Ivanti Connect Secureに追加修正を、ラピッドセブンとKISAが緊急勧告
10月13日のパッチでは未修正だった2件の脆弱性を悪用した攻撃が確認され、最新版への更新が求められている。
セキュリティ企業のラピッドセブンと韓国インターネット振興院（KISA）は11月2日、Ivanti Connect Secureの管理者に対し、10月13日に公開されたパッチだけでなく追加の修正プログラムを適用するよう勧告した。dailysecu.comが伝えた。実際の攻撃でゼロデイ脆弱性が連鎖的に悪用されたことが確認されたことを受けた措置である。
攻撃は、認証バイパスのCVE-2026-104935に、CVE-2026-111357とCVE-2026-118527を組み合わせる手口だ。追加の2件は権限昇格と、攻撃者が用意したファイルを推測可能なパスにアップロードできる問題で、認証バイパスと連鎖させるとログインなしにroot権限でコードを実行できてしまう。
ラピッドセブンは、定例のパッチ適用サイクルを待たずに直ちに更新するよう促した。再起動やリセットの前にメモリとログを保全し、流出した可能性のある認証情報をローテーションすることも求めている。KISAは11月2日、25.1.1.3以降または22.8R2.6以降への更新を推奨した。
10月13日版では未修正のまま
10月13日に公開された25.1.1.2と22.8R2.5は、この2件の追加脆弱性に対応していない。当時更新した企業は、導入済みのバージョンを再確認する必要がある。Ivantiは10月29日にセキュリティアドバイザリを更新し、追加脆弱性を修正したバージョンを提供した。
ボレクシティは、攻撃グループUTA0576が10月3日からバージョン22.8R2.4を標的に攻撃を開始したと確認した。同グループは保存されたVPN認証情報を窃取し、Active DirectoryからWindowsのローカル管理者パスワードやBitLocker回復キーを照会していた。
よくある質問
どのバージョンに更新すればよいですか？
KISAは25.1.1.3以降、または22.8R2.6以降への更新を推奨している。
10月13日に更新済みでも再対応が必要ですか？
10月13日公開の25.1.1.2と22.8R2.5は追加の2件の脆弱性に対応していないため、導入済みバージョンの再確認が必要だ。