VPN機器のIvanti Connect Secure（ICS）で、悪用が確認された脆弱性が公表されました。VPN機器は、警察庁の2026年上半期統計で、ランサムウェアの侵入経路が分かったもののうち半分を占める入口です。この記事では、公表された内容と対象の確かめ方、更新したあとに社内で確認したいことを整理します。内容は2026年11月時点で公表されている情報に基づきます。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るPC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
公表された脆弱性の内容
| 対象製品 | Ivanti Connect Secure（ICS） |
|---|---|
| 識別番号 | CVE-2026-104935 |
| 公表日 | 2026年10月13日（現地時間） |
| 内容 | 認証回避。認証なしでリモートから任意のコマンドを実行されるおそれ |
| 深刻度 | CVSSv3.0 基本値 8.6（重要度「高」） |
| 影響を受けるバージョン | 25.1.2.2、25.1.1.1、22.8R2.4 と、各系統のそれ以前のバージョン（22.7R2.14以前は対象外） |
| 悪用状況 | Ivantiが一部の顧客環境で悪用を確認 |
調査会社のVolexityは、この脆弱性を含む複数の弱点を組み合わせた攻撃で、当時の最新版に更新済みの機器が侵害された事例を報告しています。10月下旬には、この脆弱性と組み合わせて悪用された追加の脆弱性（CVE-2026-111357、CVE-2026-118527）も公表されているため、修正版は必ずIvantiの公式アドバイザリで最新の情報を確認してください。
自社が対象か確かめる手順
- 機器の有無を確認する — 社外から社内につなぐVPNにIvanti Connect Secureを使っているか。保守業者に任せている場合は問い合わせます
- バージョンを確認する — 管理画面で現在のバージョンを確かめ、上の表と公式アドバイザリを照らし合わせます
- 修正版に更新する — 公式の手順に沿って更新します
- 侵害の痕跡を確かめる — Ivantiが提供する確認ツールや、機器のログで不審な動きがないかを確認します
更新しただけでは確認が終わらない理由
更新したあとに社内で確かめたいこと
- VPN経由のログインの記録 — 深夜・休日や見覚えのない接続元からのログインがないか（不正アクセスされたか調べる方法）
- 社内のPC・サーバーのログイン履歴 — VPNの先で、ファイルサーバーや基幹サーバーに不審なログオンがないか（Windowsのログイン履歴の確認方法）
- パスワードの変更 — VPNで使っていたアカウントと、管理者・保守業者のアカウント
- パスワードだけで入れる場所 — 社内のPC・サーバーのログインが、パスワードだけで終わる状態になっていないか
普段の管理が楽になると何が変わるか
上の「社内のPC・サーバーのログイン履歴」の確認は、ふつうは1台ずつイベントログを開く作業です。全PC・サーバーのログイン記録が1か所にあれば、VPN機器を更新したその日に、深夜・休日や見覚えのない接続元からのログインを、日時・利用者・接続元のPC名とIPアドレスで絞り込むだけで確かめられます。OS・ブラウザ・Officeの更新漏れも深刻な順に並ぶので、次にどのPCから直すかで迷いません。経営層に報告するときも、画面やCSVをそのまま見せられます（アプリップリキー）。
全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
VPN機器を最新版に更新していれば安心ですか？
今回のように、修正版が出る前に悪用される脆弱性もあります。更新は欠かせませんが、入られた場合に備えて、社内のPC・サーバーのログインをパスワードだけで終わらせない対策と組み合わせます。
Ivanti以外のVPN機器を使っている場合はどうすればよいですか？
FortinetやSonicWallなど、ほかのVPN機器でも脆弱性は繰り返し公表されています。JPCERT/CCの注意喚起や週次レポートで、自社の機器名が出ていないかを定期的に確認します。VPN機器全般の考え方はVPN機器の脆弱性で解説しています。
2026年の国内の事案は不正アクセスの最新ニュース一覧、対策の優先順位は不正アクセス対策とは 侵入経路別の優先順位にまとめています。
参考・出典
- Ivanti：Security Advisory Ivanti Connect Secure（CVE-2026-104935）
- JPCERT/CC Weekly Report 2026-10-21
- Volexity：Chained Exploitation of Ivanti Connect Secure Zero-Days
- Rapid7：Ivanti Connect Secure zero-day exploited in the wild（CVE-2026-104935）
- BleepingComputer：Ivanti patches two more Connect Secure zero-days chained in attacks（2026年11月2日）