CVE-2026-118527: Ivanti Connect Secure 予測可能な番号または識別子の生成脆弱性

CISAのカタログによると、この脆弱性は「リモート認証された攻撃者がディスク上の既知の場所に攻撃者が制御するコンテンツを含むファイルをアップロードすることを許可します。」[3] The Hacker Newsはこの脆弱性のCVSSスコアが4.3だと報じています[2]。SecurityOnlineは攻撃チェーンを次のように説明しています。主な脆弱性であるCVE-2026-104935（CVSS 8.6）は、Webコンポーネントでのなりすまし認証回避に起因しています[4]。同媒体は攻撃者がCVE-2026-118527を使用した後、最終的にCVE-2026-111357（CVSS 8.8）[4]を使用すると述べており、これは権限をrootに昇格させます[4]。SecurityOnlineはIvantiが「3つの脆弱性がチェーンされた場合に限定された数の顧客に影響する野外での悪用を認識している」[4]とコメントしたと引用しています。CISAは攻撃者がこれらの脆弱性を使用して認証情報の窃取とデータの流出を実行していると述べています[1]。Security Affairsによると、Ivantiの修正は以下の通りです。バージョン25.1.1.2以前は25.1.1.3にアップグレードする必要があります[5]、そしてバージョン22.8R2.5以前は22.8R2.6にアップグレードする必要があります[5]。SecurityOnlineはバージョン22.7.x以下にはこれらの脆弱性が含まれていないと報じています[4]。Ivantiは顧客にCVE-2026-104935に最初に焦点を当てたと伝えており、それは「可能な限り迅速に顧客を保護するため、」[2]The Hacker Newsが報じています。The Hacker Newsによると、連邦市民機関はCVE-2026-118527を修正する必要があります2026年11月13日までに[2]。CISAは侵害をチェックしている組織に警告していますネットワークとメモリのフォレンジックを実施する必要があることを[1]。