対象：Ivanti Connect Secure（VPN装置）の運用担当者。本記事は米CISAのKEV一覧と注意喚起、NVD、調査会社のブログの公開情報にもとづく解説で、攻撃の手順や攻撃コードは載せません。Ivanti自身の勧告は、確認の時点で読み込めなかったため、修正版の番号はここに書きません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日（日本時間）時点まだ分かっていないこと
- 3つの脆弱性それぞれの修正版（Ivantiの勧告を読み込めなかった）
- CVE-2026-118527の修正があるか
- CVE-2026-118527のNVDの記録（確認の時点で見つからなかった）
- 被害の規模と、攻撃の主体
米CISAは10月30日、CVE-2026-111357とCVE-2026-118527をKEVへ追加し、同日に注意喚起も更新しました。CVE-2026-104935は10月13日に追加済みです。10月31日に、米CISAのKEV一覧、注意喚起、NVD、調査会社のブログを確認しました。
今日やること
Connect Secureの機器と版を洗い出す
仮想・クラウドの機器も含めます。米CISAは、25.1.1.2以前、25.1.2.2以前、22.8R2.5以前を対象としています。22.8系は2027年1月31日にサポートが終わる（米CISA）ので、25.x系への移行も計画します。
最新版に更新する
米CISAは、Ivantiの勧告と25.x系のアップグレード・移行ガイドに沿って最新版へ更新するよう求めています。当サイトは勧告を読み込めなかったため、自社の系統の修正版は勧告で確かめてから始めます。
パッチだけでなく、侵害の有無を調べる
調査会社も米CISAも、CVE-2026-104935の悪用は整合性確認ツールで見逃すおそれがあるとしています。米CISAは、侵害の判断にはネットワークとメモリのフォレンジックが要るとしています。10月初めからインターネットに届いていた機器は、更新の前後にインシデント対応の専門家へ調査を頼むとよいでしょう（当サイトの判断）。機器を起点とした社内への横展開の動きがないかも、調査会社の提案どおり見ます。
侵害が疑われるなら、作り直して認証情報を入れ替える
米CISAが10月13日の注意喚起で示した手順です。設定のバックアップを取り、工場出荷時の状態に戻して最新版に上げ（仮想・クラウドは作り直し）、設定を戻したあと、認証情報を入れ替えます。ドメイン・管理者・ローカルのアカウントのパスワード、機器に保存された証明書、APIキー、ライセンスサーバーの認証情報が対象です。
確信が持てるまで、届く範囲を絞る
管理画面に届く通信を管理用ネットワークに限り、機器が社内のどこへ届くかを見直します。止める必要が出たときに、在宅勤務の人がどう接続するかも先に決めておきます。
組み合わされる3つの脆弱性
- CVE-2026-104935
- なりすましによる認証回避。ログイン不要の遠隔の攻撃者が任意のコマンドを実行できる（米CISAのKEV、10月13日追加）。10月中旬のまとめ記事で解説済み
- CVE-2026-111357
- 重要な機能の認証欠如（米CISA）。root権限への昇格につながる欠陥（NVD）。CVSS v3.1で7.0（ローカル、複雑さ高、低い権限）。10月30日にKEV追加、期限11月2日、フォレンジック・トリアージ：Yes
- CVE-2026-118527
- 予測できる識別子の生成（CWE-340）。ログインした遠隔の攻撃者が、中身を自由に決めたファイルを既知の場所に書き込める。10月30日にKEV追加、期限11月13日、フォレンジック・トリアージ：No
- 組み合わせ
- 米CISAは、CVE-2026-111357とCVE-2026-118527を、それぞれCVE-2026-104935と組み合わせて使える（互いにも）としている。米CISAは、悪用によりログイン不要の遠隔から任意のコマンドが実行され、認証情報の窃取とデータの持ち出しに使われているとする
- 対象
- 25.1.1.2以前、25.1.2.2以前、22.8R2.5以前（米CISAの注意喚起、10月30日更新）
- 修正
- CVE-2026-104935：10月13日に修正版（調査会社）。CVE-2026-111357：調査会社は10月29日に修正版が出たとする。CVE-2026-118527：確認できず。Ivantiの勧告で確認する
CVSSが7.0と低めなのは、CVE-2026-111357だけを見ると、ローカルの低い権限のアカウントが前提になるからです。この点数は組み合わせを反映していません。調査会社の報告によると、認証の回避、ファイル処理の欠陥、この権限昇格を組み合わせることで、当時の最新の版（22.8R2.4）でも、ログインなしでroot権限の操作ができたといいます。点数より、組み合わせで危険度を見るべきです（当サイトの判断）。
対象の版の一覧は、出典ごとに完全には一致しません。NVDのCVE-2026-111357の説明文は22.8R2.4と書き、NVDの対象一覧は22.8R2から22.8R2.5と、25.1.1.3より前の25.1系を含みます。米CISAの一覧はそれより広く、25.1.2.2以前を含みます。Ivantiの勧告で確定するまでは、いちばん広い範囲で考えてください。
1. 認証の回避
CVE-2026-104935（10月13日KEV）
2. ファイルの書き込み
CVE-2026-118527（10月30日KEV）
3. root権限への昇格
CVE-2026-111357（10月30日KEV）
経過
10月3日
米国の調査会社が、悪用の開始を確認したとする（10月13日公開のブログ）。10月13日
調査会社によると、Ivantiが認証の回避の修正版を公開。米CISAがCVE-2026-104935をKEVへ追加。調査会社が調査結果を公開。10月29日
調査会社がブログを更新し、Ivantiが権限昇格の修正版を公開したと追記。10月30日
米CISAがCVE-2026-111357（期限11月2日）とCVE-2026-118527（期限11月13日）をKEVへ追加。注意喚起と対象の版も更新。
分かっていること・分かっていないこと
| 項目 | 状態 |
|---|---|
| 悪用 | 米CISAが3件ともKEVに登録。攻撃者は認証情報とデータを狙っているとされる |
| 悪用の開始 | 調査会社は10月3日とする。当サイトが読めた範囲では、Ivantiによる確認はない |
| 修正版 | 当サイトでは確認できていない。Ivantiの勧告は読み込めなかった |
| CVE-2026-118527の修正 | 確認できず |
| CVE-2026-111357のNVD | 分析済み。CVSS 7.0はCVEの記録に付いたもの。米CISAの調整役は悪用「active」、技術的な影響「total」と評価 |
| CVE-2026-118527のNVD | 確認の時点で記録が見つからなかった |
| 攻撃の主体と被害の数 | 公表されていない |
出典
2026年10月31日（日本時間）に確認しました。
- 米CISA「Known Exploited Vulnerabilities Catalog」（CVE-2026-111357・CVE-2026-118527は2026年10月30日に登録） — cisa.gov
- 米CISA「CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure」（2026年10月30日更新） — cisa.gov
- NVD「CVE-2026-111357」 — nvd.nist.gov
- Ivanti「Security Advisory Ivanti Connect Secure（CVE-2026-104935）」 — hub.ivanti.com（確認の時点で読み込めなかった。修正版はここで確認する）
- 調査会社のブログ「A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days」（2026年10月13日、10月29日更新） — ブログ
更新履歴
2026-10-31：初版。米CISAのKEV一覧と注意喚起、NVD、調査会社のブログにもとづく。
次に読む
- 連鎖の最初の脆弱性：悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
- VPN機器の守り方：VPN機器はランサムウェアの主な侵入口：リモートアクセスの守り方
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 対応手順：脆弱性が公表されたときの対応手順
- 用語：CVSSとは