Ivanti Connect Secureの脆弱性悪用、対象版は即時更新を

シンガポール サイバーセキュリティ庁(CSA／SingCERT)は、Ivanti Connect Secureの脆弱性「CVE-2026-104935」について、既に悪用されているとの報告があるとしています。Ivantiはセキュリティ更新を公開しており、CSAは対象製品の利用者と管理者に直ちに最新版へ更新するよう勧告しています。資料には発表日の記載がありません。

認証を回避し、遠隔からコマンドを実行される恐れ

今回の脆弱性は、認証を回避できる問題です。CSAによると、認証を受けていない遠隔の攻撃者が、任意のコマンドを実行する恐れがあります。

脆弱性の深刻さを示す共通の評価指標「CVSS v3.1」のスコアは8.6で、深刻度は「高」です。ただし、対応の優先度を考える際は、点数だけでなく、既に悪用の報告があることが重要です。対象版を使っている場合、通常の更新予定を待つのではなく、直ちに更新するための確認と調整を進める必要があります。

一方、この悪用報告だけで、自社が侵害されたと判断することはできません。まずは製品の利用有無と、稼働しているバージョンを確かめることが出発点です。

対象は3つのバージョン表記、修正版番号は未記載

資料では、影響するIvanti Connect Secureのバージョンを次のように挙げています。

• 25.1.1.1以前
• 25.1.2.2以前
• 22.8R2.4以前

これらは資料に記載された表記です。セキュリティ更新の公開は確認できますが、修正済みの具体的なバージョン番号は資料に記載されていません。更新先を決める際は、上記の数字から推測せず、Ivantiの案内で修正を含む最新版を確認してください。

日本での提供は発表には書かれていません。日本向けの更新提供状況についても、利用中の環境の保守窓口に確認する必要があります。

影響する会社・しない会社

• 影響する: 資料に挙げられた対象版のIvanti Connect Secureを利用している会社です。自社で管理している場合も、運用を委託している場合も、稼働版の確認を進めてください。
• 影響する: Ivanti Connect Secureを利用しているものの、バージョンを把握できていない会社は、対象かどうかの確認が必要です。利用しているという情報だけでは、今回の影響を判断できません。
• 影響しない: Ivanti Connect Secureを利用していない会社は、今回示された対象製品には該当しません。ただし、他製品の安全性を示す発表ではありません。

会社の規模や業種による対象の違いは、発表には書かれていません。自社が対象かどうかは、会社の属性ではなく、製品名とバージョンを照合して判断します。

情シスが今日やること

1. 製品の利用有無と稼働版を確認します。 IT資産台帳と運用資料でIvanti Connect Secureを探し、管理担当者に実際のバージョンを確認してください。資料には、管理画面の具体的な確認箇所は書かれていません。画面の場所は製品の手順書や保守窓口で確認します。
2. 対象版との照合結果を残します。 確認したバージョンを、資料の3つの表記と照合してください。不明な機器は「対象外」とせず、確認待ちとして担当者を決めます。運用委託先が管理している場合は、稼働版と更新状況の回答を求めます。
3. 修正を含む最新版と更新手順を確認します。 Ivantiの案内または保守窓口で、更新先の版番号と適用方法を確認してください。今回の資料だけでは、具体的な修正版番号は確定できません。
4. 更新の調整を直ちに始めます。 システム責任者と運用担当者に、悪用報告があり、CSAが即時更新を勧告していることを伝えます。更新日時と担当者を決め、適用後は稼働版を再確認して対応記録に残してください。