2026-10-31
Ivanti Connect Secureの脆弱性 CVE-2026-111357・CVE-2026-118527：米CISAがKEVに追加、10月の攻撃にどう備えるか
米CISAは2026年10月30日、Ivanti Connect Secureの脆弱性2件を、悪用が確認された脆弱性の一覧（KEV）に加えた。CVE-2026-111357はroot権限への昇格（CVSS v3.1で7.0）、CVE-2026-118527は予測できる識別子の問題で、ログインした遠隔の攻撃者が、中身を自由に決めたファイルを既知の場所に書き込める。米CISAは、どちらも10月13日にKEVへ加わった認証の回避CVE-2026-104935と組み合わせて使えるとしている。米国の連邦政府機関の対応期限は、CVE-2026-111357が11月2日、CVE-2026-118527が11月13日。米CISAは、対象を25.1.1.2以前、25.1.2.2以前、22.8R2.5以前としている。米国の調査会社は、この攻撃が10月3日から始まっていたと報告している。米CISAは、CVE-2026-104935の悪用では攻撃者のコマンドがメモリ上で動くため、Ivantiの整合性確認ツールでは見つけられないおそれがあるとしている。当サイトの結論：修正版へ今すぐ上げ、10月初めからインターネットに公開していた機器は、フォレンジックで確認できるまで侵害の可能性があるものとして扱う。Ivantiの勧告は読み込めなかったため、修正版は勧告で確認してほしい。