【緊急】Ivanti Connect Secure CVE-2026-111357：CISAが悪用確認のKEVに追加（10月30日）— 10月13日の修正版では直らない、25.1.1.3／22.8R2.6へ更新を（NVDのCVSS v3.1は7.0、Ivantiは8.8）

VPN装置・ソフトウェアのIvanti Connect Secureの脆弱性CVE-2026-111357が、2026年10月30日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。CISAは同じ日に、同製品のもう1件もKEVへ追加しています。この記事は、NVDなどの公式記録で確認できたCVEに限って扱います。10月13日に公開された修正版（25.1.1.2／22.8R2.5）では、これらは直りません。25.1.1.3または22.8R2.6へ更新してください。

更新だけで終わらせないでください。CVE-2026-111357は、Ivantiの別の欠陥（CVE-2026-104935）と組み合わせて、公表前から限られた数の顧客への攻撃に使われていたと、Rapid7は伝えています。セキュリティ企業Volexityは、10月3日から、認証なしで装置のroot権限（最上位の権限）を取られた事例を確認しています。自社でIvanti Connect Secureを使っていなければ、今回の対象ではありません。使っている会社・学校・団体の方は、情報システム担当へ、この記事の「今日やること」をそのまま渡してください。

スコアの出どころ：7.0（CVSS v3.1、ローカルから・複雑さ高・低い権限が必要）は、NVDに載っているCVE記録（MITRE）の評価です。Ivantiは同じ欠陥を8.8（CVSS v3.1、複雑さ低・影響範囲が変わる）としていると、Rapid7が伝えています。どちらを採るかで見え方が大きく変わるため、この記事はNVDで確認できた7.0を表に採りました。

何が起きているのか（公表されている範囲）

• ▸CVE-2026-111357：ローカルの認証済み攻撃者が権限を昇格できる欠陥です。CVE記録は、装置内の管理用プログラム（dsinvoked）が設定データ（DSCache）を信用しすぎるため、rootまで権限が上がると書いています。CISAはKEVで「重要な機能の認証欠如」と分類しています
• ▸組み合わせ：CISAは、これらが10月13日にKEVへ入ったCVE-2026-104935（認証なしでコマンドを実行できる認証回避）と組み合わせられると書いています。Volexityは、認証回避・ファイル書き込み・権限昇格の3つの欠陥の連鎖で、認証なしにrootを取られた事例を報告し、このうちCVE-2026-104935とCVE-2026-111357を名指ししています
• ▸悪用の状況：Ivantiは、公表前に限られた数の顧客で悪用があったとしています（Rapid7の整理）。Volexityは、10月3日から、バージョン22.8R2.4の装置で認証情報の窃取やActive Directoryへの照会（LAPSパスワード、BitLockerの回復キーなど）を確認しました。Webシェルやバックドアは置かれていなかったと書いています
• ▸点検ツールの限界：Volexityは、IvantiのIntegrity Checker Tool（改ざん点検ツール）がこの活動を検知しなかったと書いています。点検ツールで異常が出なくても、侵害されていない証拠にはなりません

影響を受けるバージョンと、上げるべき版

• ▸25.xの系統：25.1.1.2以前が対象。修正版は25.1.1.3（Rapid7、カナダのサイバーセンター、韓国のKISAの記載が一致。Ivantiのリリースノートにも25.1.1.3があり、同社は「セキュリティ強化を含む。更新を勧める」と書いています）
• ▸22.8の系統：22.8R2.5以前（22.8R2.6より前）が対象。修正版は22.8R2.6（Rapid7、カナダのサイバーセンター、KISAが一致）。Ivantiは、22.8系の利用者に25.1.1.3以降への移行を勧め、すぐに移れない場合に22.8R2.6を使うよう案内しています（Rapid7の整理）
• ▸10月13日の修正版では直りません：25.1.1.2と22.8R2.5は、CVE-2026-104935だけを直した版です。CVE-2026-111357には効きません（Rapid7の整理）
• ▸25.1.2系・25.1.3系：Rapid7の表の今回の欄には、25.1.2系・25.1.3系がありません。一方、カナダのサイバーセンターは、同じ告知の対象として「25.1.3.1より前」も挙げています。これに当てはまるか、公式資料から判断できませんでした。25.1.3系を使っているなら、25.1.3.1以降へ上げるのが安全側です
• ▸ISA4500・ISA6500・ISA8500：25.1.3.0以降は影響を受けないとIvantiが示していると、Rapid7が書いています。ほかの機種の扱いは、アドバイザリで確認してください

今日やること

• ✓★使っているIvanti Connect Secureの版を確認する。25.1.1.2以前、または22.8R2.5以前なら対象です
• ✓★25.1.1.3以降（22.8系はまず22.8R2.6、可能なら25.1.1.3以降）へ更新する。Rapid7は、通常の更新計画を待たず緊急で当てるよう勧めています
• ✓★更新の前に、できればメモリとログを保存する。Rapid7は、再起動や初期化の前に保存するよう勧めています。更新したあとでも、侵害の有無は別に調べます
• ✓侵害を疑うときは、Ivantiの復旧手順（Recovery Steps）に従い、漏れた可能性のある認証情報を入れ替える。対象には、装置に保存されたLDAP（ディレクトリ照会）用のアカウントなどが含まれます。復旧手順のページには古い版への言及が残っているため、版の数字はアドバイザリで確認します（Rapid7の注記）
• ✓ログとファイルを調べる。Volexityが挙げた手がかりの例は、`/dana-na/auth/url_default/welcome.cgi` への大量の要求（`X-DSCGI-PATH` ヘッダがURLと食い違う）、`/data/.icscap/` にある `dsstatmond` という名のプロセス、`/tmp/` の `ml.py`・`rq5.py` などのファイル、通信先 `108.165.147[.]64` です。一覧は網羅ではありません
• ✓Active Directoryのアカウントを点検する。Volexityは、LAPSパスワードやBitLocker回復キーの取得、パスワードスプレー（多数のアカウントへ同じパスワードを試す攻撃）を確認しています
• ✓自分で管理していない場合は、提供元・運用会社へ「25.1.1.3／22.8R2.6へ更新済みか、侵害の点検を済ませたか」を聞く

すぐ更新できないとき

確認できた資料（Rapid7、カナダのサイバーセンター、KISA、Ivantiのリリースノート）に、この脆弱性の回避策の記載はありませんでした。ただしIvantiのアドバイザリ本文を直接読めていないため、回避策が無いとまでは断定できません。公式が示していない一時しのぎは、効果を保証できないため、この記事では手順として載せません。更新できるまでの間は、次の2点を優先してください。

• ▸インターネットに公開している装置を最優先にする。KEVに追加された事実と、公表前から悪用があった点が、順番の根拠です
• ▸更新日までの間の通信ログを残し、更新後に侵害の有無を調べる。更新で装置が直っても、すでに入られていた場合は直りません

確認できなかったこと

• ▸Ivantiのアドバイザリの原文。ページが表示に専用の仕組みを使っており、この記事の執筆時に本文を直接読めませんでした（復旧手順のページも同様です）。修正版・対象版は、CISAのKEV、NVD、カナダのサイバーセンター、韓国のKISA、Rapid7、Volexityを突き合わせて書いています。実施前に、Ivantiのアドバイザリで確認してください
• ▸25.1.2系の扱い。Rapid7が整理した表には、CVE-2026-104935の対象として25.1.2.2以前が載っていますが、今回の欄に25.1.2系はありません。対象かどうかは、公式資料から判断できませんでした
• ▸同じ日にKEVへ追加された、同製品のもう1件。NVDとCVE.orgに記録が無く、JVN iPediaは確認時にサービス停止中でした。識別番号と詳細は、公式記録で確認できるまで載せません。更新先はこの記事のとおりで足ると、Rapid7は伝えています
• ▸攻撃の規模・攻撃者。Ivantiは「限られた数の顧客」としか書いておらず、件数は分かりません。Volexityは、攻撃者を「金銭目的の可能性がある」と、確信の低い評価で書いています
• ▸日本国内の被害。この記事では示せません

共有するならこの3行

• ▸Ivanti Connect SecureのCVE-2026-111357が、10月30日にCISAの「悪用確認」カタログ（KEV）に追加された。10月13日の修正版（25.1.1.2／22.8R2.5）では直らない
• ▸★25.1.1.3または22.8R2.6へ更新。更新だけでは終わらず、入られていないか（ログ、AD、認証情報）を点検する。点検ツールが異常なしでも安心できない
• ▸すぐ上げられないなら、インターネットに公開している装置を最優先に。確認できた資料に回避策の記載はなかった（Ivantiの本文は未確認）。ログを残し、提供元へ状況を聞く

根拠にしたページ