企業向けのリモート接続製品を手がける米イバンティ（Ivanti）は10月13日、VPN製品「Connect Secure」に深刻なゼロデイ脆弱性（ぜいじゃくせい＝修正前に悪用される未知の欠陥）が見つかり、すでに攻撃に使われていると警告しました。認証を回避して遠隔から命令を実行される恐れがあり、利用企業に緊急の更新を呼びかけています。
認証なしで命令実行の恐れ
問題の脆弱性は「CVE-2026-104935」と名付けられた高深刻度の認証回避の欠陥です。攻撃者は認証を経ずに、利用者の操作も必要とせず、低い難易度で標的の機器に任意の命令を実行できるとされます。影響を受けるのは「Connect Secure」の22.8R2.4以前、25.1.2.2以前、25.1.1.1以前のバージョンです。
パッチ適用済みの機器も突破
セキュリティ企業ボレクシティ（Volexity）によると、「UTA0576」と呼ばれる攻撃グループがこの欠陥を含む3つの脆弱性を連鎖させ、最新の修正を適用済みの機器でも認証なしで管理者権限を奪うことに成功したといいます。イバンティは連鎖に使われた脆弱性のうち2つを修正しましたが、権限昇格に関わる1つは未修正のままです。
10月初旬から悪用の兆候
悪用の兆候は早くも10月1日ごろから観測され、ボレクシティは少なくとも10月3日以降この連鎖攻撃が使われていると指摘しています。イバンティは実際の攻撃を限定的ながら確認しているとし、利用企業に対して修正済みバージョンへ速やかに更新するよう強く求めています。イバンティ製VPNは過去にも標的とされてきた経緯があり、改めて警戒が高まっています。
日本への影響
企業向けVPN製品の脆弱性は、日本の組織にとっても人ごとではありません。イバンティ製品は国内の企業や官公庁、医療機関などでも遠隔アクセス基盤として使われており、修正を怠れば不正侵入や情報漏えいの入り口となる恐れがあります。とりわけ在宅勤務や出張先からの接続が定着した今、VPNは社内ネットワークへの重要な扉であり、その扉が認証なしで突破されれば被害は広範囲に及びかねません。日本では過去にもVPN機器の脆弱性を突いた不正アクセスが相次いでおり、情報処理推進機構（IPA）や警察庁も繰り返し注意を呼びかけてきました。企業の情報システム担当者は、まず自組織が該当製品を使っているかを確認し、速やかに修正版への更新と不審なアクセスの痕跡の点検を進める必要があります。攻撃がパッチ適用済みの機器にも及ぶ以上、更新だけでなく多層的な防御と監視体制の強化が求められます。
まとめ：便利なリモート接続の裏に、思わぬ落とし穴が潜んでいます。「更新したから安心」で終わらせず、守りを重ねる姿勢が今こそ問われています。
