CVE-2026-111357: Ivanti Connect Secure 重要機能の認証欠落脆弱性

CISAは2026年10月13日にCVE-2026-104935をKEVカタログに追加し、2026年10月30日にCVE-2026-111357とCVE-2026-118527を追加したと述べている。[1] CISAによると、この脆弱性はIvanti Connect Secureバージョン25.1.1.2以前、25.1.2.2以前、および22.8R2.5以前に影響を与える。[1]Threatintに公開されたCVEレコードによると、このプロダクトはdsinvoked brokerがDSCache設定データを信頼する方法を不適切に処理しており、rootへの権限昇格につながっている[2]。このチェーンの中で、CVE-2026-111357は重要機能の認証が不足しており[3]、rootへの権限を昇格させ、攻撃者にデバイスに対する無制限のコマンド実行権限を与える。[3] メディアはIvantiが開示時点で「3つのCVEがチェーンされた場合に限定された数の顧客に影響を与える悪用について認識している」[3]と述べていると引用している。ThreatintのレコードはHIGH: 7.0[2]のレーティングを記載している。SecurityOnlineによると、VolexityはIvantiと協力して脅威アクターの行動を分析した[3]。メディアはまた、Ivantiが全サポート対象リリースに対してソフトウェアパッチをリリースしたと述べている。[3]CISA は影響を受けるIvanti Connect Secureアプライアンスおよびデプロイを持つ組織に対し、直ちに最新版に更新することを強く勧めている[1]。また、同機関はIvantiのIntegrity Checker Toolが脅威アクターのコマンドはメモリ内で実行されるため、CVE-2026-104935の悪用の証拠を検出できない可能性があると警告している。[1]