米国CISA(サイバーセキュリティ・インフラセキュリティ庁)は2026年10月30日、Ivanti Connect SecureにおけるCVE-2026-118527を「Known Exploited Vulnerabilities(KEV)カタログ」に追加しました。これは実際に悪用が確認された脆弱性のみを登録するリストであり、本脆弱性もすでに悪用が確認されているということを意味します。影響を受けるのは、企業のリモートアクセス基盤として広く利用されているIvanti Connect Secureの管理者・利用企業です。認証済みの攻撃者が、攻撃者の意図した内容のファイルを、ディスク上の既知の場所にアップロードできてしまう問題で、他の関連脆弱性と組み合わせて悪用される可能性がある点が特に注意すべきポイントです。Connect Secureのようなリモートアクセス機器は社内ネットワークへの入口に位置するため、ここを突かれると被害が社内全体に広がりやすく、インターネット経由で到達可能な点も攻撃者にとって魅力的な標的となっています。
脆弱性の概要と影響を受ける製品
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-118527 |
| ベンダー | Ivanti |
| 製品 | Connect Secure |
| 脆弱性名 | Generation of Predictable Numbers or Identifiers Vulnerability |
| CWE分類 | CWE-340(予測可能な数値・識別子の生成) |
| 概要 | 認証済みの遠隔攻撃者が、攻撃者が制御する内容のファイルをディスク上の既知の場所にアップロード可能 |
| 関連脆弱性 | CVE-2026-104935、CVE-2026-111357と連携して悪用される可能性がある |
| KEVカタログ追加日 | 2026年10月30日 |
| 米連邦機関の対応期限 | 2026年11月13日 |
| ランサムウェアでの悪用 | 不明(現時点で確認されていない) |
影響を受ける具体的なバージョン範囲や修正済みバージョンについては、公式情報に詳細が記載されていないため、ベンダーのセキュリティアドバイザリを確認してください。Connect Secureはリリースごとにビルド番号が細かく分かれているため、「最新版だから安全」と思い込まず、管理コンソールに表示されるビルド番号をアドバイザリの記載と一つずつ照合することが重要です。
深刻度と悪用状況
本脆弱性のCVSSスコアは今回参照した公式情報からは取得できませんでした。深刻度を正確に把握したい場合は、NVD(National Vulnerability Database)のCVE-2026-118527のページ、またはIvantiが公開しているセキュリティアドバイザリを確認してください。
一方で、CISAのKEVカタログに掲載されているという事実自体が、本脆弱性が「理論上の脅威」ではなく「実際に攻撃で使われている」ことを示しています。CWE-340に分類される「予測可能な識別子」の問題は、単体では影響が限定的に見えても、他の脆弱性と組み合わせることで攻撃の難易度が下がる傾向があります。公式情報でもCVE-2026-104935およびCVE-2026-111357との連携(チェーン)が明記されており、単一パッチの適用だけでなく、関連する脆弱性情報も含めて確認する必要があります。対応が遅れるほど、認証情報の窃取や侵害の横展開につながるリスクが高まるため、早急な対応が推奨されます。
なぜ脆弱性の「チェーン」が危険なのか
単独では深刻度が低く見える脆弱性であっても、複数を組み合わせることで最終的に重大な侵害につながるケースは珍しくありません。今回のCVE-2026-118527は「アップロード先を予測できてしまう」という問題ですが、これ自体は認証済みユーザーに限定された権限での悪用です。しかし、公式情報が示すようにCVE-2026-104935やCVE-2026-111357といった別の脆弱性と組み合わせることで、認証をバイパスしたり、アップロードしたファイルを実行可能な形で悪用したりする一連の攻撃シナリオが成立する可能性があります。このようなチェーン攻撃は、1件のCVEだけを個別に評価していると見落とされやすいため、関連CVEをまとめて確認し、すべてにパッチを適用することが重要です。
ベンダーはどんな修正を行ったか
公式情報には、具体的な修正内容や修正済みバージョン番号の記載がありません。修正パッチの有無や適用方法については、Ivantiが公開しているセキュリティアドバイザリを確認してください。
参考として、CWE-340「予測可能な数値・識別子の生成」とは、本来ランダムであるべき値(ファイル名やトークンなど)が、推測しやすいアルゴリズムで生成されてしまう問題を指す一般的な脆弱性カテゴリです。例えば、タイムスタンプや連番を元にファイル名を生成する実装では、攻撃者が次に生成される値を予測し、意図した場所にファイルを配置できてしまうことがあります。このような問題が修正される場合、通常は識別子の生成方法を暗号学的に安全な乱数生成に置き換える、あるいはアップロード先の検証処理を強化するといった対応が取られます。ただし、本件における実際の修正内容はこの一般論とは異なる可能性もあるため、断定はできません。詳細はベンダーのセキュリティアドバイザリを確認してください。
今すぐやるべき対策手順
- 手順1: バージョン確認 — 管理コンソールまたはシステム情報からIvanti Connect Secureの稼働バージョンを確認する。複数拠点で運用している場合は、すべての機器のバージョンを一覧化し、漏れがないようにする。
- 手順2: ベンダーアドバイザリの確認とアップデート適用 — Ivantiの公式セキュリティアドバイザリ(CVE-2026-104935に関するページ含む)を確認し、提供されているパッチや修正バージョンを速やかに適用する。
- 手順3: 緩和策の実施 — パッチが即時適用できない場合は、管理インターフェースへのアクセス制限、WAF(Webアプリケーションファイアウォール)によるフィルタリング、不要な外部公開の停止など、ベンダー指示に沿った緩和策を講じる。緩和策が利用できない場合は、CISAのBOD 26-04ガイダンスに従い、製品の利用停止も検討する。
- 手順4: BOD 26-04への準拠確認 — 米連邦機関はBOD 26-04「リスクに基づくセキュリティアップデートの優先順位付け」に従い、2026年11月13日までの対応が求められています。民間企業でも同ガイダンスを参考に、資産ごとのインターネット露出を評価し、優先順位をつけて対応することが推奨されます。
- 手順5: 侵害有無の確認 — CISAの「Forensics Triage Requirements」を参照し、ディスク上の不審なファイル、未承認のアップロード履歴、アクセスログの異常な認証試行などを確認する。侵害の痕跡が見つかった場合は、インシデント対応手順に従って対応する。
- 手順6: 認証情報の見直し — 既に侵害された可能性を踏まえ、Connect Secureに関連する管理者アカウントやサービスアカウントのパスワードを変更し、可能であれば多要素認証を有効化しておくことも有効な対策です。
よくある質問
Q1. すぐにパッチを適用できない場合はどうすればいいですか?
A. ベンダーの指示に基づく緩和策(アクセス制限やWAFの活用など)を実施してください。緩和策が提供されていない、または実施できない場合は、CISAのBOD 26-04ガイダンスに従い、該当製品の利用を一時的に停止することも検討してください。
Q2. この脆弱性はランサムウェア攻撃に使われていますか?
A. 公式情報では「ランサムウェアでの悪用は不明」とされており、現時点でランサムウェアとの関連は確認されていません。ただし、KEVカタログに掲載されている時点で実際の悪用は確認されているため、楽観視せず早急な対応が必要です。
Q3. 関連するCVE-2026-104935やCVE-2026-111357についても個別に対応が必要ですか?
A. はい。公式情報では本脆弱性がこれら2件のCVEと組み合わせて悪用される可能性があると明記されています。CVE-2026-118527単体のパッチだけでなく、関連するCVEについてもベンダーのアドバイザリを確認し、該当するパッチや緩和策をすべて適用することが推奨されます。
まとめ
CVE-2026-118527は、Ivanti Connect Secureにおいて認証済み攻撃者が任意内容のファイルを既知の場所にアップロードできてしまう脆弱性で、CISAのKEVカタログに実際の悪用事例として登録されました。他の関連脆弱性とのチェーンによりリスクが増大する可能性がある点も見逃せません。CVSSスコアや修正バージョンなどの詳細は現時点の公式情報からは取得できないため、必ずIvantiの公式セキュリティアドバイザリとNVDの情報を確認し、バージョン確認・アップデート適用・緩和策・侵害有無の確認という一連の対応を、米連邦機関の対応期限である2026年11月13日を目安に、できるだけ早く実施してください。関連するCVE-2026-104935・CVE-2026-111357についても合わせて確認し、抜け漏れのない対応を心がけることが、今回のような連鎖的な攻撃から組織を守る鍵となります。
