Ivantiは2026年10月13日、10月のセキュリティ更新を発表しました。Ivanti Connect Secureの一部バージョンに脆弱性があり、公開時点で限定的な悪用を確認しています。対象版を使う顧客には直ちに対処するよう勧告しており、利用製品とバージョンの確認が初動になります。
Connect Secureは対象版の確認と対処を優先
Ivantiは、影響を受けた組織と直接対応を進めています。影響対象のバージョンと修復方法は、Ivanti Connect Secureのセキュリティ勧告に掲載されています。今回の発表概要には具体的な版番号や修復手順がないため、製品名だけで対象・対象外を決めず、勧告との照合が必要です。
同社は修正版へできるだけ早く更新するよう推奨しています。あわせて、Integrity Checker Toolの定期的な実行も求めています。対策は修正だけではなく、アクセス制御、監視、ログ確認、機器の完全性検証を組み合わせる方針です。完全性検証は、機器に不正な変更などがないかを確かめる作業です。
情シスの対応記録も、「更新したか」と「機器の状態を確認したか」を分けると、未実施の作業を把握しやすくなります。更新の担当者と監視の担当者が異なる場合は、修正版の適用だけをもって対応完了としないよう、確認項目を共有してください。
定例修正と悪用確認の情報を分けて読む
Ivanti Neurons Patch for IntuneとXtractionの定例セキュリティ修正は公開済みです。Ivantiは、定例更新で公表した脆弱性について、公開時点で悪用を把握していないとしています。
これは、Ivanti Connect Secureで限定的な悪用を確認したという説明とは区別して読む必要があります。「10月の更新全体で悪用がない」と受け取ると、Connect Secureへの対処を後回しにするおそれがあります。一方、定例修正の対象製品まで悪用が確認されたと伝えるのも正確ではありません。
Ivantiは定例のセキュリティパッチを毎月第2火曜日に公開しています。ただし、今回のConnect Secureの対象顧客には、定例の更新予定を待つのではなく、直ちに対処するよう勧告しています。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Ivanti Connect Secureの影響対象バージョンを利用する会社です。具体的な対象版はセキュリティ勧告で確認する必要があります。
- 影響する: Ivanti Neurons Patch for IntuneまたはXtractionを利用する会社です。定例修正が公開されているため、自社の適用状況を確認する対象になります。
- 影響しない: 今回名前が挙がった3製品を利用していない会社は、これらの製品向け更新の適用対象ではありません。他のIvanti製品の安全性まで示す発表ではありません。
- 影響しない: Connect Secureの対象外バージョンを使う会社は、今回公表された脆弱性の対象ではありません。ただし、対象外と判断できる具体的な版番号は発表概要には書かれていません。
情シスが今日やること
- 利用製品と版を洗い出します。 社内の資産台帳や運用記録で、3製品の利用有無、バージョン、管理担当者を確認します。委託運用なら、委託先に同じ情報を求めてください。版の確認に使う管理画面の名称や操作経路は、発表には書かれていません。
- Connect Secureの勧告と照合します。 セキュリティ勧告の「影響対象のバージョン」と「修復方法」を確認します。対象版なら運用責任者とセキュリティ担当へ、悪用確認と直ちに対処する勧告を伝え、対応に着手します。
- 更新と検証を別々に手配します。 修正版への更新をできるだけ早く進めます。あわせてIntegrity Checker Toolの実行、ログ確認、監視、アクセス制御、完全性検証の担当と実施予定を決めます。確認結果も対応記録に残してください。
- 定例修正の適用予定を確定します。 Ivanti Neurons Patch for IntuneとXtractionの担当者に、修正の適用状況と未適用の場合の予定を確認します。社内への報告では、Connect Secureの悪用確認と、定例更新では悪用を把握していない点を分けて記載してください。
