Ivanti Connect SecureというVPN製品で、認証なしにroot権限を取得できる欠陥が3つ連なって悪用されたとセキュリティ企業Volexityが10月13日に明らかにしました。すでに悪用が確認されている状態で、Ivantiは2つに修正版を出しましたが、残り1つは未対応のままです。対象のバージョンを使っている組織は、まずこの欠陥の構成を正確に把握する必要があります。
Ivanti、Connect Secureの脆弱性3件が連鎖悪用され未修正1件が残存
Volexityが報告した内容によると、攻撃者はIvanti Connect Secureに存在する3つのゼロデイ脆弱性を連鎖させ、ログインすることなくroot権限でコマンドを実行していました。Connect SecureはVPNアプライアンス製品です。これは、ログインなしにrootとしてコマンドを実行できる状態にあったことを意味します。
この脆弱性を最初に発見し、Ivantiへ報告したのはVolexity自身です。同社は10月13日付でこの連鎖攻撃について公表しました。出典記事では3つの脆弱性のうち2つに修正パッチが提供済みで、残る1つについては「pending」、つまり対応が保留中の状態だとされています。どの脆弱性がどの役割を担って連鎖していたか、具体的な脆弱性番号や技術的な攻撃手順については、今回確認した出典には記載がありません。わかっているのは、3つが組み合わさることで認証なしのroot権限奪取に至ったという事実と、そのうち2つがすでに塞がれているという状況です。
影響を受ける条件について、出典が明示しているのは「Ivantiが対象バージョンを使う顧客に対して『直ちに対応するように』と伝えた」という点です。裏を返せば、Ivanti自身がこの通知を出すほどの緊急度だと判断したことになります。ただし、どのバージョン番号が対象で、どのネットワーク構成であれば影響を受けるのか、認証情報の事前取得が必要なケースはあるのかといった詳細は、今回確認できた範囲の記事には書かれていません。Connect Secureを稼働させている組織がまず確認すべきは、自社の導入バージョンがIvantiの通知対象に含まれているかどうかです。これは出典からは判断できないため、各組織がIvantiからの直接の通知やサポート窓口で確認する必要があります。
悪用の段階についても整理しておきます。出典の記述は「an attacker chained three zero-day flaws」、つまり特定の攻撃者による実際の悪用が起きたという書き方であり、研究者による実演や概念実証コードの公開にとどまる話ではありません。すでに実環境での悪用が観測された状態で発表されている点は、対応の優先度を考えるうえで押さえておく価値があります。
Ivantiが示している対処は、3つの脆弱性のうち2つへの修正パッチ提供と、対象顧客への「act immediately」という呼びかけです。残り1つの脆弱性については、出典の時点でまだ修正版が存在しません。これはIvanti側が意図的に後回しにしているのか、技術的な理由で修正に時間がかかっているのかは、出典からは読み取れません。回避策として何らかの設定変更や緩和策が提示されているかどうかについても、今回確認した記事には記載がなく、ここで断定することはできません。
対象組織が取れる行動としては、まずIvantiから配布されている2件の修正パッチを適用すること、そして未修正の1件についてはIvantiからの続報を注視することになります。それ以上の独自の緩和策を一般論として提示することは、出典の範囲を超えるため控えます。
用語補足：ゼロデイ脆弱性
今回確認された3件の脆弱性はいずれもゼロデイとして報告されたものでした。これらが連鎖することで、ログインを経ずにroot権限でコマンドを実行できる状態になっていたことが核心です。発表の時点で3件のうち2件はすでに修正済みで、残る1件は未修正のままでした。
注目ニュース
ライドオンエクスプレス、銀のさらなど最大650万件の個人情報漏えいの恐れ
宅配すし「銀のさら」「釜寅」「すし上等」を展開するライドオンエクスプレスホールディングスは10月13日、公式サイト・アプリに登録された個人情報が最大約650万件漏えいした可能性があると発表しました。登録情報を保管していた外部サーバがランサムウェア攻撃を受け、データの取り出しや復元が困難になったといいます。漏えいの可能性がある情報は氏名、住所、電話番号、パスワードのハッシュ値、注文履歴などで、クレジットカード情報は同社が保有していないため対象外です。13日時点で漏えいの明確な痕跡は確認できておらず、範囲の特定には至っていません。公式サイト・アプリからの注文は引き続き停止中です。ITmedia NEWS
ノルウェーデータ保護当局、XandrにGrindrデータ中継で過去最高額の制裁金
ノルウェーのデータ保護当局は、Microsoft傘下の広告事業Xandrに対し、Grindrユーザーの性的指向を明らかにする機微情報を広告主へ違法に中継していたとして860万ユーロ（約15億2,000万円）の制裁金を科しました。同当局が科した制裁金としては過去最高額で、違反の性質が「極めて深刻」だったことが高額認定の理由とされています。The Hacker News
Freshworks、SaaS管理のTorii買収でAI支出管理を拡張
Nasdaq上場のFreshworksは、SaaS管理プラットフォームのToriiを買収する最終契約を締結しました。IT管理ツール「Freshservice」をAI・ソフトウェア支出のガバナンス領域へ拡張する狙いで、取引は2026年12月までの四半期中の完了を見込んでいます。ToriiはAI消費量をトークン単位で追跡し、社内チームごとの利用を可視化する機能を持ちます。Freshworksは2026年6月までの四半期に純利益320万ドル（約5億600万円）を計上し、前年同期の純損失170万ドル（約2億6,900万円）から黒字転換しました。同期の売上高は2億3,740万ドル（約376億円）でした。Inc42
SB Intuitions、国産AI「Sarashina」の無償β版を公開
ソフトバンク子会社のSB Intuitionsは10月13日、国産生成AI「Sarashina」を試せる「Sarashinaサービス」の無償β版提供を始めました。Googleアカウントでログインするだけで、文章生成・高速処理・文書検索・翻訳など6つのAIモデルのAPIとチャット機能を無料で使えます。利用には一定時間あたりのリクエスト数制限があり、β版の提供終了時期は未定です。品質向上のためユーザーの利用データを活用する場合があるとしています。ITmedia AI+
編集後記：未修正の1件がどこまで放置されるか
今回の件で気になるのは、2件は修正済みなのに1件だけ「pending」のまま残っている点です。Ivantiが顧客に「直ちに対応するように」と呼びかけているのは修正済みの2件への適用を指していると読めますが、未修正の1件に対して顧客側がどう身を守ればいいのか、出典の時点では具体策が示されていません。パッチが出るまでの間、対象組織は自分たちの構成がこの未修正の脆弱性にさらされているかどうかを、Ivantiからの追加情報を待つ形で確認し続けることになりそうです。