米サイバーセキュリティ・インフラストラクチャ安全保障庁(CISA)は金曜日、企業向けVPN製品「Ivanti Connect Secure(ICS)」の2件の欠陥を、実際に攻撃で悪用されている脆弱性のリスト「KEV(既知の悪用された脆弱性)カタログ」に追加しました。そのうちの1件がCVE-2026-111357です。さらにThe Hacker Newsは、攻撃者が合計3つの欠陥をつなぎ合わせ、認証なしでroot権限(機器を完全に支配できる最上位の権限)を得ていると伝えています。
Ivanti Connect Secureは、社外から社内システムへ安全に接続するためのVPN装置です。会社の「正面玄関」にあたる機器なので、ここが破られると、社内ネットワーク全体に入り込まれるおそれがあります。VPN製品は過去にも繰り返し狙われてきた分野です。
今回のポイントは「連鎖」です。1つひとつのセキュリティホールだけなら影響が限られる場合でも、複数を順番に組み合わせると、ログインなしで機器を乗っ取れる深刻な攻撃に化けることがあります。そのため、1件ずつの深刻度の数字だけで安全かどうかを判断するのは危険です。
KEVに載った欠陥は「実際に攻撃が確認済み」という意味で、修正の優先度が最も高いものです。Ivanti Connect Secureを使っている組織は、メーカーの最新の案内を確認し、提供されている修正版へ早急に更新してください。あわせて、機器の管理画面を外部から見える状態にしていないか、不審なログインや設定変更の履歴がないかも点検することが勧められます。
一般の利用者に直接の操作が必要なわけではありませんが、会社や取引先がこの製品を使っている場合があります。勤務先のIT担当者に、対応状況を確認してみるとよいでしょう。