CISA(米サイバーセキュリティ・インフラセキュリティ庁)は2026年10月30日、Ivanti Connect Secureに存在する脆弱性「CVE-2026-111357」を、実際に悪用が確認された脆弱性の一覧である「Known Exploited Vulnerabilities(KEV)カタログ」に追加した。この脆弱性は「重要な機能における認証の欠落(Missing Authentication for Critical Function)」に分類されており、ローカルで認証済みの攻撃者が権限を昇格できる可能性がある。影響を受けるのはIvanti Connect Secureを利用している企業・組織のネットワーク管理者で、米連邦政府機関には2026年11月2日までの対応期限が設定されている。Ivanti Connect SecureはVPNゲートウェイとして社内ネットワークへの入口を担う製品であり、このような境界防御製品の脆弱性は一度突破されると被害範囲が広がりやすい点に注意が必要だ。本記事では公式情報に基づき、何が起きているのか、何をすべきかを整理する。
脆弱性の概要と影響を受ける製品
CISAのKEVカタログに記載された情報を以下に整理する。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-111357 |
| ベンダー | Ivanti |
| 製品 | Connect Secure |
| 脆弱性名 | Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability |
| CWE | CWE-306(重要機能における認証の欠落)、CWE-862(認可の欠落)、CWE-345(データ真正性検証の不十分) |
| KEVカタログ追加日 | 2026年10月30日 |
| 米連邦機関の対応期限 | 2026年11月2日 |
影響を受ける具体的なバージョン番号については、CISAの公開情報には記載がない。詳細はベンダーのセキュリティアドバイザリを確認してください。Ivanti Connect Secureはリモートアクセス用のSSL VPN製品であり、社外から社内システムへアクセスするための重要なインフラとして多くの企業で稼働している。こうした製品は常時インターネットに公開される性質上、攻撃者からの探索・攻撃の対象になりやすく、脆弱性が公表されると短期間で悪用が広がる傾向がある。
深刻度と悪用状況
本脆弱性のCVSS 3.1スコアは7.0(高(HIGH))で、ベクトルはAV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:Hと評価されている。これは「攻撃にはローカルアクセスが必要(AV:L)」「攻撃条件は複雑(AC:H)」「低い権限(PR:L)でのログインが前提」「ユーザー操作は不要(UI:N)」という条件の一方で、成功すれば機密性・完全性・可用性のすべてに高い影響(C:H/I:H/A:H)が及ぶことを示している。つまり単体では侵入経路にならないものの、すでに何らかの形でシステムに足がかりを得た攻撃者が、権限昇格によって被害をさらに拡大させる手段として使われる危険性が高い。
CISAは本脆弱性がすでに実際の攻撃で悪用されていることを確認したためKEVカタログに追加しており、ランサムウェア攻撃での利用については「不明」とされている。さらに注意すべき点として、本脆弱性はCVE-2026-104935およびCVE-2026-118527と組み合わせて連鎖的に悪用される可能性があるとCISAは明記している。単独の深刻度だけで判断せず、関連する複数の脆弱性と合わせて対応状況を点検する必要がある。
なぜ権限昇格の脆弱性が重大視されるのか
一般に、権限昇格の脆弱性はそれ単体では外部からの初期侵入経路にはならないため、過小評価されがちである。しかし実際の攻撃では、まず別の脆弱性やフィッシングなどで低い権限のアクセスを獲得し、その後に権限昇格の脆弱性を使って管理者権限まで到達する、という多段階の攻撃チェーンが一般的に用いられる。CISAが本脆弱性を他のCVEと連鎖させて利用できると明記しているのはまさにこのパターンに当たる。VPNゲートウェイのような境界防御製品で管理者権限が奪われると、設定変更やログの改ざん、さらには内部ネットワークへの侵入拠点として悪用されるおそれがあり、影響は単一のサーバーに留まらない点を理解しておく必要がある。
ベンダーはどんな修正を行ったか
CWE-306・CWE-862・CWE-345という分類から、本脆弱性は「本来認証や認可のチェックが必要な重要な処理に対して、そのチェックが欠落または不十分だった」ことが原因であると推測できる。一般的にこの種の脆弱性は、該当する処理の呼び出し経路に適切な認証・認可の検証ロジックを追加し、データの真正性(改ざんされていないことの確認)を検証する仕組みを強化することで修正される。CWE-345が含まれていることから、何らかのリクエストやトークンの正当性検証が不十分だった可能性もあり、単純な認証チェック漏れだけでなく、検証ロジック自体の設計にも手が入った可能性が考えられる。
ただし、CISAが公開している情報には修正済みの具体的なバージョン番号や、修正の詳細な実装内容についての記載はない。修正が適用されたバージョンや、そこに至るアップグレード手順については、必ずベンダーのセキュリティアドバイザリを確認してください。
今すぐやるべき対策手順
CISAの指示に基づき、以下の手順で対応を進めることを推奨する。
- 1. バージョン確認: 利用しているIvanti Connect Secureのバージョンを確認し、脆弱性の対象となっていないかベンダーのセキュリティアドバイザリと照合する。
- 2. アップデートの適用: ベンダーが提供する修正手順に従い、該当する更新を適用する。CISAの「BOD 26-04 Prioritizing Security Updates Based on Risk」の指針に沿って、リスクに基づく優先度で更新を実施する。本番環境へ適用する前に、必ず検証環境で動作確認を行い、業務影響がないかを確かめることも重要だ。
- 3. 回避策(緩和策)の実施: 即時のアップデートが難しい場合は、ベンダーの指示に従った緩和策を適用する。クラウドサービスで利用している場合はBOD 26-04のクラウド向けガイダンスに従い、緩和策が提供されていない場合は当該製品の利用停止も検討する。
- 4. インターネット公開範囲の確認: 対象資産がインターネットに公開されていないか評価し、不要な公開範囲を縮小する。アクセス制限やファイアウォール・WAFによる制御も併用する。管理画面やAPIなど、外部からアクセスできる必要のない機能はできる限り内部ネットワークからのみアクセス可能に制限することが望ましい。
- 5. 侵害有無の確認: CISAの「Forensics Triage Requirements」に従い、認証ログ・アクセスログ・権限変更履歴などを確認し、不審なログインや権限昇格の痕跡がないか調査する。特に、通常とは異なる時間帯や地域からのログイン、普段使われていないアカウントでの権限変更などがないか重点的に確認したい。
- 6. 多層的な監視体制の整備: 単発の対応で終わらせず、今後同様の脆弱性が公開された際に迅速に検知・対応できるよう、KEVカタログや製品ベンダーのセキュリティ情報を定期的に確認する運用フローを整えておくことも有効だ。
よくある質問
Q1. すでに悪用されているなら、パッチを当てれば安全か?
A. CISAは本脆弱性が実際に悪用されたことを確認してKEVカタログに追加しているが、CVE-2026-104935・CVE-2026-118527との連鎖利用の可能性も明記している。パッチ適用に加え、侵害の痕跡がないかのログ確認も合わせて行うことが重要。
Q2. 一般利用者も対応が必要か?
A. 本脆弱性はIvanti Connect Secureを運用する組織のシステム管理者が対象であり、一般の個人利用者が直接対応する必要はない。ただし勤務先や取引先がこの製品を利用している場合は、情報システム部門への確認を勧める。
Q3. CVSSスコアが7.0と「緊急」ではないのに、なぜKEVカタログに追加されたのか?
A. KEVカタログへの追加基準はCVSSスコアの高さではなく「実際に悪用が確認されたかどうか」である。本脆弱性はAC:H(攻撃条件が複雑)やAV:L(ローカルアクセスが必要)といった条件から単体のスコアは高くないが、他の脆弱性と連鎖させることで実際の攻撃に使われていることが確認されたため追加された。スコアの数値だけでなく、実際の悪用状況や連鎖利用の可能性を踏まえて優先度を判断する必要がある。
まとめ
CVE-2026-111357はIvanti Connect Secureにおける認証欠落の脆弱性で、CVSSスコアは7.0(高)、すでに実際の悪用が確認されKEVカタログに追加されている。単体のリスクに加え、他の脆弱性との連鎖利用の可能性も指摘されており、米連邦機関には2026年11月2日までの対応期限が課されている。利用組織はバージョン確認・アップデート適用・緩和策の実施・ログ確認を速やかに行い、最新情報はベンダーのセキュリティアドバイザリで確認してほしい。
