CISAは、2つのIvanti VPNの欠陥をExploited-Vulnerabilities CatalogをCificial Bug Landsの連邦デッドラインとして追加します
米国サイバーセキュリティおよびインフラストラクチャセキュリティ庁(CISA)は、10月30日にセキュリティアラートを更新し、Ivanti Connect Secure Enterprise VPNアプライアンス、CVE-2026-111357、CVE-2026-118527に2つの脆弱性を追加し、その既知の脆弱性(KEV)カタログ — そして、重要な1のための連邦民間機関は、今日、11月2日です。 Ivanti Connect Secureは、企業や政府機関によるリモートアクセスに広く利用されており、CISAは、脅威の俳優が欠陥を積極的に活用していると述べています。
CISAのアラートによると、CVE-2026-104935と組み合わせた3つの欠陥チェーンは、10月13日にカタログに追加され、遠隔で非認証の攻撃者が任意のコマンドを実行し、資格情報を盗み、データを強制的に実行することができます。 25.1.1.2 以降、25.1.2.2 以降、22.8R2.5 以降は、対応するバージョンです。 セキュリティ会社Volexity は UTA0576 が 10 月上旬からチェーンを悪用しているように追跡する俳優を言う, 1 つのケースでは、完全にパッチ適用に分割, ルートアクセスを取得し、Active Directory の資格情報のために直進.
新しくリストされた2つの欠陥のうち、CVE-2026-111357は、ローカル認証された攻撃者をルートにエスカレートさせるCVSS 8.8が評価されていない認証問題です。 連邦の期限は11月2日です。 CVE-2026-118527、予測可能な識別子の問題は、CVSS 4.3を評価し、リモート認証された攻撃者アップロードファイルをディスクの既知の場所にすることができます。その期限は11月13日です。 Ivantiは10月29日に固定ビルド22.8R2.6と25.1.1.3をリリースしました。
CISAは、影響を受けた機器を実行しているすべての組織を即座に最新バージョンに更新するよう求めています。 また、Ivanti の Integrity Checker Tool は、攻撃者のコマンドがメモリで実行されるため、CVE-2026-104935 の悪用を検知できないと警告しています。 妥協がネットワークとメモリフォレンジックを必要としていると疑わしい組織は、Ivanti の回復手順に従い、アカウントのパスワード、証明書、キーをリセットします。 CISAは、セキュアバージョン22.8を1月31日、寿命の終端に繋がるというノートも掲載しています。
写真: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
