Ivanti Connect SecureのCVE-2026-104935——悪用確認済み

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-104935とは——Connect Secureで確認された認証バイパスの概要

2026年10月13日、Ivanti Connect Secureの脆弱性CVE-2026-104935がCVEとして公開された。弱点の種類はCWE-290（なりすましによる認証バイパス）であり、リモートの未認証の攻撃者がバージョン25.1.3.0より前のConnect Secureに対して認証を回避し、任意のコマンドを実行できる可能性がある（出典: CVE.org — CVE-2026-104935）。

CVSSスコアは8.6（HIGH）。Ivantiを採番元CNAとするスコアリングはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Lであり、ネットワーク越しに低い攻撃複雑度、認証不要、ユーザー操作不要という条件が重なっている。

米国CISAは同日2026年10月13日にこの脆弱性をKEV（既知の悪用済み脆弱性カタログ）へ掲載した。KEVへの掲載は「実際の攻撃への悪用が確認された」ことを意味する。CISAは米連邦機関に対して2026年10月16日までの対処を義務付けているが（出典: CISA KEV Catalog）、この期限は米政府機関向けの要件であり、日本企業に直接の法的義務はない。ただし「悪用確認済み」という事実は、日本の企業・組織においても対応の優先順位を上げる根拠となる。

EPSS（悪用される確率の統計的推定）は2026年10月29日時点で0.8677（パーセンタイル: 0.9974）と報告されており（出典: FIRST EPSS）、全CVEの上位0.26%に位置する水準だ。EPSSはあくまで確率的な推定であり「必ず悪用される」を意味しないが、KEVの悪用確認情報と合わせて対応緊急性を判断する材料となる。

図: CVE-2026-104935の攻撃経路。リモートの未認証攻撃者がHTTP/S経由でConnect Secure（25.1.3.0より前）の認証バイパスを悪用し内部ネットワークへ到達する経路と、影響を受けないとされるバージョンの関係を示す。

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

Connect Secure 脆弱性 CVE-2026-104935——影響を受けるバージョンと修正版の確認

バージョン管理が対応判断の起点となる。CVE.orgの公式記録（採番元CNA: Ivanti）において、影響を受けないと明示されているバージョンは以下のとおりだ。

CVE-2026-104935: バージョン別の影響有無（出典: CVE.org公式記録）
バージョン	影響	備考
25.1.3.0より前	影響あり（脆弱性を含む）	認証バイパスが成立する可能性がある
25.1.3.0	影響なし	CVE公式記録でunaffected
25.1.3.1	影響なし	CVE公式記録でunaffected
22.8R2.5	影響なし	CVE公式記録でunaffected
22.7R2.14以前（22.7R2ブランチ）	影響なし	CVE説明文で「以前は影響を受けない」と明記