Ivanti Connect Secure の認証回避で未認証のコマンド実行（KEV・25.1.3.0 で修正）

High（CVSS 8.6）に分類されるIvanti Ivanti Connect Secure（ICS）25.1.3.0 未満の脆弱性です。**Ivanti Connect Secure（ICS、SSL-VPN 装置）に、なりすましで認証を回避できる脆弱性がある。** NVD に載った Ivanti（CNA）の記述によれば、ICS 25.1.3.0 より前の版で、認証されていない遠隔の攻撃者が任意のコマンドを実行できる。CVSS 3.1 は **8.6 High**（AV:N/AC:L/PR:N/UI:N＝ネットワーク経由・認証不要・利用者の操作不要）。 **すでに悪用されている。** CISA は 2026年10月13日に KEV へ収載し、是正期限を **2026年10月16日**（収載から3日）とした。ランサムウェアでの利用は「不明」である。 **影響範囲は 25.1 系に限られる。** 同じ記述は「ICS 22.7R2.14 以前には影響しない」としている。22.7 系の利用者は本件の対象外だが、22.7 系には別の既知の脆弱性があるので、版の確認自体は行う。 NVD の分析状況は Analyzed（2026-10-13）。Ivanti のアドバイザリ本文（Ivanti Hub）は本稿の確認時点で自動取得できず、緩和策・侵害確認手順・Policy Secure / ZTA ゲートウェイなど他製品への影響は確認できていない。

**ICS を 25.1.3.0 以上へ更新する。** 修正版は NVD に載った Ivanti の記述で 25.1.3.0 と確認できる。25.1 系で 25.1.3.0 未満の装置が対象で、22.7R2.14 以前は対象外である。まず全装置の稼働中の版を棚卸しする。 **期限は短い。** KEV の是正期限は2026年10月16日で、未認証のまま外部からコマンドを実行される種類の欠陥である。インターネットに公開している VPN ゲートウェイから先に上げる。 **ベンダーの緩和策・侵害確認の手順は公式で要確認。** Ivanti はこれまでの ICS の悪用事案で、更新前に整合性チェックツール（ICT）で侵害の有無を確かめるよう案内してきたが、本件で同じ案内が出ているかは本稿では確認できていない。KEV の要求アクションは CISA の「Forensics Triage Requirements」に従うことを求めているので、更新だけで終わらせず、侵害の確認まで行う。 **完了条件**は、（1）全ての ICS 装置（仮想アプライアンスを含む）が 25.1.3.0 以上であること、（2）Ivanti アドバイザリの推奨手順（侵害確認を含む）を公式で確認して実施したこと、の2点である。

Ivanti Ivanti Connect Secure（ICS）25.1.3.0 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-104935）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/16 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。