Ivanti Connect Secureに悪用済みゼロデイ　CVE-2026-104935、10月3日から認証回避とRCEの連鎖でroot実行

Volexityは10月13日、Ivanti Connect Secure VPNアプライアンスに対する3つのゼロデイを連鎖させた攻撃を公表した。対象は当時最新の22.8R2.4で、welcome.cgiの認証回避とwu.cgiのファイル書き込みによるリモートコード実行がCVE-2026-104935として追跡され、ここにdsinvokedがDSCacheの設定データを信頼する性質を突く権限昇格を組み合わせることで、未認証のままroot権限でコマンドを実行できた。Volexityが攻撃者UTA0576と呼ぶ集団は10月3日から悪用を始め、機器に保存されたドメイン認証情報を盗み、Active DirectoryからLAPSのパスワードやBitLockerの回復キーを探し、パスワードスプレーや独自のKerberosツールで認証情報を試していた。コマンドごとに攻撃チェーンを実行し直し、バックドアやWebシェルは残さず、Ivantiのデバッグログや監査ログからも痕跡を消していた。ライブラリのコードをメモリ上だけで書き換えるため、IvantiのIntegrity Checker Toolでは検出できず、確認にはネットワークとメモリのフォレンジックが必要になる。Ivantiは22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1でCVE-2026-104935を修正したが、権限昇格の脆弱性は今後数週間のリリースで修正する予定。米CISAは既知の悪用済み脆弱性カタログに追加し、連邦機関に3日以内の対応を求めた。