Ivanti のゼロデイ連鎖は、完全にパッチ済みの VPN で root を取った。自社の Integrity Checker は何も告げなかった

Ivanti は 10 月 13 日に CVE-2026-104935 を公表し、同日に修正をリリースした。悪用を発見した Volexity も、その数時間のうちに侵害の詳細を公開している。2 つの文書を併せて読むと、そこに描かれているのは「深刻度の高い VPN の脆弱性がまた 1 件」よりも悪い事態だ。Ivanti が提供していた最新ビルドで動いていたアプライアンスが root まで奪われ、しかもその存在を Ivanti 自身の Integrity Checker Tool は報告しなかった。

Ivanti が直したもの、直していないもの

CVE-2026-104935 は Ivanti Connect Secure の 2 つの欠陥、すなわち認証バイパスとリモートコード実行をまとめたもので、CVSS v3.0 で 8.6 とされている。CISA は同日、これを Known Exploited Vulnerabilities（既知の悪用された脆弱性）カタログに追加した。Ivanti は、悪用が公表に先行しており「限られた数の顧客」に影響したと述べている。

重要なのは連鎖であり、CVE はその全体を覆っていない。Volexity は、同じ手順の中で root に到達するために使われた 3 つめの欠陥、権限昇格の脆弱性を記述している。そちらは修正されていない。Ivanti は「数週間のうちに」対応する予定だとしている。

つまり火曜のパッチは玄関を閉じ、階段を残した。この区別は学術的なものではなく実務的だ。アップグレードすれば、UTA0576 が使った認証不要の入口はなくなり、それが露出の大部分を占める。しかしアプライアンスには、別の経路で入ってきた者がコード実行から root へ至る既知の道筋が依然として残る。

三つの保証が同時に崩れた

Volexity が調べたアプライアンスは 22.8R2.4、ビルド 19097 で稼働していた。侵害された時点で入手できる最新版である。パッチの適用状況が穴だったのではない。

ディスク上に見つかるものもなかった。Volexity はウェブシェルもバックドアもなかったと報告している。攻撃者はコマンドの送信と結果の回収を、悪用そのものの通信経路を通じて行っていた。永続化の手段は単なる再悪用であり、インターネットに面したアプライアンスに対してそれは何のコストにもならない。

そして、まさにこの問いのために Ivanti が顧客へ提供しているツールは、何も返さなかった。Integrity Checker Tool は侵害を検知しなかった。攻撃者はデバッグログと監査ログから記録を削除し、自ら変更したメモリ上の状態を元に戻してもいる。

どれ 1 つでも十分に悪い。3 つが揃うと、それはこの種の機器に対して成り立たない保証モデルを描いていることになる。整合性チェッカーが暗黙に約束しているのは、それを実行した顧客が、メモリフォレンジックを外部に依頼することなく、清浄な機器と汚染された機器を区別できるということだ。今回それはできなかった。そして Shadowserver の計測では、インターネットに露出した Connect Secure は 5,500 台を超える。その 1 台を運用しているすべての組織が、自分が Ivanti の言う「限られた数」に入っていたかどうかを安価に確かめる手段を持たない立場に置かれた。

影響範囲は機器ではなくディレクトリだ

Volexity が挙げる侵害後の活動は、認証情報の窃取、Active Directory と LDAP への問い合わせ、パスワードスプレー、データの持ち出し、ネットワーク調査、ログの改変にわたる。ディレクトリへの問い合わせのうち 2 項目は二度読む価値がある。LAPS のパスワードと BitLocker の回復情報だ。LAPS はドメイン参加端末のローカル管理者パスワードを保持する。BitLocker の回復キーはディスクを開く。

VPN コンセントレーターがその位置に置かれているのは、全員を認証しなければならないからであり、それはディレクトリと対話しなければならないことを意味し、さらにそのとき使うアカウントが、背後にある何物にも劣らず攻撃者にとって魅力的であることを意味する。パッチを当て、再起動し、先へ進む組織は、アプライアンスを修理しただけでインシデントを終わらせていない。意味のある復旧作業は、そのアプライアンスが読めた、あるいはそれとして認証できたものを、すべて更新することである。

Volexity は、活動が遮断された時点でこの作戦が横展開とより広範な侵害の準備段階にあったと高い確度で評価している。言い換えれば、何のための作戦だったのかは誰も見ていない。

言語モデルについての一文

Volexity の報告の中で、CVE よりも多く引用されることになる一文がある。同社は、UTA0576 として追跡し、これまで記録のない主体だと述べているこの攻撃者が、エクスプロイトの開発と侵害後の作業に大規模言語モデルを用いていると中程度の確度で評価しており、2026 年に調査した他の作戦とも整合すると述べている。また別に、動機はスパイ活動ではなく犯罪であると低い確度で評価している。

帰属の定まらない主体についての「中程度の確度」は、新しい能力段階の証拠ではなく、そう読むべきでもない。それが示しているのは、何が特筆に値するかの基準が動いたということだ。モデルに支援されたツール利用は、いまやインシデント報告の中で、パスワードスプレーと並ぶ、犯罪的侵入についてのごく普通の記述として現れる。

運用者が今週やるべきこと

22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1 のいずれかへアップグレードする。22.7 系とそれ以前は影響を受けない。Integrity Checker の判定はそれ単独では不十分だと扱う。Volexity の報告は注視すべきリクエストの傾向とルーティングヘッダーの不一致を示し、侵害指標も公開しているが、10 月 3 日以降に到達可能だった可能性のあるアプライアンスについて信頼できる答えを与えるのはネットワークとメモリのフォレンジックである。アプライアンスが到達できたディレクトリの資格情報、LAPS のパスワード、BitLocker の回復キーを更新する。そして 2 度目のパッチ適用を計画に入れておく。連鎖のうち 1 つの欠陥はまだ開いているからだ。

Sources: Volexity, Rapid7, BleepingComputer, SecurityWeek, CISA Known Exploited Vulnerabilities catalog