IvantiのVPN製品に脆弱性 - 未修正ブランチでゼロデイ攻撃

Ivantiのリモートアクセス製品「Ivanti Connect Secure（ICS）」に深刻な脆弱性が判明した。すでに悪用が確認されており、同社は修正版を提供している。

同社が現地時間2026年10月13日にセキュリティアドバイザリを公開し、認証回避の脆弱性「CVE-2026-104935」を明らかにしたもの。認証を必要とすることなく、リモートから任意のコマンドを実行できるという。

「同25.1.2.2」「同25.1.1.1」「同22.8R2.4」に影響があり、各ブランチにおいて以前のバージョンも対象となる。ただし、「同22.7R2.14」および以前のバージョンは影響を受けない。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「8.6」。重要度は「高（High）」とレーティングされている。Ivantiでは、一部顧客環境において悪用を確認している。

同社の製品セキュリティプログラムで脆弱性の一部を発見し、7月に公開した「同25.1.3.0」で修正を実施した。

（Security NEXT - 2026/10/14 ）ツイート