Ivanti Connect SecureのCVE-2026-111357——連鎖攻撃でroot権限奪取、KEV登録済み

Connect Secure 脆弱性CVE-2026-111357とは何か

2026年10月15日、Ivanti Connect Secure（以下ICS）にroot権限を奪われる脆弱性が公開された。CVE番号はCVE-2026-111357。影響を受けるバージョンは22.8R2.4であり、同バージョンを運用している組織は直ちに対応を要する。

CVSS 3.1スコアは7.0（HIGH）（評価者: MITRE、ベクター: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H）。機密性・完全性・可用性のいずれもHIGHと評価されており、悪用に成功した攻撃者はシステムを完全に掌握できる状態に至る可能性がある。

弱点の分類はCWE-829（Inclusion of Functionality from Untrusted Control Sphere）。ICSが内部で使用するキャッシュ機構（DSCache）の信頼検証に不備があり、攻撃者がその仕組みを悪用してroot権限を持つバックグラウンドサービス（dsinvoked）に任意のコードを実行させることができる。

本件の最大の特徴は、別の脆弱性との連鎖利用が実環境で確認されている点にある。単体の権限昇格脆弱性として見るだけでは不十分であり、どのような経路で悪用されたかを理解することが適切な対応判断につながる。

関連記事AIセキュリティ対策とは？企業のリスクと対策 ／ AIによる情報漏洩とは？原因・経路・企業の対策

CVE-2026-111357の技術的な仕組みと攻撃連鎖

脆弱性の核心は、ICSの内部アーキテクチャにある。dsinvokedは、rootとしてメンテナンスタスクを実行する特権バックグラウンドサービスであり、実行するプログラムをDSCacheという設定データから参照する。このサービスがDSCacheの内容を無条件に信頼して実行することが問題の起点だ。

攻撃者はcgi-serverプロセスのメモリ上に存在するライブラリ（/home/lib/libdsplibs.so）を改変することでDSCacheの内容を書き換え、既存のメンテナンスタスクをPerlインタプリタの起動に差し替える。dsinvokedはこれをそのまま信頼して実行するため、root権限での任意コード実行が成立する。

さらに重要なのは、本脆弱性が認証バイパス・リモートコード実行の脆弱性であるCVE-2026-104935と連鎖して利用された点だ。CVE-2026-104935は2026年10月13日公開のパッチで修正済みだが、CVE-2026-111357の権限昇格パッチ公開は2026年10月29日となった。（出典: CVE.org、Volexity Blog, 2026-10-13）。

2つの脆弱性がどのように連鎖するかを下図に示す。

悪用の実態——UTA0576による実環境攻撃

CISA（米サイバーセキュリティ・インフラセキュリティ庁）のKEV（Known Exploited Vulnerabilities）カタログにCVE-2026-111357が追加されたのは2026年10月30日であり、対処期限は2026年11月2日（米連邦機関向け）とされている（出典: CISA KEV）。KEVへの掲載は「実環境での悪用が確認された」ことを公式に示す指標であり、理論上の脅威とは性質が異なる。

セキュリティリサーチ企業Volexityの調査によると、脅威アクターUTA0576が2026年10月3日以降、ICS VPNアプライアンス上でこれらの脆弱性を繰り返し悪用し、コマンドを実行したことが確認された（出典: Volexity Blog, 2026-10-13）。

なお、EPSSスコア（悪用される確率の統計的推定）は2026年10月30日時点で0.00316（パーセンタイル: 約0.246）である（出典: FIRST EPSS）。EPSSは悪用される確率の統計的推定であり、確定的な事実ではない。

今やること

修正版へ更新する。Ivantiは2026年10月29日、CVE-2026-111357に対処するパッチを公開した。対象バージョン（22.8R2.4）を運用している場合は、Ivantiのアドバイザリに従い速やかに修正版へ更新する。連鎖先のCVE-2026-104935については2026年10月13日公開のパッチで対処済みである（出典: CVE.org、NVD）。

CISAの対処期限を確認する。CISAのKEV掲載は米連邦機関に更新義務を課す仕組みであり、BOD 26-04に基づく対処期限は2026年11月2日とされていた（11月3日時点で期限は過ぎている）。この期限は日本企業に法的な義務を生じさせるものではない。

CISAが示した必要な対処の要旨は次のとおりである: ベンダーの指示に従ってリスクベースの緩和策を適用し、CISA BOD 26-04および「Forensics Triage Requirements」の指針を遵守する。緩和策が利用できない場合は製品の使用を停止することが求められている（出典: CISA KEV）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

CVE-2026-104935との関係

以下の表に2つの脆弱性の関係を整理する。

CVE-2026-104935とCVE-2026-111357の比較

項目	CVE-2026-104935	CVE-2026-111357
種別	認証バイパス＋リモートコード実行	権限昇格（root）
パッチ公開日	2026年10月13日	2026年10月29日
CISA KEV掲載	本記事の確認範囲外	掲載あり（2026年10月30日追加）
攻撃連鎖での役割	初期侵入の足がかり	権限昇格により完全掌握
影響を受けるバージョン	Ivantiアドバイザリを参照	22.8R2.4
弱点の分類（CWE）	本記事の確認範囲外	CWE-829

CVE-2026-104935は2026年10月13日公開のパッチで修正済みであり、CVE-2026-111357は2026年10月29日公開のパッチで修正された（出典: CISA KEV）。

同じ連鎖に関わるほかのCVE

CISAは2026年10月30日、CVE-2026-111357に加えて、CVE-2026-118527（Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability）もKEVカタログに追加した。対処期限は2026年11月13日とされている（出典: CISA KEV）。それぞれの詳細は、CVE-2026-118527の記事とCVE-2026-104935の記事にまとめている。

参考文献

• Volexity, “A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days”, 2026-10-13
  https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
• CVE.org（MITRE）, “CVE-2026-111357”
  https://www.cve.org/CVERecord?id=CVE-2026-111357
• NVD（NIST）, “CVE-2026-111357 Detail”
  https://nvd.nist.gov/vuln/detail/CVE-2026-111357
• CISA, “Known Exploited Vulnerabilities Catalog”
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog