Ivanti（Connect Secure）の脆弱性情報｜悪用確認の一覧・更新の手順・保守終了

Ivanti Connect Secureの脆弱性は、機器ごとの機種と版を確かめ、Ivantiの告知の系列ごとの表で上げる先を決めます。25.1.3.0以降は新しい機種が要るため、使っている機種も合わせて確かめます。[1][2]

このページの要点

この1年にKEVへ追加されたIvantiの脆弱性は8件で、最新は2026-10-30のCVE-2026-118527です。
更新は管理画面の［Maintenance］→［System］→［Upgrade/Downgrade］で、入手したパッケージを入れます。[3]
Ivantiは、22.8のサポートが2027年1月31日に終わるとし、期日までに25.1へ移るよう求めています。[1]

01今確かめたいIvantiの脆弱性

この1年に悪用が確認された件と、直近30日の深刻度「緊急」の件です。番号を押すと、一覧で詳しく確かめられます。

公表・更新	製品	内容	状態
2026-11-04	connect secure	Ivanti Connect Secureで予測可能なファイル名が使われるため、認証済みの攻撃者が任意の内容のファイルをディスク上の既知の場所にアップロードできる。 `CVE-2026-118527` 解説記事を読む	悪用確認
2026-10-30	Connect Secure	Ivanti Connect Secureで重要な機能に認証が無く、ローカルの認証済み攻撃者が権限を昇格できる。CVE-2026-104935・CVE-2026-118527と連鎖でき、悪用が確認されている。 `CVE-2026-111357` 解説記事を読む	悪用確認
2026-10-13	Connect Secure	Ivanti Connect Secureのなりすましによる認証バイパス。リモートの認証なし攻撃者が任意のコマンドを実行できる恐れがあり、悪用が確認されている。 `CVE-2026-104935` 解説記事を読む	悪用確認

02Ivanti Connect Secureの更新の手順

機器ごとに、今の版と機種（ISA6000・ISA8000、ISA4500・ISA6500・ISA8500、仮想・クラウド）を確かめ、告知の表で上げる先を決めます。修正版は、Ivantiのダウンロード（ILS）から入手できます。[1]

管理画面では［Maintenance］→［System］→［Upgrade/Downgrade］を開き、入手したパッケージを［Install Service Package］で入れます。[3]上げた後に、版が上げる先になったかを確かめます。

0325.1への移行で確かめること

25.1.3.0に移るには、新しい機種（ISA4500・ISA6500・ISA8500）が必要です。ハードウェアは新しい機器を用意し、仮想・クラウドは25.1.3.0のテンプレートで作り直します。手順はIvantiの「Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide」にあります。[1][2]

Ivantiは、22.8は22.7から25.1へ移るまでの橋渡しの系列で、サポートが2027年1月31日に終わるとしています。ハードウェアで使っている場合は、機器の入れ替えの時期と予算を早めに決めます。[1]

04Ivantiの保守終了（EOL）

保守が終わった系列には、脆弱性が見つかっても修正版が出ません。使っている系列の保守終了日を確かめ、終了が近ければ入れ替えの予定を立てます。