Ivanti CVE-2026-111357・CVE-2026-118527をKEV追加―認証回避との連鎖で資格情報窃取

CISAは2026年10月30日、Ivanti Connect SecureのCVE-2026-111357とCVE-2026-118527を、悪用が確認された脆弱性のKEVカタログへ追加しました。既に掲載されている認証回避CVE-2026-104935と組み合わせられる問題です。

追加されたのはローカルの権限昇格と、予測可能な識別子により攻撃者の内容を既知の場所へ保存できる問題です。個々には認証などの条件がありますが、認証回避から連鎖することで遠隔からの侵入に使われます。Volexityは10月13日の調査報告で、当時最新だった22.8R2.4への侵入と、Active Directory関連の資格情報を狙う活動を確認しています。

Volexityは10月29日の追記で、権限昇格CVE-2026-111357のパッチ公開を案内しました。本記事ではIvantiの告知本文を取得できず、系列ごとの修正版を確認できていません。管理者は公式アドバイザリで各CVEへの対応版を照合し、認証回避の更新だけで対応済みと判断しないでください。

更新と並行して、侵入の有無も調べる必要があります。Volexityによれば、この攻撃はメモリー上の変更やログ削除を伴い、Integrity Checkerで変更が見つからない場合があります。正常判定だけで被害なしとせず、VPNから内部への通信や認証情報の利用状況を、インシデント対応担当者と確認してください。