Ivanti Connect SecureにCVE-2026-118527——悪用確認でKEV登録

CVE-2026-118527とは——Ivanti Connect Secureに予測可能な識別子生成の脆弱性

2026年10月30日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は既知の悪用済み脆弱性カタログ（KEV: Known Exploited Vulnerabilities Catalog）にCVE-2026-118527を追加した。対象製品はIvantiのVPNアプライアンス製品であるIvanti Connect Secureで、脆弱性の種別はCWE-340（予測可能な番号または識別子の生成）と分類されている。

CISAによる公式の名称は「Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability」であり、KEVへの掲載は悪用が実際に確認されたことを意味する。対処期限は2026年11月13日に設定されている。この期限は米連邦機関向けのものであり、日本企業への義務ではない。

CVE-2026-118527単独のCVE公式記録は2026年11月2日時点で未公開であり、CVSSスコアや影響を受ける具体的なバージョン番号はこの脆弱性単独の公式記録としては確定していない。影響範囲の詳細はKEVが参照するIvanti公式告知を直接確認する必要がある。

関連記事Citrix NetScalerの脆弱性は悪用済み？ ／ PAN-OS管理画面のRCE脆弱性は悪用済み？

Connect Secure 脆弱性 CVE-2026-118527が持つ技術的な意味——連鎖攻撃のリスク

CVE-2026-118527の問題の核心は、他の脆弱性との連鎖にある。CISAのKEVに記載された内容によれば、本脆弱性はCVE-2026-104935およびCVE-2026-111357と組み合わせて利用され得ると明示されている。

CVE-2026-104935は、ICSバージョン25.1.3.0より前のConnect Secureに存在する認証回避の脆弱性で、CVSSスコアは8.6（HIGH）（Ivanti評価）。なりすましによる認証回避を通じて、認証されていないリモートの攻撃者が任意のコマンドを実行できる。なお、この脆弱性はICSバージョン22.7R2.14以前には影響しないとCVE公式記録に記されている（CVE公開日: 2026年10月13日）。CISAのKEVには同年10月13日に追加され、対処期限は10月16日に設定されていた。

CVE-2026-111357は、ローカルでの権限昇格に関する脆弱性で、CVSSスコアは7.0（HIGH）（MITRE評価）。影響を受けるバージョンとしてICS 22.8R2.4が記録されており（CVE公開日: 2026年10月15日）、KEVへの追加は2026年10月30日、対処期限は同年11月2日と設定されていた。

CISAのKEVは、CVE-2026-118527について「リモートの認証済み攻撃者が、攻撃者が制御するコンテンツを含むファイルをディスク上の既知の場所にアップロードできる」と記し、そのうえでCVE-2026-104935・CVE-2026-111357と連鎖させることができるとしている。

なお、CVE-2026-118527のランサムウェアでの利用状況についてCISAのKEVは「Unknown（不明）」と記載している。現時点で特定のランサムウェアグループとの紐付けは確認されていない。

日本の企業・運用担当者にとっての意味——なぜ今対応が急がれるか

CISAのKEVに掲載されるということは、単なる「悪用のリスクがある」ではなく「実際に悪用が確認された」ことを意味する。連鎖する3つのCVEのうち2つ（CVE-2026-104935・CVE-2026-111357）はすでに対処期限を過ぎており、残るCVE-2026-118527の期限が2026年11月13日である。

CVE-2026-118527単独のCVE公式記録は2026年11月2日時点で未公開であり、影響を受けるバージョンの確定情報は存在しない。KEVが参照するIvanti公式告知に示された修正版への更新指示に従う必要がある。連鎖先CVE-2026-104935の公式記録では、影響を受けないバージョンとして25.1.3.0・25.1.3.1・22.8R2.5・22.7R2.14が記録されているが、これらはCVE-2026-104935に関する情報であり、CVE-2026-118527の修正版として断定できるものではない。

Connect Secure 脆弱性 CVE-2026-118527——今取るべき3つの行動

状況を整理すると、今取るべき対応は以下の3点に絞られる。

CVE-2026-118527 対応チェック（2026年11月2日時点）

確認事項	内容	期限・優先度
Ivanti公式告知の確認と更新	KEVが参照するIvanti公式告知を確認し、修正版へ更新する。CVE-2026-118527単独の修正版はCVE公式記録に未掲載のため、告知の指示に従うこと	期限: 2026年11月13日（CISA KEV）
連鎖先CVEの修正版への更新	CVE-2026-104935（影響を受けないバージョン: 25.1.3.0・25.1.3.1・22.8R2.5・22.7R2.14）およびCVE-2026-111357（影響を受けるバージョン: 22.8R2.4）の修正版への更新も行う	各KEV期限はすでに経過。未対処なら最優先
修正版が入手できない場合の対応	ベンダーの告知に記載された公式の回避策に従う。公式の回避策が無い場合の扱いは、下に引用したCISAの必要な対処の文言を参照	告知の都度確認

CISAが定める必要な対処の原文は「Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 guidance and CISA’s Forensics Triage Requirements。Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable」と示されており、修正策が提供されない場合、クラウドサービスについてはBOD 26-04の該当する指針に従うか、製品の利用を停止することを求めている。

CVE-2026-118527のランサムウェアでの利用は現時点で「不明」（CISA KEV記載）とされている。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Ivanti Security Advisory: CVE-2026-104935 — https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
• CVE Record: CVE-2026-104935 — https://www.cve.org/CVERecord?id=CVE-2026-104935
• CVE Record: CVE-2026-111357 — https://www.cve.org/CVERecord?id=CVE-2026-111357
• Volexity: A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days（2026年10月13日）— https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/