情報取得日: 2026/10/30・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-118527 |
|---|---|
| 製品 | Ivanti / Ivanti Connect Secure（ICS）25.1.1.3 / 22.8R2.6 より前 |
| CVSS | 4.3（Medium） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVSS は当サイトの掲載基準（7.0以上）を下回りますが、CISA KEV に収載され実際の悪用が確認されているため掲載しています。 |
| 種別 (CWE) | CWE-340 予測可能な数値・識別子の生成 |
| 登録／公開日 | 2026/10/30 |
| KEV 期限 | 2026/11/13 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-118527 |
**Ivanti Connect Secure（ICS、SSL-VPN 装置）が予測できるファイル名を使うため、認証済みの遠隔の攻撃者が、中身を自由に決めたファイルをディスク上の既知の場所に置ける。** NVD と CVE.org に載った Ivanti（CNA）の記述によれば、対象は **25.1.1.3 と 22.8R2.6 より前の版**で、CVE レコードはこの2つの版を「影響なし」としている。CVSS 3.1 は **4.3 Medium**（PR:L＝装置にログインできることが前提、I:L）。 **当サイト掲載済みの CVE-2026-104935（認証回避）と CVE-2026-111357（root への権限昇格）と同じ攻撃連鎖の一部である。** CISA の KEV の記述は、本件がこの2件と連鎖しうると明記している。Volexity が10月13日に報告した攻撃者（UTA0576）は、この連鎖で更新済みの装置にもログインせずに root で入っていた。 **悪用と期限。** CISA は2026年10月30日に KEV へ収載し、是正期限を **2026年11月13日**とした。ランサムウェアでの利用は「不明」。NVD・CVE.org へのレコード登録は11月3日で、それまで評価値が確認できなかったため当サイトでは掲載を見送っていた。NVD の分析状況は Analyzed（2026-11-03）。 **評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。** 単独では書き込める内容が限られる欠陥だが、連鎖の中で攻撃者が用意したファイルを置く役割を担う。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
AWS 上の ICS 仮想アプライアンスを Ivanti の更新で 25.1.1.3 以上（22.8 系は 22.8R2.6 以上）にする。AWS 側の対処では直らない。
AWS から本 CVE 個別の告知は確認できていない（2026-11-04 時点）。セキュリティグループで管理インターフェースの到達元を絞る。
参照リンク
|
| GCP | ベンダーFW更新 |
Compute Engine 上の ICS 仮想アプライアンスを 25.1.1.3 以上（22.8 系は 22.8R2.6 以上）へ更新する。
Google Cloud から本 CVE 個別の告知は確認できていない（2026-11-04 時点）。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上の ICS 仮想アプライアンスを 25.1.1.3 以上（22.8 系は 22.8R2.6 以上）へ更新する。
Microsoft から本 CVE 個別の告知は確認できていない（2026-11-04 時点）。NSG で管理インターフェースの公開範囲を確認する。
参照リンク
|
| Linux | 対象外 |
対象外（Ivanti の専用装置・仮想アプライアンスの欠陥であり、Linux ディストリの更新対象ではない）。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。
参照リンク
|
**ICS を 25.1.1.3 以上または 22.8R2.6 以上へ上げる。** Ivanti の CVE レコードが「影響なし」としているのはこの2つの版である。Security Affairs（10月30日）も、25.1.1.2 以前は 25.1.1.3 へ、22.8R2.5 以前は 22.8R2.6 へ上げるよう伝えている。25.1 系の別の枝（CVE-2026-104935 の修正版 25.1.3.x）が本件を含むかは CVE レコードに記載が無く、**公式で要確認**。Ivanti のアドバイザリ本文（Ivanti Hub）は本稿の確認時点で自動取得できていない。 **連鎖の3件をまとめて塞ぐ。** CVE-2026-104935（入口の認証回避）と CVE-2026-111357（権限昇格）の是正期限はすでに過ぎている。本件の期限は 2026年11月13日で、更新は1回で済ませる。 **侵害の確認。** この攻撃者は Ivanti の整合性チェックツール（ICT）を回避していたため、ICT が正常でも安全の証明にはならない。Volexity が公開した指標（welcome.cgi への X-DSCGI-PATH ヘッダ付き要求、/tmp/ の不審なスクリプト、/data/.icscap/ の隠しディレクトリ、ログの欠落）で調べる。KEV の要求アクションも CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全 ICS 装置が 25.1.1.3 以上または 22.8R2.6 以上（使っている枝で本件の修正を含むことを Ivanti の公式情報で確認した版）であること、（2）ICT に頼らず侵害の痕跡を確認したこと、の2点である。
Medium（CVSS 4.3）に分類されるIvanti Ivanti Connect Secure（ICS）25.1.1.3 / 22.8R2.6 より前の脆弱性です。**Ivanti Connect Secure（ICS、SSL-VPN 装置）が予測できるファイル名を使うため、認証済みの遠隔の攻撃者が、中身を自由に決めたファイルをディスク上の既知の場所に置ける。** NVD と CVE.org に載った Ivanti（CNA）の記述によれば、対象は **25.1.1.3 と 22.8R2.6 より前の版**で、CVE レコードはこの2つの版を「影響なし」としている。CVSS 3.1 は **4.3 Medium**（PR:L＝装置にログインできることが前提、I:L）。 **当サイト掲載済みの CVE-2026-104935（認証回避）と CVE-2026-111357（root への権限昇格）と同じ攻撃連鎖の一部である。** CISA の KEV の記述は、本件がこの2件と連鎖しうると明記している。Volexity が10月13日に報告した攻撃者（UTA0576）は、この連鎖で更新済みの装置にもログインせずに root で入っていた。 **悪用と期限。** CISA は2026年10月30日に KEV へ収載し、是正期限を **2026年11月13日**とした。ランサムウェアでの利用は「不明」。NVD・CVE.org へのレコード登録は11月3日で、それまで評価値が確認できなかったため当サイトでは掲載を見送っていた。NVD の分析状況は Analyzed（2026-11-03）。 **評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。** 単独では書き込める内容が限られる欠陥だが、連鎖の中で攻撃者が用意したファイルを置く役割を担う。
**ICS を 25.1.1.3 以上または 22.8R2.6 以上へ上げる。** Ivanti の CVE レコードが「影響なし」としているのはこの2つの版である。Security Affairs（10月30日）も、25.1.1.2 以前は 25.1.1.3 へ、22.8R2.5 以前は 22.8R2.6 へ上げるよう伝えている。25.1 系の別の枝（CVE-2026-104935 の修正版 25.1.3.x）が本件を含むかは CVE レコードに記載が無く、**公式で要確認**。Ivanti のアドバイザリ本文（Ivanti Hub）は本稿の確認時点で自動取得できていない。 **連鎖の3件をまとめて塞ぐ。** CVE-2026-104935（入口の認証回避）と CVE-2026-111357（権限昇格）の是正期限はすでに過ぎている。本件の期限は 2026年11月13日で、更新は1回で済ませる。 **侵害の確認。** この攻撃者は Ivanti の整合性チェックツール（ICT）を回避していたため、ICT が正常でも安全の証明にはならない。Volexity が公開した指標（welcome.cgi への X-DSCGI-PATH ヘッダ付き要求、/tmp/ の不審なスクリプト、/data/.icscap/ の隠しディレクトリ、ログの欠落）で調べる。KEV の要求アクションも CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全 ICS 装置が 25.1.1.3 以上または 22.8R2.6 以上（使っている枝で本件の修正を含むことを Ivanti の公式情報で確認した版）であること、（2）ICT に頼らず侵害の痕跡を確認したこと、の2点である。
Ivanti Ivanti Connect Secure（ICS）25.1.1.3 / 22.8R2.6 より前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-118527）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/13 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。