パッチで扉は閉まらない

要旨

修正を当てると、その後に来る攻撃者に対して欠陥は閉じる。修正前に入った侵入者は、パスワード、生きているセッション、機器に置いたファイルを持ったままだ。警察庁の2025年の調査では、71件のうち31件が、侵入口の機器にパッチをすべて当てていたと答えた。

侵入者のアクセスがパッチ後も残る5つの経路

出典: 警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153); Fortinet PSIRT Malicious Actor Discloses FortiGate SSL-VPN Credentials; JPCERT/CC JPCERT/CC Incident Handling Report: July 1, 2024 - September 30, 2024 (p.14); Mandiant（Google Cloud） Investigation of Session Hijacking via Citrix NetScaler ADC and Gateway Vulnerability (CVE-2023-4966); Fortinet PSIRT Analysis of Threat Actor Activity; オランダ MIVD・AIVD（NCSC-NL 掲載） Ministry of Defence of the Netherlands uncovers COATHANGER, a stealthy Chinese FortiGate RAT (p.1, p.2 §3.1; p.1 (Wayback Machine capture of the NCSC-NL PDF of 2024-02-06; ncsc.nl no longer serves it)); CISA（米国） ED 25-03: Identify and Mitigate Potential Compromise of Cisco Devices (Background; Background; V1 update 2026-04-23); CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B); Google Cloud（Mandiant） Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation; JPCERT/CC Ivanti Connect Secureなどにおける脆弱性（CVE-2025-0282）に関する注意喚起 (JPCERT-AT-2025-0001, updated 2025-02-13)

1. パッチ前に盗まれた認証情報

CVE-2018-13379 では、ログインせずに FortiOS SSL-VPN のセッションファイルを読み出せ、そこにユーザー名とパスワードが入っていた。2021年9月、Fortinet は FortiGate 8万7,000台分の SSL-VPN の接続情報が公開されたと公表し、「While they may have since been patched, if the passwords were not reset, they remain vulnerable.」と警告した。半田病院のグローバル IP アドレス、ID、パスワードもこの流出データにあった（技術編 p.10）。JPCERT/CC は2024年にも CVE-2023-27997 と CVE-2024-21762 で、修正適用済みの製品に、適用前に盗まれた認証情報で侵入された事例を報告している。

2. パッチ前に盗まれたセッション

CitrixBleed（CVE-2023-4966）では、多要素認証の後に発行された有効なセッション Cookie を含みうるメモリが漏れた。Mandiant によれば、有効な Cookie があれば「without knowledge of the username, password, or access to a multi-factor authentication token or device」でセッションを確立できる。更新してもそのセッションは終わらず、NetScaler の告知は更新に加えて「we also recommend killing all active and persistent sessions」としている。LockBit 3.0 の実行者もこの欠陥を使った（AA23-325A）。

3. 更新を生き延びる常駐

2025年4月、Fortinet は、以前の欠陥で侵害された機器の SSL-VPN のファイル領域に攻撃者がシンボリックリンクを残していたと公表した。このリンクで設定を含むファイルシステムを読み取れ、その状態は「even if the customer device was updated with FortiOS versions that addressed the original vulnerabilities」でも残りえた。オランダの MIVD と AIVD は FortiGate 向けの不正プログラム COATHANGER について「It survives reboots and firmware upgrades.」と書いた。CISA の ED 25-03 は、Cisco ASA の攻撃者が ROM を書き換えて「persist through reboot and system upgrade」したと述べ、後に、求めた更新を当てても「does not necessarily remove an existing threat actor from the compromised device」と追記した。Ivanti Connect Secure では、更新を止めながら「giving the appearance of a successful upgrade」不正プログラムを Mandiant が見つけている。

4. だまされる整合性チェック

Ivanti の Integrity Checker Tool（ICT）は、機器のファイルの改ざんを調べる。CISA は AA24-060B で「Ivanti’s internal and previous external ICT failed to detect compromise.」と報告した。Mandiant は設計上の限界として「The ICT does not scan for malware or other Indicators of Compromise.」と書いている。

5. 公表前の侵害

Mandiant によれば CVE-2025-0282 のゼロデイ悪用は2024年12月中旬に始まり、Ivanti の公表は2025年1月8日だった。JPCERT/CC は「本脆弱性公開前の2024年12月下旬から本脆弱性が悪用された被害を国内で複数確認しています。」と注意喚起した（JPCERT-AT-2025-0001）。CitrixBleed は2023年8月下旬から悪用され、10月10日に公表された。CISA の BOD 26-04 は、3日以内の対応を求める区分に「carry out a forensic triage of the asset to assess whether the system is compromised.」という要求を組み合わせた。

自社の機器が KEV に載ったときの作業順序

後の作業はどれも機器の状態を変えるので、保全が最初に来る。

出典: CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B); Fortinet PSIRT Analysis of Threat Actor Activity; NetScaler（Cloud Software Group） CVE-2023-4966: Critical security update now available for NetScaler ADC and NetScaler Gateway; JPCERT/CC JPCERT/CC Incident Handling Report: July 1, 2024 - September 30, 2024 (p.14); CISA（米国） BOD 26-04: Prioritizing Security Updates Based on Risk

1. 保全する。設定と本体内のログをすべて書き出し、インシデント対応の事業者が対応できるならメモリも取る。各作業で消えるものは証拠のページにある。
2. パッチを当てる。機器内に残るファイルではなく、ベンダーから取得したイメージで更新する。自機種に修正版がなければ、ベンダーの回避策を適用するかポータルを止め、更改の日程を決める。
3. 機器が扱った認証情報をすべて再設定する（下の表）。CISA は「Reset all credentials that may have been exposed during the compromise」と求めている。
4. 有効なセッション、持続セッション、発行済みのトークンを失効させる。
5. 機器の内側を調べる。作った覚えのない管理者や VPN のアカウント、VPN のアドレス範囲からドメインコントローラやサーバへのログオン、機器の内側アドレスからの RDP や SMB の接続を探す。CISA は Ivanti の件で、侵害が疑われるなら「assume that threat actors hold full administrative access」とした。
6. 疑わしければ作り直す。初期化または再インストールし、1行ずつ確認した設定を戻す。Fortinet: 「Treat all configuration as potentially compromised」。Ivanti では初期化も安全の証明にならなかった（上の4）ので、作り直した後に認証情報をもう一度変える。
7. ベンダー、JPCERT/CC、警察と、業種や扱う情報に応じた規制当局に報告する。

機器が扱った認証情報のすべて

CISA は Ivanti の利用者に、機器に保存された利用者とサービスアカウントの認証情報は「likely compromised」と想定するよう求めた。Mandiant によれば、機器のキャッシュには「VPN sessions, session cookies, API keys, certificates, and credential material」が含まれうる。

出典: CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B); Google Cloud（Mandiant） Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation; JPCERT/CC Fortinet製品に関連する認証情報の漏えいに関する注意喚起 (JPCERT-AT-2026-0019); SonicWall Gen 7 and newer SonicWall Firewalls – SSLVPN Recent Threat Activity; NetScaler（Cloud Software Group） CVE-2023-4966: Critical security update now available for NetScaler ADC and NetScaler Gateway