【ITニュース解説】Three Ivanti Connect Secure Zero-Days Chained for Unauthenticated Root, One Still Unpatched

Ivanti Connect Secureへのゼロデイ攻撃は、多くの組織にとって非常に深刻なセキュリティ上の脅威をもたらした。VPNアプライアンスは、外部のインターネットと社内のネットワークをつなぐ重要な機器で、従業員が安全に社内システムにアクセスするために使われる。今回の事件は、この重要な接点に存在する3つの未知の脆弱性、いわゆる「ゼロデイ脆弱性」が連鎖的に悪用され、認証なしで最高権限である「root」を奪取されたというものだ。

「ゼロデイ脆弱性」とは、ソフトウェア開発者やセキュリティベンダーがまだ把握していない、あるいは対策を公開していないセキュリティ上の欠陥を指す。そのため、通常の方法では防御が非常に難しい。攻撃者は、このようなゼロデイ脆弱性を悪用することで、既知の攻撃パターンに対応するセキュリティ対策をすり抜けることができた。

攻撃は「UTA0576」と呼ばれる攻撃者によって行われた。彼らは、Ivanti Connect Secureの完全にパッチが適用されたVPNアプライアンスに対し、ログインすることなくコマンドを実行し、システムの最高管理者権限であるroot権限を奪うことに成功した。この攻撃は、セキュリティ企業Volexityによって発見され、2026年10月13日に公表された。実際には、公表の10日前の10月3日にはすでに攻撃が開始されていたという事実も明らかになっている。

この攻撃は、3つの異なる脆弱性を巧みに組み合わせて実行された。最初の2つの脆弱性は「認証バイパス」と「リモートコード実行」の組み合わせで、これらは「CVE-2026-104935」としてまとめられている。認証バイパスとは、正規のログイン手続きを踏まずにシステムにアクセスできる状態を指す。これは、例えば鍵のかかったドアを、鍵を使わずに開けてしまうようなものだ。次に、リモートコード実行は、その名前の通り、遠隔地からシステム上で任意のプログラムやコマンドを実行できる脆弱性である。この2つが組み合わされることで、攻撃者はログインすることなく、アプライアンスの「cgi-server」ユーザーとしてコードを実行する能力を得た。

しかし、cgi-serverユーザーの権限は、システム全体を完全に制御できるroot権限ほど高くはない。そこで利用されたのが3つ目の脆弱性である「権限昇格」だ。権限昇格とは、低い権限しか持たないユーザーが、不正な方法でより高い権限（この場合はroot権限）を獲得することを指す。この3つの脆弱性を連鎖的に悪用することで、UTA0576は、まず認証を回避してアプライアンス内部に侵入し、次にリモートでコードを実行し、最終的にroot権限を奪取するという、完全なシステム制御を可能にする攻撃に成功したのである。

Ivantiは、このうち認証バイパスとリモートコード実行の脆弱性（CVE-2026-104935）については修正パッチをリリースしている。影響を受けないバージョンとして、22.8R2.5、25.1.3.0、25.1.3.1が挙げられているため、該当する利用者は速やかなアップデートが推奨される。しかし、問題なのは、最も危険な3つ目の権限昇格の脆弱性が、記事執筆時点ではまだ修正されていない点だ。Ivantiは将来のリリースで修正すると述べているものの、それまでは攻撃されるリスクが残る。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）もこの脆弱性を「active」（活発に悪用されている）と評価しており、その技術的な影響を「total」（甚大）としていることから、その深刻さがわかる。

さらにこの攻撃を厄介にしているのは、Ivantiが顧客に推奨しているセキュリティチェックツール「Integrity Checker Tool」でさえ、この攻撃を検出できなかった点だ。通常、システムファイルが改ざんされた場合、このようなツールは異常を検知する。しかし、UTA0576は非常に巧妙な手口を使った。彼らは、アプライアンスのライブラリコードをメモリ上でのみ変更し、設定データについても変更後に元に戻すという方法を取った。これにより、ディスク上に永続的な変更の痕跡を残さず、Integrity Checker Toolによる検出を回避したのだ。また、攻撃者は永続的なバックドアやウェブシェルも残さなかった。これは、コマンドを実行するたびに、脆弱性の連鎖を最初からやり直していたことを意味する。防御側からすれば、Integrity Checker Toolがクリーンな結果を示しても、すでにシステムが侵害されていないとは言い切れない状況であり、ネットワークフォレンジックやメモリフォレンジックといった高度な鑑識調査が必要となる。

攻撃者がroot権限を得た後に行った行動も非常に重要だ。彼らはまず、VPNアプライアンス内に保存されていた認証情報、特に企業内のユーザー管理システムであるLDAPのドメイン認証情報を窃取した。LDAPは、企業内のユーザー情報やリソースを管理するためのデータベースのようなものであり、その認証情報が漏洩すれば、攻撃者は容易に他のシステムにも侵入できるようになる。その後、窃取した情報を使って、組織の主要な認証基盤であるActive Directory内からパスワードを検索したり、複数のユーザーアカウントに対して繰り返し異なるパスワードを試す「パスワードスプレイング攻撃」を実行したりした。これは、VPNアプライアンスを足がかりに、企業ネットワークの核心部にまで侵入し、広範囲にわたる情報窃取やさらなる攻撃を企てていたことを示している。

Volexityは、UTA0576の動機が金銭目的の犯罪である可能性が高いと低い確信度で評価している。これは、限られた証拠に基づいているため、あくまで可能性としての話だ。しかし、いずれにせよ、その攻撃は組織にとって壊滅的な被害をもたらす可能性があった。

このニュースは、システムエンジニアを目指す皆さんにとって、サイバーセキュリティの現実と、その中で求められるスキルについて多くの教訓を与えている。まず、パッチ適用済みであっても完全に安全ではないという事実だ。常に新しい脅威が存在し、ゼロデイ脆弱性のような未知の攻撃に対しては、既存の対策だけでは不十分な場合がある。次に、ベンダーが提供するセキュリティツールでさえ、完璧ではないことを認識する必要がある。ツールが「異常なし」と報告しても、裏ではすでに侵害が進んでいる可能性があるため、ログの監視や異常なネットワーク通信の検知など、より多角的な視点での監視体制が重要だ。また、今回の事例のように、システムが侵害された場合に、その痕跡を正確に特定し、被害範囲を特定するためのフォレンジック調査のスキルも非常に重要となる。

Ivantiは、顧客に対して修正バージョンへのアップグレードとIntegrity Checker Toolの定期実行を推奨しているが、未修正の脆弱性に対する一時的な回避策は示されていない。また、すでに攻撃者が侵入している場合、アップグレードがそのアクセスを削除するのかどうかも不明確なままだ。

今回の事件は、VPNアプライアンスのような企業の「エッジ（境界）」に位置する機器のセキュリティが、いかに重要であるかを改めて浮き彫りにした。一つでも脆弱性が放置されれば、そこから組織全体のシステムが危険に晒される可能性がある。システムエンジニアとして、常に最新の脅威動向を把握し、多層的なセキュリティ対策を講じ、緊急時には迅速かつ適切に対応できる能力を身につけることが求められる。