Ivanti Connect Secureのゼロデイ CVE-2026-104935、VPN利用企業がやること

01この記事でわかること

まず3行でまとめます。

• 何が起きたか：ICSに、ログインせずに装置の上で命令を実行できる脆弱性（CVE-2026-104935）があり、公表前から悪用されていました。
• どうすればよいか：修正版（25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5 のいずれか）へ上げ、すでに入り込まれていないかを確かめます。
• 注意点：同じ攻撃で使われた「権限を引き上げる脆弱性」は、2026年10月29日時点でまだ修正版が出ていません。修正版を当てても、それで終わりにしないことが大切です。

脆弱性（ぜいじゃくせい）とは、ソフトウェアの設計や作りの欠陥のことです。修正版が出る前から悪用されているものを「ゼロデイ」と呼びます。言葉の説明は図鑑のゼロデイ攻撃、脆弱性のページにもまとめています。

02何が起きたのか（全体像）

ICSは、社員が自宅や出張先から会社のシステムにつなぐときの「入口の扉」にあたる装置です。インターネットに向けて常に開いているため、攻撃者にとっては最初に狙う場所になります。

今回の脆弱性CVE-2026-104935は、米国の脆弱性データベースNVDの説明では「なりすましによる認証回避で、認証されていない遠隔の攻撃者が任意のコマンドを実行できる」ものです。つまり、IDやパスワードを知らなくても、外から装置を操作されるおそれがあります。深刻度を示すCVSSという点数は10点満点で8.6とされています。

Ivantiは10月13日の発表で、この脆弱性が「限られた数」の顧客で悪用されていることを把握しており、影響を受けた組織と直接やりとりしていると説明しました。そのうえで「すぐに対応すること」を求めています。

発見したのは米国のセキュリティ会社Volexityです。同社が10月13日に公開した調査報告によると、攻撃者はこの脆弱性を含む3つの欠陥を組み合わせて、装置の最上位の権限（root）で命令を実行していました。そして、組み合わされた3つのうち権限を引き上げる部分の脆弱性は、Ivantiが「今後数週間のうちに」修正すると説明している段階で、まだ修正版はありません。

03発表の時系列

公表された情報を日付順に並べます。

1. 10月3日ごろ
   攻撃者による悪用が始まる（少なくともこの日から）

   Volexityの報告

2. 10月5日
   Volexityが、監視を請け負う顧客で不審な動きの報告を受けて調査を始め、原因がICSだと突き止める

   Volexityの報告

3. 10月13日
   IvantiがCVE-2026-104935を公表。修正版を案内し、限定的な悪用を把握していると発表

   Ivanti

4. 10月13日
   CISAがKEVに追加。米国の連邦政府機関に10月16日までの対応を求める

   CISA

5. 10月13日
   Volexityが調査報告を公開。整合性チェックツールでは見つからなかったことなどを報告

   Volexity

6. 今後数週間
   同じ攻撃で使われた権限昇格の脆弱性の修正版が出る予定

   Ivanti

CISAが連邦機関に求めた期限は、追加からわずか3日後でした。KEVの記載では、修正の適用に加えて、CISAの「フォレンジックの初期調査の要件」に沿うことも求められています。なお、日本のJPCERT/CC（日本の情報セキュリティの調整役となる組織）の注意喚起の一覧には、10月29日時点でこの件の掲載は見当たりません。

04攻撃者は何をしていたのか

Volexityの報告から、被害にあった装置で確認された動きを、攻撃の細かい手順には触れずにまとめます。

• 装置に保存された認証情報を盗む：社内のWindowsの管理の仕組み（Active Directory）に接続するためのドメインの認証情報も含まれていました。
• 社内の情報を調べる：Active Directoryに問い合わせ、パソコンの管理者パスワード（LAPS）やディスク暗号化の回復キー（BitLocker）を探していました。
• 通信から認証情報を集める：装置を通る通信を記録し、そこからも認証情報を集めていました。よく使われるパスワードを多くのアカウントに試す「パスワードスプレー」も行っていました。
• 痕跡を消す：Ivantiのデバッグログと、Linuxの監査ログから、攻撃した時間帯の直近の記録だけを選んで消していました。古い記録は残していたため、一見すると不自然に見えにくいのが特徴です。

攻撃者は、外から操作するための裏口（バックドア）や、Webから命令を送る仕組み（Webシェル）を置かず、命令のたびに脆弱性を突き直していました。Volexityは、こうした動きを社内のほかのシステムへ広がるための準備だったと、高い確度で評価しています。

もう1つ大事な点は、被害にあった装置が当時の最新版（22.8R2.4）だったことです。「最新版にしていたから大丈夫」とは言えなかった、ということになります。

05自社が関係するか確かめる方法

まず、自社が当てはまるかを確かめます。次の質問に順番に答えてみてください。

1. 社外から社内につなぐVPNを使っているか。使っている場合、装置のメーカーと製品名を確かめます。製品名に「Ivanti Connect Secure」とあれば対象の候補です。
2. その装置のソフトウェアの版はいくつか。NVDの説明では、25.1.3.0より前の版が対象で、22.7R2.14以前は影響を受けないとされています。修正版は、使っている系統に応じて25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5です。
3. 保守は誰がしているか。販売店やSIer（システムの構築・運用を請け負う会社）に任せている場合は、版と更新の予定、侵害の確認をしたかを問い合わせます。

VPN装置の種類が分からない場合は、社員がVPNにつなぐときに開く画面やアプリの名前、毎月の保守費の請求書の項目から手がかりが得られます。図鑑の法人VPN・リモートアクセスのページでは、主な製品と仕組みを紹介しています。

06今すぐやること（立場別）

ICSを自社で管理している担当者

1. 修正版へ上げる。Ivantiは、系統に応じて25.1.1.2、25.1.3.0、25.1.3.1、22.8R2.5のいずれかを案内しています。さらに、22.x系は2027年1月31日にサポートが終わるため、できるだけ早く25.x系へ移るよう勧めています。
2. 侵害の確認をする。Ivantiはメーカーの整合性チェックツール（Integrity Checker Tool、ICT）を定期的に実行するよう勧めています。ただし後の節で説明するとおり、今回の攻撃はICTでは見つからなかったと報告されています。
3. 次の修正版に備える。権限昇格の脆弱性の修正版は「今後数週間」で出る予定です。公開されたらすぐ当てられるよう、作業の段取りを決めておきます。

保守を外部に任せている経営者・総務担当

1. 保守先に3つを聞く。「当社のVPN装置はICSか」「版はいくつで、修正版はいつ当てたか」「侵害の確認はどう行ったか」です。
2. 答えを記録しておく。後から取引先や保険会社に説明を求められたときに役立ちます。

ICSを使っていない会社

直接の影響はありません。ただし、ほかのメーカーのVPN装置でも同じような脆弱性は毎年のように見つかっています。今回を機に、自社のVPN装置の版と、更新を誰がいつやるのかを確かめておくとよいでしょう。

07侵害されていないかの確かめ方

修正版を当てても、それ以前に入り込まれていた場合は、攻撃者が盗んだ認証情報は使えるままです。修正と侵害の確認は別の作業だと考えてください。

Ivantiは、修正とあわせて、アクセス制御の強化、ネットワークの監視、ログの確認、装置の整合性の確認を重ねるよう求めています。一方でVolexityは、今回の攻撃が装置のプログラムをメモリ上でだけ書き換え、設定も元に戻していたため、ICTでは変更が検出されなかったと報告しています。そのうえで「ICTでは装置の侵害を見つけられない可能性がある」とし、侵害が疑われる場合はメモリとネットワークの調査（フォレンジック）が必要だとしています。

中小企業が自力で全部を行うのは現実的ではありません。次の順で考えるのがよいでしょう。

1. ICTを実行し、結果を残す（異常がなくても安心材料にはしない）。
2. VPN装置から社内のほかのサーバーやパソコンへの、ふだんと違う接続がないかを保守先に確認してもらう。Volexityも、装置から社内へ広がった形跡があるシステムを調べるよう勧めています。
3. VPN装置に保存していた認証情報、特にActive Directoryにつなぐためのアカウントのパスワードを変えることを検討する。Volexityの報告で、こうした認証情報が盗まれていたためです。
4. 少しでも疑わしい点があれば、フォレンジックを行う専門の会社に相談する。

なお、攻撃者は直近のログを選んで消していました。装置のログを外部のサーバーに転送して保管していれば、装置の中で消されても確認できる可能性が残ります。ログの考え方はログのページで説明しています。

08VPN装置がランサムウェアの入口になっている

VPN装置の脆弱性は、大企業だけの問題ではありません。警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期のランサムウェアの被害報告は123件で、半期としては統計を取り始めてから最多でした。

被害にあった組織へのアンケートでは、侵入経路の約5割がVPN機器でした。警察庁は、攻撃者が未修正の脆弱性や漏えいした認証情報を悪用してネットワークに入り込み、管理者の権限を奪いながら重要なデータやバックアップを探し、最後に暗号化してログや道具の痕跡を消す、という流れを示しています。今回Volexityが報告した、認証情報の窃取、社内の探索、ログの消去という動きと重なります。

被害を受けた組織の規模を見ると、前年と同じく中小企業が約6割でした。復旧に総額1,000万円以上かかった組織は約6割、1か月未満で復旧できた組織は5割弱にとどまっています。なお、CISAのKEVでは、今回の脆弱性がランサムウェア攻撃に使われたかどうかは「不明」とされています。ランサムウェアやVPNからの侵入の基本は用語のページでも確認できます。

09まだ分かっていないこと

2026年10月29日時点で、公開されている情報からは次のことが分かっていません。

• 被害の数：Ivantiは「限られた数の顧客」としており、具体的な社数や国内の被害の有無は公表されていません。
• 権限昇格の修正版の日付：「今後数週間」とされ、具体的な日付は示されていません。
• 証明書や鍵の入れ替えの要否：装置に入っている証明書などを入れ替える必要があるかは、今回確認できたIvantiの公開ページには書かれていません。保守先やIvantiのサポートに確認してください。
• 国内の注意喚起：JPCERT/CCの注意喚起の一覧には、10月29日時点で掲載が見当たりません。

10同じことを防ぐには（中小企業向け）

今回のように最新版でも狙われる以上、「更新」だけでは守りきれません。中小企業でも取り組みやすい順に挙げます。

• 更新の担当と期限を決める：保守契約に「重大な脆弱性の修正版は何日以内に当てるか」を書いておきます。
• VPNのログインに多要素認証を使う：パスワードだけに頼らないことで、盗まれた認証情報の使い回しを防ぎやすくなります（多要素認証）。
• ログを装置の外に残す：装置の中のログが消されても、外部に送っておけば後から確かめられます。
• 見張りを頼む：今回の攻撃も、監視サービスの顧客で不審な動きが見つかったことから発覚しました。自社で見張れない場合はSOC・MDRのような外部の監視サービスがあります。
• 入口の形を見直す：VPN装置を常にインターネットに開けておく形から、利用者と端末を毎回確かめるゼロトラスト・SASEへの移行も選択肢です。
• バックアップと初動の手順：警察庁も、VPN機器などの脆弱性対策、認証情報の管理、バックアップとログの取得、サイバー攻撃を想定した業務継続計画（BCP）を中小企業に呼びかけています。

11よくある質問

12今後の予定と更新方針

今後の大きな節目は、Ivantiが「今後数週間」としている権限昇格の脆弱性の修正版の公開です。公開されたら、版の番号と当てるべき対象をこの記事に追記します。あわせて、JPCERT/CCなど国内の機関から注意喚起が出た場合や、Ivantiが侵害の確認方法や対象の版を更新した場合も追記します。

この記事は、Ivanti、CISA、NVD、Volexity、警察庁、JPCERT/CCが公開した情報をもとに、2026年10月29日時点の内容で書いています。報道だけで伝えられている数字や、公式の情報で確かめられなかった内容は載せていません。