Ivanti Connect Secure、更新済みでも再確認。追加修正と侵害調査

どんな機能？ 名前を知らなくても、使っているかも。

Ivanti Connect Secure（イヴァンティ・コネクト・セキュア）は、社外の端末から社内のシステムへ接続する入口で使われる製品です。VPN（ブイピーエヌ）は、離れた場所との通信を保護して接続する仕組み。すべてのVPN製品が今回の対象という意味ではありません。

説明用の場面です。在宅勤務から社内の受注画面へ入れる会社でも、「普段どおりにつながる」ことと、接続の入口の修正・侵害調査が済んだことは別です。経営者が設定を触る前に、保守会社へ製品名と対応記録を聞けます。

何が起きるおそれがある？

メーカーとCISAは、3件を組み合わせた実悪用を案内しています。認証なしの不正な命令実行に加え、資格情報（しかくじょうほう、パスワードや鍵など接続に使う情報）の窃取や情報流出が問題になります。単独の深刻度はHigh（ハイ、高）とMedium（ミディアム、中）で、3件すべてを「未認証のCritical」とは呼びません。

対象かどうかは、製品と系列、実際に稼働する版で確認します。10月13日の修正だけを入れた25.1.1.2や22.8R2.5は、追加2件の表では対象に含まれます。「今月更新した」という日付だけで完了にしないことが、今回の大切な違いです。

3件の評価と、2段階の修正を分ける

CVE（シー・ブイ・イー）は弱点の識別番号、CVSS（シー・ブイ・エス・エス）は深刻度の評価です。KEV（ケー・イー・ブイ）はCISAの悪用確認済み一覧。下の評価はIvantiの10月29日追記の表に基づきます。自社の被害確率を示す点数ではありません。

111357は、公開CVE記録のCNA（シーエヌエー、登録機関）のデータでは7.0 Highとされ、メーカー本文の8.8 Highと差があります。ここでは出典を分けています。Highの問題でも、今回は連鎖による実悪用と資格情報窃取・情報流出が確認されているため、優先して案内します。Mediumの118527は、その連鎖の一部として扱います。

小さい画面では表を左右に動かせます。この表は、今から入れる版を古い最低修正版へ固定するものではありません。最新のメーカー案内と、自社の機器で利用できる更新先を保守担当が照合してください。

対象と、修正を分けて確認する。

影響するバージョン・条件

メーカーの3件別の対象・修正版は上の比較表を照合してください。CISAの注意喚起は対象系列をまとめて表記しているため、表を混ぜて全CVEの範囲を推測しません。25.1.2系の移行先も、自社の機器と公式の案内を専門担当が確認します。

修正版・更新先

追加2件の修正版は25.1.1.3・22.8R2.6です。メーカーは22.8利用者に25.1.1.3以降への移行を推奨し、直ちに移行できない場合は22.8R2.6を案内しています。25.1.3.0への移行ではISA4500・6500・8500、または新しい仮想・クラウド用テンプレートが必要です。25.1.1.3への更新と、25.1.3.0への機種を伴う移行を一括りにしません。

あわせて知っておきたいこと

メーカーの対処方法の欄では、25.1.3.0以降に今回の脆弱性を含まないと説明されています。この記載は、他の問題も含めた安全性の保証ではありません。22.7以下は今回の対象外とする案内もありますが、22.7・22.8は2027年1月31日にサポート終了予定です。「今回対象外」と「今後も保守を受けられる」を分けて、移行日と費用を相談してください。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   製品・版・更新担当を確認する

   保守会社へ機器名、稼働中の版、過去の適用日と修正対象を聞きます。製品名が分からなければ、契約・機器一覧の確認を依頼するところから。パスワードや管理画面の秘密をフォームへ送る必要はありません。

2. 02

   通常の更新か、侵害疑いの対応かを分ける

   CISAは通信の記録とメモリ（実行中の処理が使う記憶領域）の調査が必要と案内しています。Integrity Checker（インテグリティ・チェッカー、変更の痕跡を調べる道具）だけで異常が見つからなくても、無被害とは断定できません。不審な利用等があれば、初期化や再起動で記録を失う前に専門家へ相談し、隔離（かくり、接続を制限すること）・記録保全・調査の順番を決めます。

3. 03

   更新・移行前に、仕事と戻し方を守る

   本番と分けた検証、設定のバックアップと保管先、戻す範囲、利用者への連絡、停止の要否と時間、代替の接続方法を保守担当と合意します。侵害の疑いがある設定を、そのまま安全な控えと判断しません。構成や調査範囲で工数・費用は変わるため、固定日数で約束しません。

4. 04

   疑いがある場合は、公式復旧と資格情報の見直しへ

   専門家が、公式手順に沿う初期化・仮想環境の再構築、修正版の適用、調べた設定の復元を判断します。保存されたパスワード、証明書、APIキー等の再発行も必要な範囲で計画します。更新だけを侵害対応の完了にせず、社内の接続先まで調査が必要か確認してください。

5. 05

   復旧後は、接続できるだけで終えない

   稼働中の版と修正の記録に加え、本人確認、許可された社内システムへの接続、業務で使う操作、止めた処理の再開を確認します。試験対象と担当者を決め、二重実行や意図しないアクセスがないかを点検。未確認の点と次の確認日を残します。

保守会社に、このまま聞けます。

当社でIvanti Connect Secureを使っているか、機器名・稼働中の版・更新担当を確認してください。CVE-2026-104935、CVE-2026-111357、CVE-2026-118527それぞれの対象と修正の適用記録、移行先の互換性を教えてください。ネットワーク/メモリの調査と記録保全の要否、隔離の判断、バックアップと復元の試験、停止・代替手段・再開時の主要操作、資格情報を再発行する範囲、工数・費用・戻し方を相談したいです。パスワード、秘密鍵、証明書の秘密情報、APIキー、顧客データは添付しません。

停止時間・費用・戻し方まで含む確認文をコピーする →