロンプトやサインインアラートなど、異常なものを報告する良い機会だ。

主なポイント

• Ivantiは、少なくとも10月1日以降ゼロデイ攻撃で連鎖的に悪用されているConnect Secureのさらなる2件の脆弱性に対するアップデートをリリースした。
• リモートアクセスゲートウェイはインターネットに面し信頼されているため、魅力的な標的となる。
• 連鎖した脆弱性は、いずれか単独のバグよりも被害が大きくなる可能性がある。
• アプライアンスのバージョンを確認し、今すぐIvanti Connect Secureのゼロデイパッチを適用し、10月1日以降の活動を確認すること。
• 継続的なパターンの背景については、CVE-2026-104935認証バイパスに関する以前の記事をお読みください。

Ivanti Connect Secureを使用または管理している場合は、今日バージョンを確認し、遅滞なくアップデートを適用すること。