CVE-2026-104935: Ivanti Connect Secureのゼロデイが未認証コード実行に悪用される

Ivantiは、現実の攻撃で積極的に悪用されているIvanti Connect Secure（ICS）の深刻な脆弱性CVE-2026-104935を開示しました。この欠陥はCVSSスコア8.6を有し、認証されていない攻撃者が認証を回避して、脆弱なVPNアプライアンス上で任意のコマンドを実行することを可能にします。

この脆弱性は、Volexityが完全にパッチが適用されていた時点で侵害されたIvanti Connect Secureアプライアンスを調査した後に明らかになりました。未知の脅威アクターUTA0576として追跡された者が、CVE-2026-104935でカバーされた認証バイパスとリモートコード実行を別の権限昇格ゼロデイと連結し、認証されていないルートレベルでのコマンド実行を達成しました。

観測されたキャンペーンは、インターネットに面したVPNインフラストラクチャの脆弱性に関連するセキュリティリスクを示しています。ルート特権を取得した後、攻撃者は資格情報、Active Directoryデータ、LAPSパスワード、BitLocker回復キー、その他のセンシティブな情報をターゲットにし、被害者の環境内でさらなる横移動を支援する可能性のある情報を取得しました。

Ivantiは2026年10月13日に、野生での限定的な悪用があることを把握していると確認し、影響を受けたリリースを実行している組織に対し直ちに措置を講じるよう促しました。CISAはその後、その脆弱性を「既知の悪用されている脆弱性」カタログに追加しました。

セキュリティチームは、SOC PrimeのAIネイティブな検出インテリジェンスプラットフォームを活用して、新たな脅威の調査を加速し、SIEM、EDR、XDR、およびデータレイク環境全体に検出コンテンツを運用化できます。

Prime Architectは、検出エンジニアをさらに支援し、新たな脅威インテリジェンスを検出ロジック、ハンティングクエリ、および環境固有のルールに変換できます。また、Prime Huntは、組織のテレメトリ全体での遡及的調査を可能にします。

セールスにお問い合わせください

CVE-2026-104935分析

CVE-2026-104935は、Ivanti Connect Secureの特定のバージョンに影響を与え、攻撃者が認証されていないWebリクエストから任意のコード実行まで移行するために使用される2つの脆弱性を組み合わせています。

この脆弱性はCWE-290の下でのサプライによる認証バイパスとして分類されます。Ivantiによれば、この問題はリモートで認証情報やユーザーインタラクションなしで悪用可能で、CVSSスコア8.6を持っています。

Volexityは、Ivanti Connect Secure 22.8R2.4、Build 19097を実行していたアプライアンスの調査中に悪用チェーンを再構築しました。デバイスは、2026年10月3日に悪意のある活動が始まったときには完全にパッチが適用されていると見なされていました。研究者は10月5日にインシデントの調査を開始し、その後Ivantiと協力して影響を受けたシステムのメモリ、ディスクイメージ、コアダンプを分析しました。

最初のステージは、公開アクセス可能な/dana-na/auth/url_default/welcome.cgiエンドポイントに関連するリクエストルーティングの動作を悪用します。攻撃者は通常、認証を必要とするCGIリソースを指すX-DSCGI-PATH HTTPヘッダーを提供できます。

セキュリティの判断は公開URLに基づき、ヘッダーはリクエストを受信する実際のスクリプトを制御します。この不一致は、攻撃者が保護されたCGI機能に認証なしのリクエストをルーティングすることを可能にします。

UTA0576は、wu.cgiに到達するためにこのメカニズムを使用し、2番目の脆弱性を含むアップローダハンドラーでした。攻撃者は、.zip拡張子で偽装された悪意のあるPerlスクリプトを提出しました。ハンドラーは、アップロードされたコンテンツを一時的に/home/runtime/tmp/ に書き込みましたが、ファイルが有効なZIPアーカイブであるかどうかを確認しました。

無効なファイルはその後削除されましたが、攻撃者はファイルの作成と削除の短期間を悪用しました。X-DSCGI-PATHを介して一時ファイルを参照する並行リクエストにより、Perlペイロードは削除前に実行されることができました。

初期ペイロードはBashを起動し、主にメモリ内に存在するエンコードされたPythonステージを起動しました。この時点で、攻撃者は低特権のcgi-serverアカウントとしてコード実行を取得しました。

特権を昇格させるために、UTA0576は別のゼロデイを利用し、特権のあるdsinvokedサービスとDSCache構成ストアを連携させました。攻撃者は、Ivantiライブラリのメモリ上のコピーを変更し、特権のあるメンテナンスタスクの設定を変更し、dsinvokedに攻撃者が制御するPerlコードをルートとして実行させました。

ルートアクセスを取得した後、エクスプロイトは変更されたメモリ上の構成とライブラリの状態を復元しました。また、IvantiデバッグログおよびLinux監査ログから関連するエントリを削除し、ディスク上で利用可能なフォレンジックアーティファクトを大幅に削減しました。

この動作は特に重要です。なぜなら、IvantiのIntegrity Checker Toolは予期しないファイル変更を特定することに焦点を当てているからです。このエクスプロイトの一部はメモリ内のコードのみを変更し、一時的な構成変更をその後復元するため、Volexityは攻撃がツールによる検出を回避できたことを発見しました。

攻撃者はまた、従来の持続可能なウェブシェルや第一段階のバックドアをインストールしませんでした。その代わりに、UTA0576は実行する必要があるたびに完全なエクスプロイトチェーンを繰り返し実行し、コマンド出力をエクスプロイトのHTTPSトラフィックを通して直接返しました。

ポストエクスプロイト活動は特に資格情報とActive Directoryに重きを置いていました。Volexityは、攻撃者がVPNアプライアンスに保存された資格情報を抽出し、Active Directoryをクエリし、Windows LAPSパスワードとBitLocker回復キーを検索し、パスワードスプレーを実行し、認証ログを調査し、LDAPトラフィックを収集することを観察しました。

脅威アクターはまた、カスタムのPythonとKerberosツールを使用して資格情報をテストし、ディレクトリのセンシティブな属性にアクセスしました。偵察と資格情報収集に関連するファイルは、一時的に/tmp/の下に配置され、送信とクリーンアップが行われました。

帰属は不確かなままです。Volexityは、UTA0576としてアクターを追跡しており、その動機がスパイ活動よりも犯罪的である可能性があると低い確信度で評価しています。また、研究者は、中程度の確信度で、アクターがエクスプロイト開発やポストエクスプロイト活動に大規模な言語モデルを使用した可能性があると評価しました。

公開時点で確認されたプライマリソースには、広範な利用可能で検証されたCVE-2026-104935 PoCは特定されていませんでした。しかし、Volexityは攻撃チェーンについての詳細な技術情報を公開しているため、他のアクターがこの手法を再現しようとする可能性があると考えるべきです。

CVE-2026-104935の検出のためには、防御者は特に別のCGIリソースや一時ファイルを参照するX-DSCGI-PATHヘッダーを持つ大量のリクエストを/dana-na/auth/url_default/welcome.cgiに対して監視するべきです。

CVE-2026-104935緩和策

Ivantiは、CVEにカバーされている認証バイパスおよびRCEコンポーネントの修正をリリースしました。影響を受けたConnect Secureリリースを実行している組織は、完全性チェックに頼るだけでなく、直ちにアップデートするべきです。

Ivantiの10月のセキュリティガイダンスは、サポートされているブランチ全体での修正済みリリースを特定しています。 22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1、配備されたコードラインに応じて。Ivantiは、22.xコードラインが終息に近づいているため、可能な限り速やかに25.xブランチに移行することを推奨しています。

観察された三つのゼロデイチェーンで使用された別の権限昇格の脆弱性は、Volexityがその分析を10月13日に公開した際にはまだ修正されていませんでした。Ivantiは将来のリリースのためにパッチを準備していました。CVE-2026-104935の修正のインストールは、初期の認証バイパスとRCEをブロックして、ローカルの権限昇格を悪用する必要のあるステージに攻撃者が到達することを防ぐため、特に重要です。

組織は、ベンダー推奨の通り、引き続きIvantiのIntegrity Checker Toolを実行すべきですが、悪用が発生していないことの決定的な証拠としてクリーンな結果を扱うべきではありません。Ivanti自体は、ネットワークモニタリング、ログレビュー、アクセス制御、及び継続的なアプライアンスの検証と更新を組み合わせることを推奨しています。

CVE-2026-104935の悪用を検出するため、防御者は、リクエストされたURLとX-DSCGI-PATHヘッダーの値の間に矛盾がないかHTTPテレメトリを確認するべきです。Volexityが観察した特に疑わしい値には、wu.cgiや/home/runtime/tmp/の下のファイルを参照するパスが含まれます。

セキュリティチームはまた、/tmp/に説明のつかないスクリプトや偵察アーティファクトがないか点検し、VPNアプライアンスからActive Directory、LDAPサービス、DNSインフラストラクチャ、または内部認証システムに向けた予期しない活動を調査するべきです。

調査された事故からの既知のCVE-2026-104935 IOCには、攻撃者が制御するIPアドレス108.165.147[.]64、/data/.icscap/に関連する疑わしい活動、公開されたウェルカムCGIパスをターゲットとした繰り返されるリクエストが含まれます。これらのインジケーターは、攻撃者がインフラストラクチャを簡単に回転させたり一時的なファイル名を変更したりすることができるため、行動検出と併用するべきです。

組織が侵害の兆候を特定した場合は、ディスクベースの検査に依存せずにネットワークおよびメモリフォレンジックを実施するべきです。アプライアンスを通じて保存されるかアクセス可能な資格情報は、LDAPサービスの資格情報を含めて潜在的に露出したと見なされ、封じ込め後に回転されるべきです。

防御者はまた、Active Directoryに対して、疑わしいLDAPクエリ、パスワードスプレー、LAPSまたはBitLocker回復属性へのアクセス、異常なKerberos活動、およびVPNアプライアンスからの横移動を調査するべきです。

CISAは2026年10月13日にその欠陥を「既知のエクスプロイトされている脆弱性」カタログに追加し、適用されるアメリカの連邦民間機関向けのリメディエーションの締め切りを10月16日としました。これにより、組織はパッチ適用を広範な悪用を待たずに緊急優先事項として扱うべきだと確認されます。

SOC PrimeのAIネイティブな検出インテリジェンスプラットフォームは、セキュリティチームがこの脅威インテリジェンスを運用化し、関連する行動を探索し、使用可能なネットワーク、アイデンティティ、エンドポイントテレメトリに検出を適応するのに役立ちます。