Ivanti Connect Secure の 2 件が KEV に追加、ファイル配置（CVE-2026-118527）と root への権限昇格（CVE-2026-111357）: CVE-2026-104935 との連鎖、118527 は NVD に未登録

CISA は 10/30、Ivanti Connect Secure の脆弱性 2 件を KEV（悪用が確認された脆弱性）カタログに追加しました。CVE-2026-118527 は、認証済みのリモートの攻撃者が内容を指定したファイルを既知の場所へ置ける問題（CWE-340、予測可能な識別子）、CVE-2026-111357 は、ローカルの認証済みの攻撃者が権限を昇格できる問題です。CISA は、どちらも先に KEV へ載った CVE-2026-104935 と連鎖できるとしています。CISA の注意喚起（10/30 改訂）は、3 件の組み合わせで、認証なしの任意のコマンド実行から認証情報の窃取やデータの持ち出しに至る攻撃を確認していると述べています。

2 件の整理

項目	CVE-2026-118527	CVE-2026-111357
内容（KEV の説明）	認証済みのリモートの攻撃者が、内容を指定したファイルを既知の場所へ置ける	ローカルの認証済みの攻撃者が権限を昇格できる
CWE	CWE-340（予測可能な数値・識別子の生成）	CWE-306・CWE-862・CWE-345（KEV）。NVD は CWE-829
NVD	10/31 の確認時点で API に該当なし（未登録）	10/15 登録、状態は Analyzed
CVSS	取得できる値なし	v3.1 は 7.0（High、AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H）。付与したのは CVE 割り当て側（種別 Secondary）で、NVD 自身の独自評価ではない
EPSS	公開直後のため未算出（FIRST に該当なし）	0.53%（パーセンタイル 45.0%、10/31、FIRST）
KEV 追加日	2026-10-30	2026-10-30
連邦機関の期限	2026-11-13	2026-11-02
ランサムウェアでの悪用	Unknown	Unknown
フォレンジックの要件（KEV）	No	Yes

NVD の 111357 の説明は、「Ivanti Connect Secure 22.8R2.4 では、dsinvoked ブローカーが DSCache の設定データを信頼する扱いに問題があり、root への権限昇格につながる。2026 年 10 月に悪用が確認されている」という内容です。

影響を受ける版

• CISA の注意喚起（10/30 に版の記載を更新）は、影響を受ける版を 25.1.1.2 以前、25.1.2.2 以前、22.8R2.5 以前としています。
• NVD の構成情報（111357）も、25.1.0.0 以上 25.1.1.3 未満と、22.8R2 から R2.5 を対象としています。25.1.2.x の扱いは、NVD の構成情報と CISA の記載で揃っていません。
• 118527 の版は NVD に登録がないため、CISA の注意喚起の記載が現時点の手がかりです。
• 22.8 系は 2027 年 1 月 31 日にサポート終了です（CISA の注意喚起による）。

何が起きているか（確認できる範囲）

• 3 件の連鎖が使われているとされるのは、CVE-2026-104935（認証の回避によるコマンド実行、KEV に 10/13 追加）を入口に、118527 と 111357 を組み合わせる形です。KEV の説明が「連鎖できる」と明記しています。
• 118527 は認証済みであることが前提です。単独の脅威というより、連鎖の一部として悪用されていると読めます（本記事の推定）。
• 111357 は root への権限昇格です。コマンド実行を得た攻撃者が、機器の完全な制御まで進めるために使えると考えられます（本記事の推定）。
• CISA は、攻撃者のコマンドがメモリ上で動くため、Ivanti の整合性チェッカーでは痕跡を検出できない場合があるとしています。侵害の有無の確認には、ネットワークとメモリのフォレンジックが必要という説明です。
• 悪用の手口の詳細、侵害された機器の数、118527 と 111357 の個別の修正の中身は、本記事では確認できていません。

対応として考えられること

1. 自社の Connect Secure の版を確認します。上記の版に当たる場合は、Ivanti のセキュリティ情報（CVE-2026-104935 の案内）に従い、最新の版へ更新します。更新先の具体的な版は、本記事では Ivanti の案内ページを取得できていないため確認できていません。
2. 連邦機関向けの期限は 111357 が 11/2、118527 が 11/13 です。連邦機関以外でも、優先度の目安になります。
3. 侵害の疑いがある場合、CISA は次を勧めています: 設定のバックアップ、工場出荷状態へのリセットと最新版への更新（仮想・クラウド環境はインスタンスの再構築）、バックアップからの設定の復元、ドメイン・管理者・ローカルを含む全アカウントのパスワードの変更、保存している証明書の失効と再発行、API キーとライセンスサーバーの認証情報の再設定。
4. 22.8 系を使っている場合は、サポート終了までに 25.x への移行を計画します。

未確認の点

• 118527 は NVD の API に登録がなく（10/31 と 11/1 に確認）、CVSS・影響版の公式な構成情報・EPSS は取得できません。登録後に変わる可能性があります。
• 111357 の CVSS 7.0 は NVD 自身の独自評価ではありません。KEV に載っているため、実際の危険度はこの数値より高く見るのが妥当と考えられます（本記事の推定）。severity 欄は、悪用が確認されている点から high にしました。
• Ivanti のセキュリティ情報のページは、本記事の作成時点では中身を取得できていません。修正版の番号、個別の緩和策は、CISA の注意喚起と NVD の記載にとどまります。
• 当サイトでは、挙動を再現していません。記載は CISA の KEV カタログ・注意喚起、NVD、FIRST の公開情報に基づきます。
• 日付は、KEV 追加（2026-10-30）と NVD の登録（111357 は 2026-10-15）に基づきます。