情報取得日: 2026/10/30・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-111357 |
|---|---|
| 製品 | Ivanti / Ivanti Connect Secure（ICS）22.8R2.4 |
| CVSS | 7.0（High） CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-829 信頼できない制御領域からの機能の取り込み |
| 登録／公開日 | 2026/10/30 |
| KEV 期限 | 2026/11/02 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-111357 |
**Ivanti Connect Secure（ICS、SSL-VPN 装置）で、内部の特権ブローカー dsinvoked が DSCache の設定データを無条件に信頼するため、装置にログインできる攻撃者が root へ権限昇格できる。** NVD の記述（CNA は MITRE）は対象を ICS 22.8R2.4 とし、2026年10月に実際に悪用されたと明記している。CVSS 3.1 は **7.0 High**（AV:L/AC:H/PR:L＝装置上で低い権限を得ていることが前提）。 **当サイト掲載済みの CVE-2026-104935 と同じ攻撃連鎖の3つ目の欠陥である。** 発見した Volexity の10月13日の記事によれば、攻撃者は認証回避と一時ファイル実行（CVE-2026-104935）で装置に入り、本件で root を取っていた。攻撃者はメモリ上の libdsplibs.so を書き換えて保守タスクを Perl インタプリタへ向け直しており、変更はメモリ上だけで設定も元に戻されるため、**Ivanti の整合性チェックツール（ICT）では検出できない**。Volexity は10月29日の追記で、Ivanti が本件のパッチを公開し CVE-2026-111357 として追跡されていると伝えた。 **悪用と期限。** CISA は2026年10月30日に KEV へ収載し、是正期限を **2026年11月2日**とした。同日、同じ連鎖に関わる別の欠陥（CVE-2026-118527、予測可能な識別子による任意ファイル配置）も KEV に収載されたが、2026-10-31 時点で NVD・CVE.org にレコードが無く CVSS を確認できないため、当サイトではまだ掲載していない。NVD の分析状況は Analyzed（2026-10-30 更新）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 情報確認中 |
AWS 上の ICS 仮想アプライアンスは Ivanti の修正版へ更新する。本件の修正を含む版の番号は公式で要確認。
AWS から本 CVE 個別の告知は確認できていない（2026-10-31 時点）。セキュリティグループで管理インターフェースの到達元を絞る。
参照リンク
|
| GCP | 情報確認中 |
Compute Engine 上の ICS 仮想アプライアンスは Ivanti の修正版へ更新する。修正版の番号は公式で要確認。
Google Cloud から本 CVE 個別の告知は確認できていない（2026-10-31 時点）。
参照リンク
|
| Azure | 情報確認中 |
Azure 上の ICS 仮想アプライアンスは Ivanti の修正版へ更新する。修正版の番号は公式で要確認。
Microsoft から本 CVE 個別の告知は確認できていない（2026-10-31 時点）。NSG で管理インターフェースの公開範囲を確認する。
参照リンク
|
| Linux | 対象外 |
対象外（Ivanti の専用装置・仮想アプライアンスの欠陥であり、Linux ディストリの更新対象ではない）。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。
参照リンク
|
**Ivanti の最新の修正版に上げ、侵害の痕跡を ICT 以外の手段で確かめる。** 本件の修正を含む版の番号は、Ivanti のアドバイザリ本文（Ivanti Hub）が 2026-10-31 時点で自動取得できず、Volexity の追記にも版の記載が無いため**公式で要確認**。CVE-2026-104935 の修正版（25.1.3.0 以上 / 22.8R2.5 以上）だけでは本件が塞がっていない可能性があるので、すでに上げた装置も Ivanti の最新リリースを確認する。 **期限は 2026年11月2日。** 連鎖の入口である CVE-2026-104935 が未修正なら、本件と合わせて最優先で更新する。 **侵害の確認。** 変更はメモリ上だけで ICT では見つからないため、Volexity が公開した指標（welcome.cgi への X-DSCGI-PATH ヘッダ付き要求、/tmp/ の不審なスクリプト、/data/.icscap/ の隠しディレクトリ、debuglog・audit.log の欠落）を使い、ネットワークとメモリのフォレンジックで調べる。KEV の要求アクションも CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全 ICS 装置が本件の修正を含む版であることを Ivanti の公式情報で確認した、（2）ICT に頼らず侵害の痕跡を確認した、の2点である。
High（CVSS 7.0）に分類されるIvanti Ivanti Connect Secure（ICS）22.8R2.4の脆弱性です。**Ivanti Connect Secure（ICS、SSL-VPN 装置）で、内部の特権ブローカー dsinvoked が DSCache の設定データを無条件に信頼するため、装置にログインできる攻撃者が root へ権限昇格できる。** NVD の記述（CNA は MITRE）は対象を ICS 22.8R2.4 とし、2026年10月に実際に悪用されたと明記している。CVSS 3.1 は **7.0 High**（AV:L/AC:H/PR:L＝装置上で低い権限を得ていることが前提）。 **当サイト掲載済みの CVE-2026-104935 と同じ攻撃連鎖の3つ目の欠陥である。** 発見した Volexity の10月13日の記事によれば、攻撃者は認証回避と一時ファイル実行（CVE-2026-104935）で装置に入り、本件で root を取っていた。攻撃者はメモリ上の libdsplibs.so を書き換えて保守タスクを Perl インタプリタへ向け直しており、変更はメモリ上だけで設定も元に戻されるため、**Ivanti の整合性チェックツール（ICT）では検出できない**。Volexity は10月29日の追記で、Ivanti が本件のパッチを公開し CVE-2026-111357 として追跡されていると伝えた。 **悪用と期限。** CISA は2026年10月30日に KEV へ収載し、是正期限を **2026年11月2日**とした。同日、同じ連鎖に関わる別の欠陥（CVE-2026-118527、予測可能な識別子による任意ファイル配置）も KEV に収載されたが、2026-10-31 時点で NVD・CVE.org にレコードが無く CVSS を確認できないため、当サイトではまだ掲載していない。NVD の分析状況は Analyzed（2026-10-30 更新）。
**Ivanti の最新の修正版に上げ、侵害の痕跡を ICT 以外の手段で確かめる。** 本件の修正を含む版の番号は、Ivanti のアドバイザリ本文（Ivanti Hub）が 2026-10-31 時点で自動取得できず、Volexity の追記にも版の記載が無いため**公式で要確認**。CVE-2026-104935 の修正版（25.1.3.0 以上 / 22.8R2.5 以上）だけでは本件が塞がっていない可能性があるので、すでに上げた装置も Ivanti の最新リリースを確認する。 **期限は 2026年11月2日。** 連鎖の入口である CVE-2026-104935 が未修正なら、本件と合わせて最優先で更新する。 **侵害の確認。** 変更はメモリ上だけで ICT では見つからないため、Volexity が公開した指標（welcome.cgi への X-DSCGI-PATH ヘッダ付き要求、/tmp/ の不審なスクリプト、/data/.icscap/ の隠しディレクトリ、debuglog・audit.log の欠落）を使い、ネットワークとメモリのフォレンジックで調べる。KEV の要求アクションも CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全 ICS 装置が本件の修正を含む版であることを Ivanti の公式情報で確認した、（2）ICT に頼らず侵害の痕跡を確認した、の2点である。
Ivanti Ivanti Connect Secure（ICS）22.8R2.4 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-111357）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/02 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。