Ivanti Connect Secureのゼロデイ連鎖が実働悪用──境界装置から正規認証情報が吸い上げられる前提で、組織の守りを組み直すべき局面です

今日の深掘りポイント

• 攻撃者はIvanti Connect Secure（ICS）に対する未修正ゼロデイを連鎖し、認証不要で侵入し、ルート権限と認証情報収集に到達している可能性が高いです。
• VolexityがUTA0576と識別したアクターの活動開始は10月3日とされ、事案は点ではなく「期間」として進行している構図です。
• Ivantiは3件のCVE（CVE-2026-104935、-111357、-118527）を公表し、追加パッチや推奨バージョン（25.1.1.3／22.8R2.6）を提示しています。最新適用済みでも侵害報告があるとの情報もあり、単なるパッチ適用で「未侵害」を担保できない前提で動くべきです。
• ICSはEDRの網が届きにくい「境界の盲点」。攻撃者が奪った正規アカウントで内部に滞在化する二段構えが最も現実的な脅威シナリオです。
• 直ちに行うべきは、露出状況の棚卸し、制御面の緊急強化（アクセス制限・監視強化）、侵害有無の判定（特に認証基盤・証明書・SAMLキーの扱い）と、段階的な再発防止投資計画の提示です。

はじめに

境界装置のゼロデイは、検知も復旧も「後手に回りやすい」のが最大の難所です。Ivanti Connect Secure（ICS）は、テレワーク・委託先接続・ゼロトラスト移行の過渡期における“要”として機能してきました。今回、未修正ゼロデイの連鎖で認証不要の侵入から特権昇格・認証情報窃取まで到達する実働攻撃が報告されています。境界が破られると、内部は「正規認証情報を使った静かな横移動」との戦いになります。最新パッチ適用環境でも侵害が見つかったとの報もあり、運用成熟度の高い組織ほど「想定外」を前提に動けるかが問われるインシデントです。

本稿は、読者から提供された情報と参照リンクに基づいて編集部の分析と対策の勘所を整理したものです。追加の一次情報（ベンダーアドバイザリやフォレンジック詳細）が出次第、前提は更新すべきだと考えます。その前提で、いま意思決定が必要なCISO・SOCマネージャーに向け、実装と運用に落とせる視点を優先して提示します。

深掘り詳細

いま分かっている事実（提供情報の整理）

• 攻撃の骨子
  • ICSに対するゼロデイ連鎖を用い、認証不要で侵入、悪意ファイル実行を経て特権昇格、ルート権限取得に到達しているとされます。
  • 攻撃後は内部探索と認証情報収集（ログイン情報・サービスアカウントなど）を実施。境界装置ゆえに収集効率が高い点が脅威です。
• 脅威アクター
  • VolexityがUTA0576として識別。活動開始は2026年10月3日と報告されています。
• ベンダー対応と推奨
  • Ivantiは3件のCVE（CVE-2026-104935、CVE-2026-111357、CVE-2026-118527）を特定し、影響顧客に追加パッチを提供。25.1.1.3および22.8R2.6へのアップグレードが推奨されています。
• 最新パッチ適用環境でも侵害が確認されたとの報
  • 一部報道で「最新適用でも侵害」の言及があり、パッチ未適用だけに限られないリスク認識が必要です（未検証情報である前提を付します）。

出典（提供参照）：GBHackers: Hackers Exploit Ivanti Connect Secure Zero-Day Vulnerabilities

編集部のインサイト（運用と防御の視点）

• 「認証不要×境界装置」の組み合わせは、検知の難しさが桁違いです。EDRが届かず、サーバ・端末側のテレメトリから逆算しても、発端に気づきにくいのがICSの特性です。ゆえに「侵入前提」で認証基盤側の異常（急な失敗率低下やログインソースの変化）を観測する設計が要ります。
• ゼロデイ連鎖は、パッチ適用「だけ」ではリスクが残る状況を作ります。特に境界装置上で盗まれたもの（VPNユーザのパスワード／2FAリカバリ情報、SAML設定、デバイス証明書、内部リソースの到達情報）は、装置を更生（reimage）しても攻撃継続に使われます。鍵と資格情報の棚卸し・再発行を運用計画の中心に据えるべきです。
• 「静かで正当なふるまい」による滞在化が主戦場になります。検知カバレッジは、境界装置外での正規アカウント悪用（VPN経由の異常な時間帯・地理・端末指紋、異常なリソースアクセスパターン）に寄せる必要があります。
• メトリクス上の緊急性・実効性の高さは、攻撃が既に運用現場で「観測された脅威」になっていることの裏返しです。重要インフラ・政府・大企業の遠隔アクセス集中点という地政学的に価値の高い標的の性質を踏まえると、継続利用を前提に「減災」する設計（露出最小化・特権経路の独立・強制再認証・短命トークン化）が、中長期でも有効です。

脅威シナリオと影響

以下は、提供情報に基づく仮説シナリオです。確定的な断定ではなく、ハンティング計画とコントロール見直しの出発点として提示します。

• 侵入と初期実行
  • T1190 Exploit Public-Facing Application: ICSの公開インターフェースに対するゼロデイ悪用（認証バイパス）。
  • T1059 Command and Scripting Interpreter: 任意コマンド実行またはスクリプト投入によるペイロード展開。
• 特権昇格・永続化
  • T1068 Exploitation for Privilege Escalation: ローカル権限昇格でroot化。
  • T1505.003 Web Shell: 管理UI/CGIに寄生したWebシェル等の配置（仮説）。
  • T1053 Scheduled Task/Job or T1543.003 Create or Modify System Process: 起動スクリプトやcron改変による永続化（仮説）。
• 認証情報窃取・探索
  • T1552 Unsecured Credentials/T1552.004 Private Keys: 設定ファイル・証明書・SAML関連キーの窃取。
  • T1003 OS Credential Dumping（Linux系の/etc/shadow、内部用資格情報の抽出）およびT1082 System Information Discovery/T1046 Network Service Discovery。
  • T1056 Input Capture（ログインフローへのフック等による資格情報収集；仮説）。
• 横移動・防御回避
  • T1078 Valid Accounts: 盗んだ正規アカウントを用いた内部横展開。
  • T1021 Remote Services: SMB/RDP/SSHなどの内部サービスへの到達。
  • T1562 Impair Defenses/T1070 Indicator Removal: ログ削除や設定改変（仮説）。
• C2・流出
  • T1071.001 Web Protocols/T1105 Ingress Tool Transfer: HTTPSを用いた双方向通信と追加ツール搬入。
  • T1041 Exfiltration Over C2 Channel: 設定・鍵・資格情報の持ち出し。

影響の焦点

• 資格情報の「質」と「量」が同時に失われるリスクが高いです。特にVPN利用者のアカウント、サービスアカウント、SAML署名鍵、デバイス証明書が一度に危殆化する可能性があります。
• 正規アカウント悪用による継続的な潜伏がもっとも現実的です。境界装置を更生しても、鍵・アカウント・トークンの再発行・無効化が伴わなければ、攻撃者は戻ってきます。
• 国内の重要インフラ・公共セクター・製造・医療のリモート運用では、ICSが単一障害点かつ単一信頼点になっている事例が多く、事業継続とセキュリティのトレードオフ判断が早期に必要です。

セキュリティ担当者のアクション

「侵害前提」で、短期（72時間）、短中期（2〜4週）、中長期（四半期）に整理します。現場運用に載せる前に、認証・ネットワーク・アイデンティティ運用チームと合意形成を行ってください。

• 0〜24時間（緊急抑止と可視化）

  • 露出棚卸しとアクセス制御
    • インターネット側の管理UI露出を遮断（管理プレーンはJump/管理VPN経由のみ）。既存のIP許可リストを一時的に国内・特定拠点に限定します。
    • 直近2週間の外向き接続元を可視化し、未知ASN・異常な国コード・自動化ツールのUser-Agentからのアクセスを暫定ブロックします。
  • セッションと資格情報の一次コントロール
    • すべてのアクティブVPNセッションを強制終了。MFA再登録を要求し、パスワードの即時全社ローテーション計画を準備します（特に管理者・サービスアカウント）。
  • ログ保全と初動ハント
    • 端末・サーバ・IdP・AD/LDAP・プロキシのログをオフボックスへ集約。境界装置の再起動・再構成はフォレンジックの保全が確保されるまで避けます。
    • ハイレベルなハント観点：異常な時間帯・地理・端末指紋からの「成功した」VPNログイン、VPN経由のDC/重要サーバへの初回アクセス、直近7〜14日の失敗率変動。
  • 変更フリーズ
    • ICSと認証連携（SAML/OIDC/RADIUS/LDAP）の設定変更は凍結し、緊急対応タスクのみ承認制にします。

• 24〜72時間（侵害判定と暫定回復）

  • 侵害疑いの判定基準（例）
    • ICS上の不審ファイル・未知のCGI/スクリプト配置、cron/rcスクリプト改変、設定バックアップの無断取得痕、ログの欠損・改ざん兆候。
    • 認証基盤側の異常（急な成功率上昇、普段現れないネットワークからの連続成功、短時間で多数ユーザのMFA再登録要求など）。
  • 侵害の疑いが濃い場合の原則
    • 「パッチ適用のみで継続利用」は避け、装置の更生（factory reset/reimage）＋最新バージョン適用＋設定のクリーンリストアを基本線にします。
    • 並行して、SAML署名鍵・デバイス証明書・RADIUSシークレット・管理者資格情報を再発行／差し替え。IdPメタデータを更新し古いキーを失効させます。
  • 運用継続の暫定措置
    • VPNは原則“必要最小ユーザ・最小アプリ”に制限、分割トンネルを極力やめ、社内向けはZTNA/アプリプロキシ等で段階移行を検討します。

• 2〜4週間（構造的な減災）

  • ゼロトラスト化の実装強化
    • VPNログイン後も機微アプリで段階的に強制再認証（step-up MFA）とデバイス健全性チェックを必須化。短命トークン・継続的評価を導入します。
  • アカウント・鍵管理の強化
    • サービスアカウントを領域別に分割し、特権昇格はJIT（Just-In-Time）で発行。鍵・証明書の集中管理と定期ローテーションを制度化します。
  • 検知の土台づくり
    • 境界装置のテレメトリをオフボックスで常時収集。SIEM側で「正規アカウントの異常なふるまい」ルール（地理・時間・端末・リソース組み合わせ）を整備します。

• 四半期スパン（再発防止と回復力）

  • 境界装置のリスク予算を見直し、VPN集中からアプリ単位公開（ZTNA/代理公開）へトラフィックを分散。単一障害点・単一信頼点を減らします。
  • 「侵害前提」の演習（Tabletop/Red Team）で、SAMLキー漏えい・正規アカウント悪用をテーマに復旧手順（鍵再発行、セッション失効、証明書ロールオーバー）をドキュメント化し、実施訓練します。

ハンティングのための補助観点（仮説ベース）

• ネットワーク側
  • 短時間に集中するICS管理系エンドポイントへのPOST、非企業ASからの連続アクセス、機械的User-Agent（例：python-requests系）の増加。
• 認証側
  • 失敗率が「下がる」異常、普段現れない拠点・時間帯での成功、VPN成功直後にDC/重要共有への初回アクセスが連続するパターン。
• エンドポイント側
  • VPN経由で初見の端末指紋から重要資産に直接到達する動き、管理共有の新規マウントやサービス新規作成イベントの急増。

最後に。今回のような境界装置ゼロデイ連鎖は、パッチ適用・設定見直し・鍵とアイデンティティの再発行という複線対応が欠かせません。観測されるふるまいは静かで正当性を帯びます。だからこそ、運用KPIは「失敗の検知量」だけでなく、「成功の異常」を見に行く設計へと更新していくべきです。

参考情報

• 提供参照: GBHackers: Hackers Exploit Ivanti Connect Secure Zero-Day Vulnerabilities