対象：VPN装置、ファイアウォール、メールゲートウェイなど、インターネットとの境目に置く機器（境界機器）を運用している組織のネットワーク・セキュリティ担当者。本記事は各社のセキュリティ勧告と米CISAの公開情報にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月24日時点まだ分かっていないこと
- Ivanti Connect Secure の系統ごとの修正版（当サイトはIvantiの勧告本文を取得できなかった）
- Ivanti Connect Secure で報じられている権限昇格の脆弱性の修正版
- 各脆弱性の被害を受けた組織の数
5件はいずれもKEVに入り、各社が修正版を公開しています。Ivanti Connect Secure では、同じ攻撃に使われた権限昇格の脆弱性の修正が今後になると報じられています。各社の勧告が改訂されたら、この記事を更新します。
自分に関係があるかの早見表
KEV（米CISAの「悪用が確認された脆弱性の一覧」）の登録日と、連邦政府機関向けの対応期限を並べました。日付はKEVの記載のとおりです。
| 製品 | CVE | ログインは必要か | KEV登録日／期限 | やること |
|---|---|---|---|---|
| Ivanti Connect Secure（VPN装置） | CVE-2026-104935 | 不要 | 10月13日／10月16日 | 修正版に上げる。侵害の調査をする |
| Palo Alto Networks PAN-OS（ファイアウォール） | CVE-2026-0322 | 必要（高い権限） | 10月14日／10月17日 | 修正版に上げる。管理画面への通信を絞る |
| Fortinet FortiOS ほか | CVE-2025-61624 | 必要（管理者権限） | 10月16日／10月19日 | 修正版に上げる。7.2系以前は移行する |
| Cisco Secure Email Gateway | CVE-2026-76519 | 不要 | 10月14日／10月17日 | Content Scanner Tools か AsyncOS を更新する |
| Atlassian Data Center 製品 | CVE-2026-21589 | 不要 | 10月15日／10月18日 | 修正版に上げる。外部からの接続を絞る |
10月13日
Ivanti 登録（期限 16日）
10月14日
PAN-OS・Cisco 登録（期限 17日）
10月15日
Atlassian 登録（期限 18日）
10月16日
Fortinet 登録（期限 19日）
Ivanti Connect Secure（CVE-2026-104935）
- 種類
- 認証の回避（なりすましによる認証回避、CWE-290）。ログインせずに遠隔から任意のコマンドを実行できる
- 深刻度
- CVSS v3.1 で8.6
- 対象
- 25.1.1.1以前、25.1.2.2以前、22.8R2.4以前（米CISAの注意喚起）
- 修正版
- 系統ごとの修正版は Ivanti の勧告で確認する
- 悪用
- Ivantiは公表の時点で、限られた悪用を把握しているとした。米CISAは10月13日にKEVに追加し、認証情報の窃取とデータの持ち出しに使われているとした
Ivantiは10月13日に勧告を出しました。同日のブログで、影響を受ける版の利用者に、すぐに修正版へ上げ、整合性確認ツール（Integrity Checker Tool）を定期的に実行するよう求めています。当サイトはIvantiの勧告本文を取得できなかったため、修正版の番号はここに書きません。勧告で自社の系統の修正版を確かめてください。米CISAによると、22.8系のサポートは2027年1月31日に終わります。
米CISAは、攻撃者のコマンドがメモリ上で動くため、Ivantiの整合性確認ツールでは悪用を見つけられないおそれがあり、侵害の有無を判断するにはネットワークとメモリの調査が必要だとしています。侵害が疑われる場合の対応として、米CISAは次を挙げています。
設定を保存する
機器の設定のバックアップを取ります。
初期化して最新版に上げる
工場出荷時の状態に戻し、最新版に上げます。仮想・クラウドの機器は作り直してから上げます。
設定を戻す
保存した設定を戻します。
認証情報を入れ替える
ドメイン・管理者・ローカルのすべてのアカウントのパスワードを変え、保存されている証明書を失効させて再発行し、APIキーとライセンスサーバーの認証情報も入れ替えます。
報じられている未確定の情報
この攻撃を調べた米国の調査会社は10月13日のブログで、10月3日から悪用を確認したとし、攻撃は認証の回避、ファイルの書き込み、権限昇格の3つの脆弱性を組み合わせたものだと報告しました。このうち権限昇格の脆弱性については、Ivantiが今後数週間のうちに修正版を出す予定だとしています。当サイトはIvantiの勧告本文でこの点を確認できていません。修正版に上げた後も、Ivantiの次の勧告を確認してください。
Palo Alto Networks PAN-OS（CVE-2026-0322）
- 種類
- 管理画面でのコードインジェクション（CWE-94）。ログインした攻撃者が、ファイアウォール上で root 権限の任意のコードを実行できる
- 深刻度
- CVSS v4.0 で8.6。管理画面を踏み台サーバー（ジャンプボックス）からだけ開けるように絞った場合は8.5
- 必要な条件
- 管理画面に届くことと、高い権限でのログイン。特別な設定は不要
- 対象
- PA-Series、VM-Series、Panorama の PAN-OS 10.2、11.1、11.2、12.1、12.2 の各系統
- 対象外
- Cloud NGFW、Prisma Access（対応不要）
- 悪用
- Palo Alto Networks は、管理画面を狙った非常に限られた悪用を確認したとしている
修正版は系統と、使っている修正版（-h の付く版）ごとに細かく分かれています。系統の最新で言えば、12.2系は12.2.4以降、11.2系は11.2.16以降、12.1系は12.1.10-h2以降、11.1系は11.1.16-h3以降、10.2系は10.2.18-h12以降です。各系統の途中の版向けの修正版（例：11.2.13-h3）は勧告の表で確かめてください。サポートが終わった版は、サポート中の修正版に上げます。
勧告は、回避策はないとしています。危険は、管理画面がインターネットから届くときに最も高くなります。管理画面に届く送信元を信頼できる社内のIPアドレスに限ることを、同社は推奨しています。Threat Prevention の契約がある場合は、シグネチャ（Threat ID 510046・510047）で一部を防げますが、SSL復号が必要で、範囲は限られるとしています。更新が推奨の対策です。
Fortinet FortiOS ほか（CVE-2025-61624）
- 種類
- CLI（コマンド操作）のパストラバーサル（CWE-22）。権限を持つ攻撃者が、既存のコマンドに細工した引数を渡して任意のファイルを書き込み・削除できる
- 深刻度
- CVSS v3 で6.0（Fortinet の評価は Medium）
- 必要な条件
- 管理者のログイン。KEVは、管理者プロファイルで少なくとも読み書きの権限が必要としている
- 公表
- 2026年4月14日（勧告の初版）。KEVへの追加は10月16日
- 悪用
- 勧告は「Known Exploited: Yes」としている。詳細は書かれていない
半年前に公表されていた脆弱性が、10月になってKEVに入りました。4月の時点で「管理者権限が必要で中程度」と判断して見送っていた場合は、今回あらためて対応します。
| 製品 | 影響を受ける版 | 対応 |
|---|---|---|
| FortiOS 7.6 | 7.6.0〜7.6.4 | 7.6.5以降に上げる |
| FortiOS 7.4 | 7.4.0〜7.4.9 | 7.4.10以降に上げる |
| FortiOS 7.2・7.0・6.4 | すべての版 | 修正のある系統に移行する |
| FortiProxy 7.6／7.4 | 7.6.0〜7.6.4／7.4.0〜7.4.11 | 7.6.5以降／7.4.12以降に上げる（7.2・7.0は移行） |
| FortiPAM 1.7 | 1.7.0 | 1.7.1以降に上げる（1.6以前は移行、1.8は影響なし） |
| FortiSwitchManager 7.2／7.0 | 7.2.0〜7.2.7／7.0.0〜7.0.6 | 7.2.8以降／7.0.7以降に上げる |
勧告に回避策はありません。Fortinet は、仮想パッチ（FortiGuard のシグネチャ）を用意しているとしています。管理者アカウントが悪用の条件なので、管理画面に届く送信元を絞り、使っていない管理者アカウントを止め、管理者のログインに多要素認証をかけます（当サイトの推奨）。
Cisco Secure Email Gateway（CVE-2026-76519）
- 種類
- 相対パストラバーサル（CWE-23）による任意のファイルの書き込み。細工した添付ファイル付きのメールを送るだけで悪用でき、root 権限でのコマンド実行につながりうる
- 深刻度
- CVSS v3.1 で9.8
- 必要な条件
- ログイン不要。File Reputation（Cisco AMP の機能）が有効でメールポリシーに割り当てられていて、Content Scanner Tools の版が25.3.0.5525より前の場合
- 修正
- Content Scanner Tools 25.3.0.5525以降（再起動不要）。または AsyncOS 15.5.5-014、16.5.0-780。16.0系と16.5より前は16.5.0-780へ移行
- 対象外
- Secure Email and Web Manager、Secure Web Appliance。クラウドはCiscoが修正済みで利用者の更新作業は不要。ただし侵害の兆候が見つかった利用者にはCiscoが直接連絡し、認証情報や鍵の更新を勧めている
- 悪用
- Cisco PSIRT は2026年10月に悪用を把握したとしている
回避策はありません。メールの受信口は閉じられませんが、Ciscoは機器の強化策として、管理用の通信をメール用とは別のネットワークインターフェースに分け、機器に届く送信元を信頼できるものだけに絞るよう勧めています。Web画面でメールポリシーの Advanced Malware Protection の「Enable File Reputation」が有効か、CLIで Content Scanner Tools の版（contentscannerstatus）を確かめ、該当すれば Content Scanner Tools を更新します。自動更新を有効にしておくと、次の修正も早く届きます。
Ciscoの勧告には、システムログから侵害の兆候を調べる手順が載っています。クラスタを組んでいる場合はすべての機器で確かめます。兆候が見つかった、または調べ終わらなかった場合はCisco TACに連絡するよう求めています。Ciscoは、root権限を取られると痕跡を消されうるため、外部への不審なアップロードがないか、ネットワークとファイアウォールのログも見るよう勧めています。
Atlassian Data Center 製品（CVE-2026-21589）
Atlassianは10月5日、Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd の各 Data Center と、Crucible、Fisheye の全バージョンに、ログインなしでWebアプリケーションの中の特定のファイルを読み取れる脆弱性があると公表しました（CVSS v4.0 で9.3、Atlassian の評価）。KEVには10月15日に入りました。Atlassianは、利用者のインスタンスが影響を受けたかどうかは確認できないとして、社内のセキュリティ担当者に侵害の痕跡を調べてもらうよう勧めています。クラウド版は修正済みです。
修正版は製品ごとに異なります（例：Confluence Data Center は9.2.26、10.2.19。Jira Software Data Center は9.12.40、10.3.26、11.3.12）。すぐに更新できない場合、Atlassianはインターネットから外すか外部からの接続を絞り、WAFやリバースプロキシで不審なURLを止める一時的な対策を示しています。
5件に共通すること
今回の5件は、どれもインターネットから届く機器・サーバーにあり、悪用されると社内のネットワークへの入口になりえます。ログインが必要な2件（PAN-OS、FortiOS）も、管理画面がインターネットから開ける状態なら、盗まれた管理者のパスワード1つで条件がそろいます。
次の脆弱性で同じことが起きる運用
- 管理画面がインターネットのどこからでも開ける
- 修正版を当てたら作業を終える
- 「ログインが必要だから後回し」と判断する
- 機器の一覧がなく、どの製品のどの版があるか分からない
次の脆弱性の影響を小さくする運用
- 管理画面は管理用ネットワークやVPNの内側からだけ開ける
- 更新の前にログを保存し、ベンダーの方法で痕跡を確かめる
- KEVに入ったら、ログインの要否にかかわらず数日以内に直す
- 境界機器の製品名・版・管理画面の公開範囲を一覧にしておく
当サイトの見方では、境界機器は「更新したら終わり」になりません。Ivanti Connect Secure では、ベンダーの確認ツールで悪用を見つけられないおそれがあると米CISAが書いています。Ivanti では修正前の別の脆弱性も報じられています。更新は侵入口をふさぐだけで、すでに入った攻撃者は取り除けません。KEVに入った境界機器は、更新・痕跡の確認・認証情報の入れ替えまでを1つの作業として扱ってください。
外部に出ている管理画面の洗い出し方はVPN機器とリモートアクセスの守り方に、KEVを使った優先順位の決め方はCVEの直す順番の決め方（CVSS・EPSS・KEV）にまとめています。同じ10月には、SD-WANの管理基盤でも悪用が確認されています（VeloCloud Orchestrator脆弱性 CVE-2026-114625）。
出典
- 米CISA「Known Exploited Vulnerabilities Catalog」（JSONフィード、2026年10月23日版） — cisa.gov
- 米CISA「CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure」（2026年10月13日） — cisa.gov
- Ivanti「Security Advisory Ivanti Connect Secure（CVE-2026-104935）」 — hub.ivanti.com
- Ivanti「October 2026 Security Update」（2026年10月13日） — ivanti.com
- シンガポールCSA「Active Exploitation of Vulnerability in Ivanti Connect Secure」（AL-2026-147） — csa.gov.sg
- 米国の調査会社のブログ（Ivanti Connect Secure の攻撃の分析、2026年10月13日） — 調査会社のブログ
- Palo Alto Networks「CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface」 — security.paloaltonetworks.com
- Fortinet「FG-IR-26-122 Path Traversal in CLI」（CVE-2025-61624） — fortiguard.fortinet.com
- Cisco「Cisco Secure Email Gateway Arbitrary File Write Vulnerability」（cisco-sa-esa-afw-zqYJkjxp） — cisco.com
- Atlassian「CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products」 — confluence.atlassian.com
更新履歴
2026-10-24：初版。各社の勧告と米CISAのKEV・注意喚起にもとづく。
次に読む
- 外部に出ている機器の守り方：VPN機器とリモートアクセスの守り方
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 同じ10月の悪用事例：VeloCloud Orchestrator脆弱性 CVE-2026-114625
- 侵害の確かめ方：サーバーが不正アクセスされたか調べる方法
- 用語：パストラバーサルとは ／ CVSSとは