第3章S=1:100S=1:5
建具表
攻撃に使われた VPN 機器の脆弱性31件。FortiGate、Ivanti Connect Secure、Citrix NetScaler（CitrixBleed）、SonicWall など7社の製品で、多くはログインの前に届く。
要旨
建具表には、7社の VPN 機器の欠陥31件を載せた。どれも攻撃に使われたことを米国 CISA が確認している。29件は誰もログインしていない段階で届き、その多くではパスワードも多要素認証も確認される機会がない。
19件はベンダーの警告より前から使われていた。17件では、盗まれたパスワードやセッション、仕込まれたものが更新後も残り、パッチだけでは足りなかったとベンダーか政府機関が述べている。
インターネットに面した扉
VPN 機器は社外で働く社員のための扉で、インターネット全体からの接続を受け付ける。
一日中インターネットに面している
誰でも、いつでも試せる。半田病院では接続元の制限がなく、インターネット上のすべてのシステムから機器に接続できたと調査報告書は記している。
出典: 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)
ログインの前にインターホンが応答する
錠がパスワードを求める前に、機器はログイン画面、画像、言語ファイル、シングルサインオン用の窓口を返す。このコードがインターホンで、ここに欠陥があればアカウントは要らない。
開けると受付の奥に出る
英国 NCSC は、こうした機器が「信頼の境界に置かれることが多い」と書いている。
出典: NCSC（英国） Making forensic observability the norm for network devices
枠の欠陥ひとつで足りる
社内のサーバならセキュリティソフトで見張り、ログを別の場所に集められる。多くの VPN 機器ではどちらもできない。
| 項目 | 社内のサーバ | VPN 機器 |
|---|---|---|
| セキュリティソフト（EDR） | 導入でき、検知を報告する | EDR は通常こうした製品では動かない（Google） |
| ログ | 集中管理の保存先に送る | 機器の中にしかないことが多い。Volexity は、ログが消され記録も止められていた機器を報告している |
| 改ざんの確認 | ソフトとファイルの検査 | Ivanti 製品用のベンダーの検査ツールは侵害を見つけられなかった（CISA） |
| 欠陥ひとつの被害 | 多くはひとつのサービス | 機器の root 権限。そこには VPN のパスワードやディレクトリの認証情報がある |
出典: Google Threat Intelligence Group Hello 0-Days, My Old Friend: A 2024 Zero-Day Exploitation AnalysisVolexity Active Exploitation of Two Zero-Day Vulnerabilities in Ivanti Connect Secure VPNSophos It takes two: The 2025 Sophos Active Adversary Report (2024 case data)CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)
古いコードが箱全体を握っている
Google による2024年のゼロデイの分析によると、これらの製品では欠陥を連鎖させる必要がほとんどなく、ひとつの欠陥が「単独で」遠隔コード実行に至る。建具表にも、C のようにメモリを直接扱う言語で起きるバッファオーバーフローが多い。CISA と FBI は CVE-2025-0282 をその例に挙げている。
出典: Google Threat Intelligence Group Hello 0-Days, My Old Friend: A 2024 Zero-Day Exploitation AnalysisCISA・FBI（米国） Secure by Design Alert: Eliminating Buffer Overflow Vulnerabilities (p.1)CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)
セキュリティソフトが入らない
Volexity はこれらの機器を「従来のセキュリティソフトを動かせない」システムと書いている。
出典: Volexity Active Exploitation of Two Zero-Day Vulnerabilities in Ivanti Connect Secure VPN
防犯カメラはほとんど記録しない
機器のログは短く、すぐに上書きされ、root を取った侵入者なら消せる。Sophos の2025年の報告書では、2024年の対応事案の47%でログが欠けていた。
出典: Sophos It takes two: The 2025 Sophos Active Adversary Report (2024 case data)
パッチの遅れとサポート切れ
攻撃者
守る側
出典: Verizon 2025 Data Breach Investigations Report: Executive Summary (p.6)CISA（米国） Known Exploited Vulnerabilities Catalog (catalogVersion 2026.10.23; VPN/remote-access entries of the chapter 3 door schedule, bug class from NVD CWE and vendor advisories)watchTowr Labs Please, We Beg, Just One Weekend Free Of Appliances (Citrix NetScaler CVE-2026-3055 Memory Overread Part 2)
更新のあいだは在宅勤務が止まる
機器を更新すると再起動のあいだ在宅勤務が止まるので、更新は延びがちだ。Verizon の調査では、エッジ機器と VPN の脆弱性のうち年内に完全に直されたのは約54%で、中央値は32日だった。警察庁の調査では、VPN 機器を使う組織の52%が最新のパッチを当てていなかった。
出典: Verizon 2025 Data Breach Investigations Report: Executive Summary (p.6)警察庁 サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策 (p.1)
サポートが切れた扉
サポートが終わった機器は修正を受けられないまま動き続ける。CISA、FBI、英国 NCSC は、国家を背景とする攻撃者がこうした機器を、サポート中の新しい環境に入る入口として使うと警告している。大阪急性期・総合医療センターの侵入口の機器は導入以来更新されておらず、緊急更新の前は FortiOS 5.4.2 だった（報告書の概要版は 5.4.8 としている）。
出典: CISA・FBI・英国 NCSC Reducing the Attack Surface for End-of-Support Edge Devices (p.1; pp.1–2)地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)
認証前の欠陥は錠を通らない
多要素認証は錠の一部で、盗んだパスワードを持って来た相手を止める。インターホンや枠の欠陥は錠より前で使われるので、多要素認証は関わらない。
建具表の31件のうち29件は、赤い経路で働く。
悪用は警告より先に始まることが多い
- CVE-2019-11510悪用 +120日 · KEV +924日
- CVE-2018-13379悪用 +92〜+122日 · KEV +917日
- CVE-2019-19781 Shitrix悪用 +15〜+45日 · KEV +687日
- CVE-2021-20016悪用 −21〜−1日 · KEV +285日
- CVE-2021-22893悪用 −1日以前 · KEV +197日
- CVE-2022-42475悪用 −72〜−42日 · KEV +1日
- CVE-2023-27997 XORtigate悪用 −11〜+18日 · KEV +1日
- CVE-2023-3519悪用 −47〜−18日 · KEV +1日
- CVE-2023-20269悪用 −189〜−159日 · KEV +7日
- CVE-2023-4966 CitrixBleed悪用 −70〜−40日 · KEV +8日
- CVE-2023-46805悪用 −40〜−10日 · KEV 0日
- CVE-2024-21762悪用 −7〜+21日 · KEV +1日
- CVE-2024-3400悪用 −17日 · KEV 0日
- CVE-2024-24919悪用 −51日 · KEV +2日
- CVE-2024-40766悪用 −21〜+9日 · KEV +18日
- CVE-2024-53704悪用 +25〜+52日 · KEV +42日
- CVE-2025-0282悪用 −38〜−8日 · KEV 0日
- CVE-2025-22457悪用 −33〜−3日 · KEV +1日
- CVE-2025-5777 CitrixBleed 2悪用 −16〜+13日 · KEV +23日
- CVE-2025-6543悪用 −55〜−25日 · KEV +5日
- CVE-2025-7775悪用 −25〜−1日 · KEV 0日
- CVE-2025-20362悪用 −117日以前 · KEV 0日
- CVE-2026-24858悪用 −7日 · KEV 0日
- CVE-2026-3055悪用 +4日 · KEV +7日
- CVE-2026-0257悪用 +4日 · KEV +16日
- CVE-2026-50751悪用 −32日 · KEV 0日
- CVE-2026-15409悪用 −1日以前 · KEV 0日
- CVE-2026-104935悪用 −10日 · KEV 0日
ゼロデイの悪用公表後の悪用（月単位の日付は幅で示す）KEV 登録（右端の矢印は120日より後）
出典: CISA（米国） Known Exploited Vulnerabilities Catalog (catalogVersion 2026.10.23; VPN/remote-access entries of the chapter 3 door schedule, bug class from NVD CWE and vendor advisories)
データ
| CVE | 公表 | 最初の悪用 | 公表からの日数 | KEV 登録 | 公表から KEV まで |
|---|---|---|---|---|---|
| CVE-2019-11510 | 2019-04-24 | 2019年8月22日、公開エクスプロイトの翌日から大量スキャン | +120日 | 2021-11-03 | +924日 |
| CVE-2018-13379 | 2019-05 | 2019年8月、公開の講演の後（日付は未確認） | +92〜+122日 | 2021-11-03 | +917日 |
| CVE-2019-19781 Shitrix | 2019-12-17 | 2020年1月、1月10日ごろに攻撃コードが出回った後。修正版ファームウェアは1月19日から24日 | +15〜+45日 | 2021-11-03 | +687日 |
| CVE-2021-20016 | 2021-01-22 | 2021年1月、ゼロデイとして悪用 | −21〜−1日 | 2021-11-03 | +285日 |
| CVE-2021-22893 | 2021-04-20 | 2021年4月20日より前、ゼロデイ（開始時期は未確認） | −1日以前 | 2021-11-03 | +197日 |
| CVE-2022-42475 | 2022-12-12 | 2022年10月、公表の少なくとも2か月前（オランダ MIVD） | −72〜−42日 | 2022-12-13 | +1日 |
| CVE-2023-27997 XORtigate | 2023-06-12 | 2023年6月。Fortinet は「限られた件数で悪用された可能性」と発表（日付は未確認） | −11〜+18日 | 2023-06-13 | +1日 |
| CVE-2023-3519 | 2023-07-18 | 2023年6月、重要インフラ組織でゼロデイとして悪用（CISA） | −47〜−18日 | 2023-07-19 | +1日 |
| CVE-2023-20269 | 2023-09-06 | 2023年3月から総当たり攻撃（Rapid7、二次情報。日付は未確認） | −189〜−159日 | 2023-09-13 | +7日 |
| CVE-2023-4966 CitrixBleed | 2023-10-10 | 2023年8月下旬、ゼロデイ（Mandiant） | −70〜−40日 | 2023-10-18 | +8日 |
| CVE-2023-46805 | 2024-01-10 | 2023年12月、ゼロデイ（UNC5221 / UTA0178） | −40〜−10日 | 2024-01-10 | 0日 |
| CVE-2024-21762 | 2024-02-08 | 2024年2月。公表時に「悪用された可能性」とされた（日付は未確認） | −7〜+21日 | 2024-02-09 | +1日 |
| CVE-2024-3400 | 2024-04-12 | 2024年3月26日に最初の試行、4月10日に実際の悪用を確認（Volexity） | −17日 | 2024-04-12 | 0日 |
| CVE-2024-24919 | 2024-05-28 | 2024年4月7日、ゼロデイ（Check Point が当初の4月30日から訂正） | −51日 | 2024-05-30 | +2日 |
| CVE-2024-40766 | 2024-08-22 | 2024年8月か9月（日付は未確認） | −21〜+9日 | 2024-09-09 | +18日 |
| CVE-2024-53704 | 2025-01-07 | 2025年2月、10日に検証コードが公開された直後 | +25〜+52日 | 2025-02-18 | +42日 |
| CVE-2025-0282 | 2025-01-08 | 2024年12月中旬、ゼロデイ（Mandiant）。国内の被害は12月下旬から（JPCERT/CC） | −38〜−8日 | 2025-01-08 | 0日 |
| CVE-2025-22457 | 2025-04-03 | 2025年3月中旬、2月11日の修正を当てていない機器に対して。攻撃者は「おそらくパッチを分析した」（Mandiant） | −33〜−3日 | 2025-04-04 | +1日 |
| CVE-2025-5777 CitrixBleed 2 | 2025-06-17 | 2025年6月中旬から下旬、検証コードの公開前（日付は未確認） | −16〜+13日 | 2025-07-10 | +23日 |
| CVE-2025-6543 | 2025-06-25 | 2025年5月上旬、オランダの組織に対するゼロデイ（NCSC-NL） | −55〜−25日 | 2025-06-30 | +5日 |
| CVE-2025-7775 | 2025-08-26 | 2025年8月、公表時点で悪用済み（日付は未確認） | −25〜−1日 | 2025-08-26 | 0日 |
| CVE-2025-20362 | 2025-09-25 | 2025年5月以前、ゼロデイ（ArcaneDoor） | −117日以前 | 2025-09-25 | 0日 |
| CVE-2026-24858 | 2026-01-27 | 2026年1月20日、ゼロデイ（利用者の報告、二次情報） | −7日 | 2026-01-27 | 0日 |
| CVE-2026-3055 | 2026-03-23 | 遅くとも2026年3月27日、公表から4日後。既知の攻撃者のアドレスから（watchTowr のハニーポット） | +4日 | 2026-03-30 | +7日 |
| CVE-2026-0257 | 2026-05-13 | 2026年5月17日（Rapid7、二次情報） | +4日 | 2026-05-29 | +16日 |
| CVE-2026-50751 | 2026-06-08 | 2026年5月7日、ゼロデイ（Rapid7） | −32日 | 2026-06-08 | 0日 |
| CVE-2026-15409 | 2026-07-14 | 2026年7月14日より前、ゼロデイ（Rapid7 MDR、Tenable 経由） | −1日以前 | 2026-07-14 | 0日 |
| CVE-2026-104935 | 2026-10-13 | 2026年10月3日、ゼロデイ（Volexity） | −10日 | 2026-10-13 | 0日 |
KEV は CISA の既知の悪用された脆弱性カタログで、2021年11月3日に始まった。古い欠陥の KEV 登録が右端に寄るのはそのためだ。別の欠陥の後ろで連鎖して使われたものは、連鎖の最初の欠陥の行にまとめた。
技術者向けの詳細
部位を実際の名前で呼ぶ
| 部位 | 部品 | 壊れ方 | 建具表の件数 |
|---|---|---|---|
| インターホン | 認証前の Web ポータル | セッションなしで届くファイル読み出し、メモリ読み出し、オーバーフロー | 19 |
| 錠 | 認証、多要素認証、SAML、IKE | 認証回避、認可の欠如、パスワードの総当たり | 11 |
| 合鍵 | セッショントークン、保存された認証情報 | メモリからのトークン漏洩、認証情報ファイルの読み出し、セッションの乗っ取りや偽造 | 9 |
| 枠と蝶番 | 機器の OS、常駐プロセス、管理画面 | root でのコード実行、仕込まれたマルウェア、管理者ログイン | 17 |
| 防犯カメラ | 機器のログ | 悪用の後にログの記録が消される | 2 |
1件が複数の部位を通ることがあるため、件数の合計は31件より多い。
建具表: 7つの製品系列、31件の欠陥
製品系列ごとに建具記号（SD-1〜SD-7）を付け、欠陥1件を1行とした。どの行も CISA の KEV（カタログ版 2026.10.23）に載っている。各行には #cve-2023-4966 のような直接リンクがある。
31件中31件を表示
選択中: CVE-2023-4966 CitrixBleed · 認証前の Web ポータル → セッショントークン・保存された認証情報
| CVE | 壊れる部位 | 攻撃者が得るもの | KEV 登録日 | パッチだけで閉まるか |
|---|---|---|---|---|
| SD-1 Fortinet FortiGate（FortiOS SSL-VPN） | ||||
| NVD · KEV | インターホン → 合鍵認証前 | ログインせずに SSL-VPN のセッションファイルを読める。中にはユーザー名と平文のパスワードがある | 2021-11-03ランサムウェア: あり | いいえ パッチ前に読まれたパスワードは、変更するまで使える。2021年に8万7,000台分の認証情報が公開された |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにファイアウォール上でコードを実行できる | 2022-12-13ランサムウェア: あり | いいえ COATHANGER というマルウェアは再起動にもファームウェア更新にも耐える（オランダ MIVD/AIVD） |
| ||||
| XORtigateNVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにコードを実行できる | 2023-06-13ランサムウェア: あり | いいえ 修正版へ更新した後も残るシンボリックリンクの侵入口の一つとして Fortinet が挙げた |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにコードを実行できる | 2024-02-09ランサムウェア: あり | いいえ 修正版へ更新した後も残るシンボリックリンクの侵入口の一つとして Fortinet が挙げた |
| ||||
| NVD · KEV | 錠 → 枠と蝶番認証前 | FortiCloud SSO を有効にした他社の機器に管理者としてログインできる。管理者アカウントの作成と設定の持ち出しが確認された | 2026-01-27ランサムウェア: 不明 | 報告なし |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | 以前に侵害された機器で、除去用のパッチを当てても残ったリンクからファイルを読める | 2026-07-27ランサムウェア: 不明 | いいえ 以前の侵害の後でのみ意味を持つ。FortiOS 7.2、7.0、6.4 には同じ系列の修正がなく、移行が必要 |
| ||||
| SD-2 Ivanti Connect Secure（旧 Pulse Connect Secure） | ||||
| NVD · KEV | インターホン → 合鍵認証前 | ログインせずに、キャッシュされた平文の認証情報やセッション情報を含むファイルを読める | 2021-11-03ランサムウェア: あり | いいえ CISA によれば、盗まれた認証情報を変更しなかった組織では、パッチ後も侵入者がアクセスを保った |
| ||||
| NVD · KEV | 錠 → 枠と蝶番認証前 | ログインせずにコードを実行できる | 2021-11-03ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | 錠認証前 | ログインせずに制限された資源に届く。CVE-2024-21887 と組み合わせると root 権限でコマンドを実行できる | 2024-01-10ランサムウェア: あり | いいえ CISA は連邦機関に切断、初期化、再構築を命じた。初期化しても潜伏が残る可能性がある |
| ||||
| NVD · KEV | 錠 → 枠と蝶番CVE-2023-46805 の後ろで連鎖 | コマンドを実行できる。単独では管理者権限が要るが、CVE-2023-46805 の後ろにつなげば不要 | 2024-01-10ランサムウェア: あり | いいえ CVE-2023-46805 と同じ指令と勧告。再構築し、連携するアカウントは侵害されたものとして扱う |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにコードを実行できる | 2025-01-08ランサムウェア: あり | いいえ Mandiant によれば、マルウェアは更新の成功を偽装し、本当の更新では新しい領域に自分を複製した |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにコードを実行できる | 2025-04-04ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | 錠 → 枠と蝶番 → 防犯カメラ認証前 | 連鎖させると、パッチを当て終えた機器で root 権限のコード実行。ログは改ざんされた | 2026-10-13ランサムウェア: 不明 | いいえ 公表時点で、連鎖の一つ（権限昇格）にはまだ修正がなかった |
| ||||
| SD-3 Citrix NetScaler ADC / Gateway | ||||
| ShitrixNVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずに機器上でコードを実行できる | 2021-11-03ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにコードを実行できる。Web シェルが置かれた | 2023-07-19ランサムウェア: あり | 報告なし |
| ||||
| CitrixBleedNVD · KEV | インターホン → 合鍵認証前 | 多要素認証の後に発行されたセッション Cookie。ユーザー名もパスワードも多要素認証もなしでセッションを使える | 2023-10-18ランサムウェア: あり | いいえ パッチ前に盗まれたセッションはパッチ後も有効だった。有効なセッションをすべて切る必要がある |
| ||||
| CitrixBleed 2NVD · KEV | インターホン → 合鍵認証前 | メモリからセッショントークンを読み、多要素認証を経ずにセッションを乗っ取れる | 2025-07-10ランサムウェア: あり | いいえ パッチだけでは盗まれたセッションが有効なまま残る。有効なセッションを終了させる必要がある |
| ||||
| NVD · KEV | インターホン → 枠と蝶番 → 防犯カメラ認証前 | 実際にはコード実行。Web シェルが置かれ、痕跡が消された | 2025-06-30ランサムウェア: 不明 | いいえ NCSC-NL によれば、更新しても攻撃者がすでに得たアクセスは消えない |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにコード実行またはサービス停止（Gateway と AAA の構成） | 2025-08-26ランサムウェア: 不明 | 報告なし |
| ||||
| NVD · KEV | インターホン → 合鍵認証前 | ログインせずに機器のメモリを読める。管理者のセッション ID が含まれることがある（SAML IdP 構成のみ） | 2026-03-30ランサムウェア: 不明 | 報告なし |
| ||||
| SD-4 Palo Alto Networks GlobalProtect（PAN-OS） | ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずにファイアウォール上でコードを実行できる | 2024-04-12ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | 合鍵認証前 | 正しい認証情報なしで VPN に接続できる。多要素認証も求められない（既定で無効の機能が必要） | 2026-05-29ランサムウェア: あり | 報告なし |
| ||||
| SD-5 SonicWall（SonicOS SSLVPN、SMA） | ||||
| NVD · KEV | インターホン → 合鍵認証前 | ログインせずにユーザー名、パスワード、セッション情報を読める | 2021-11-03ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | 錠認証前 | ファイアウォールの資源に無許可でアクセスできる。ランサムウェア集団が SSLVPN からの侵入に使った | 2024-09-09ランサムウェア: あり | いいえ SonicWall によれば、2025年も機種移行で引き継がれ変更されていないローカルパスワードが使われた |
| ||||
| NVD · KEV | 錠 → 合鍵認証前 | ログイン中の利用者の SSL VPN セッション。パスワードと多要素認証を経ずに社内へのトンネルを開ける | 2025-02-18ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | インターホン → 枠と蝶番認証前 | ログインせずに内部向けの機能に届く。CVE-2026-15410 と組み合わせると root でコード実行 | 2026-07-14ランサムウェア: あり | 報告なし |
| ||||
| SD-6 Cisco ASA / FTD（リモートアクセス VPN） | ||||
| NVD · KEV | 錠認証前 | 総当たりで有効な VPN のユーザー名とパスワードの組を見つけられる。多要素認証を強制していれば回避はできない | 2023-09-13ランサムウェア: あり | 報告なし |
| ||||
| NVD · KEV | 錠認証前 | ログインせずに制限された VPN の Web 機能に届く。CVE-2025-20333 と組み合わせて使われた | 2025-09-25ランサムウェア: 不明 | いいえ CISA によれば、攻撃者は ROM を書き換えて再起動と更新を越えて残った。更新しても「必ずしも除去されない」 |
| ||||
| NVD · KEV | 錠 → 枠と蝶番CVE-2025-20362 の後ろで連鎖 | root 権限でコードを実行できる。単独では VPN の認証情報が要るが、CVE-2025-20362 の後ろにつなげば不要 | 2025-09-25ランサムウェア: 不明 | いいえ CISA によれば、攻撃者は ROM を書き換えて再起動と更新を越えて残った。更新しても「必ずしも除去されない」 |
| ||||
| SD-7 Check Point Quantum Security Gateway（リモートアクセス VPN） | ||||
| NVD · KEV | インターホン → 合鍵認証前 | ログインせずに、ローカルアカウントのパスワードハッシュなどのファイルを読める | 2024-05-30ランサムウェア: あり | いいえ Check Point の対処手順には、ローカルアカウントと LDAP のパスワード変更が含まれる |
| ||||
| NVD · KEV | 錠認証前 | 正しいパスワードなしでリモートアクセス VPN のセッションを張れる（非推奨の IKEv1 構成のみ） | 2026-06-08ランサムウェア: あり | 報告なし |
| ||||
出典: CISA（米国） Known Exploited Vulnerabilities Catalog (catalogVersion 2026.10.23; VPN/remote-access entries of the chapter 3 door schedule, bug class from NVD CWE and vendor advisories)
「ランサムウェア: 不明」は CISA の欄の値で、CISA がまだランサムウェアの攻撃と結び付けていないという意味だ。「使われていない」という意味ではない。最後の列の「報告なし」は、引用した出典がパッチ以外の対処を求めていないことだけを示し、パッチで足りる保証ではない。CVE-2026-8452 は、スコアと最初の悪用日を一次情報で確認できなかったため外した。
31件中29件はパスワードが要らない
- SD-1 Fortinet FortiGate（FortiOS SSL-VPN）6件中6件
- SD-2 Ivanti Connect Secure（旧 Pulse Connect Secure）7件中6件
- SD-3 Citrix NetScaler ADC / Gateway7件中7件
- SD-4 Palo Alto Networks GlobalProtect（PAN-OS）2件中2件
- SD-5 SonicWall（SonicOS SSLVPN、SMA）4件中4件
- SD-6 Cisco ASA / FTD（リモートアクセス VPN）3件中2件
- SD-7 Check Point Quantum Security Gateway（リモートアクセス VPN）2件中2件
ログイン前に届く単独ではログインが要るが、認証前の欠陥の後ろで使われた
出典: CISA（米国） Known Exploited Vulnerabilities Catalog (catalogVersion 2026.10.23; VPN/remote-access entries of the chapter 3 door schedule, bug class from NVD CWE and vendor advisories)Volexity Zero-Day Exploitation of Unauthenticated Remote Code Execution Vulnerability in GlobalProtect (CVE-2024-3400)CVE Program CVE-2025-0282 (Description)
白抜きの CVE-2024-21887 と CVE-2025-20333 は、単独ではログインが要る。攻撃者は認証前の欠陥（CVE-2023-46805 と CVE-2025-20362）の後ろでこれらを使ったので、実際の連鎖ではログインは不要だった。Volexity は CVE-2024-3400 を「認証なしの遠隔コード実行」と呼び、CVE-2025-0282 の CVE レコードは「認証されていない遠隔の攻撃者」が使えると書く。
盗まれたセッションはすでに多要素認証を通っている
錠が開くと、機器は利用者にセッション Cookie を渡し、その写しをメモリに持つ。CitrixBleed（CVE-2023-4966）と CitrixBleed 2（CVE-2025-5777）はインターホンにある欠陥で、そのメモリの一部を Cookie ごと返してしまう。
| 手順 | 社員 | 攻撃者 |
|---|---|---|
| 1 | 錠でパスワードを入力する | — |
| 2 | 多要素認証に応答する | — |
| 3 | 機器がセッション Cookie を発行し、メモリに保持する | |
| 4 | VPN 越しに仕事をする | インターホンに要求を送る。メモリ読み出しの欠陥が Cookie を返す |
| 5 | — | Cookie を提示する。機器はログイン済みのセッションとして扱う |
出典: Mandiant（Google Cloud） Investigation of Session Hijacking via Citrix NetScaler ADC and Gateway Vulnerability (CVE-2023-4966)CISA・FBI・MS-ISAC・ASD's ACSC（共同） #StopRansomware: LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability (AA23-325A)
Mandiant によれば、有効な Cookie があれば、ユーザー名もパスワードも多要素認証のトークンや端末もなしにセッションを張れる。CISA と FBI は CitrixBleed を LockBit 3.0 の実行者と結び付けた。SonicWall の CVE-2024-53704 は認証回避で同じ結果に至り、CVE-2026-0257 では機器が偽造された認証オーバーライド Cookie を信用した。パッチ前に発行された Cookie は、セッションを終わらせるまでパッチ後の機器でも通る。Tenable の CitrixBleed 2 の解説は、更新後に有効なセッションを終了させるという Citrix の推奨を載せている。
出典: Mandiant（Google Cloud） Investigation of Session Hijacking via Citrix NetScaler ADC and Gateway Vulnerability (CVE-2023-4966)CISA・FBI・MS-ISAC・ASD's ACSC（共同） #StopRansomware: LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability (AA23-325A)Tenable CVE-2025-5777, CVE-2025-6543: Frequently Asked Questions About CitrixBleed 2 and Citrix NetScaler Exploitation
漏れたパスワードはパッチの後も使える
インターホンでファイルを読める欠陥は、機器に保存されたユーザー名とパスワードを渡してしまうことが多い。パッチは新たな読み出しを止めるが、写し取られたパスワードはそのまま使える。
| 日付 | 出来事 |
|---|---|
| 2019-05 | Fortinet が CVE-2018-13379 を修正。認証前のファイル読み出しで、平文のパスワードを含む SSL-VPN のセッションファイルが読める欠陥 |
| 2020-11-27 | JPCERT/CC が、影響を受けるホストの一覧が公開されたと注意喚起。「既に対応済みでも、アカウントのパスワード変更を実施することが推奨されます」 |
| 2021-09-08 | Fortinet が、FortiGate 8万7,000台分の SSL-VPN 接続情報が公開されたと発表。更新した機器でもパスワードを変えなければ危険が残ると警告 |
| 2021-10-31 | 半田病院がランサムウェアの被害に遭う。調査で、漏洩したデータに病院のアドレス、ID、パスワードが含まれていたことが確認された |
出典: Fortinet PSIRT Malicious Actor Discloses FortiGate SSL-VPN CredentialsJPCERT/CC Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)
CISA は2020年、Pulse Secure の認証情報を盗んだ攻撃者は、認証情報を変えない限り「パッチを当てた後も」ネットワーク内を動けると書いた。SonicWall は2025年、一連の侵入を CVE-2024-40766 と、機種移行の際に引き継がれ変更されていなかったローカルユーザーのパスワードに結び付けた。Check Point の CVE-2024-24919 への対処手順にもパスワードの変更が入っている。
出典: CISA（米国） Continued Threat Actor Exploitation Post Pulse Secure VPN Patching (AA20-107A)SonicWall Gen 7 and newer SonicWall Firewalls – SSLVPN Recent Threat ActivityHelp Net Security Check Point VPN zero-day exploited since beginning of April (CVE-2024-24919)
仕込まれたものは更新を越えて残る
侵入者が機器に足したものは、更新で消えるとは限らない。
| 製品 | 残ったもの | 何を越えて残ったか | 述べた機関 |
|---|---|---|---|
| FortiGate | SSL-VPN の言語ファイル用フォルダに置かれたシンボリックリンク。ファイルシステムを読み取り専用で見られる | 元の欠陥（CVE-2022-42475、CVE-2023-27997、CVE-2024-21762）を直した FortiOS への更新。2026年には CVE-2025-68686 がこの除去策を回避した | Fortinet、2025年4月10日と FG-IR-25-934 |
| FortiGate | 遠隔操作型マルウェア COATHANGER | 再起動とファームウェア更新。最新のパッチを当てた機器でも感染している可能性がある | オランダ MIVD・AIVD、2024年2月6日 |
| Ivanti Connect Secure | root 権限での潜伏。検査ツールが見逃した Web シェル | CISA の検証では工場出荷時への初期化 | CISA AA24-060B |
| Ivanti Connect Secure | マルウェア SPAWNANT と PHASEJAM | 本物の更新（新しい領域に自分を複製）、または管理者に見せかけた偽の更新 | Mandiant、2025年1月9日 |
| Cisco ASA | 書き換えられた ROM | 再起動とシステムの更新 | CISA ED 25-03 |
| Citrix NetScaler | CVE-2025-6543 で得たアクセス、Web シェル | 更新。攻撃者は以前に得たアクセスを保てると NCSC-NL は述べる | NCSC-NL、2025年8月13日 |
出典: Fortinet PSIRT Analysis of Threat Actor ActivityFortinet PSIRT SSL-VPN Symlink Persistence Patch Bypass (FG-IR-25-934)オランダ MIVD・AIVD（NCSC-NL 掲載） Ministry of Defence of the Netherlands uncovers COATHANGER, a stealthy Chinese FortiGate RAT (p.1, p.2 §3.1; p.1 (Wayback Machine capture of the NCSC-NL PDF of 2024-02-06; ncsc.nl no longer serves it))CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)Google Cloud（Mandiant） Ivanti Connect Secure VPN Targeted in New Zero-Day ExploitationCISA（米国） ED 25-03: Identify and Mitigate Potential Compromise of Cisco Devices (Background; Background; V1 update 2026-04-23)NCSC（オランダ） Casus: Citrix kwetsbaarheid
Ivanti の欠陥に対し、CISA の緊急指令 24-01 は連邦機関に、機器を切り離し、初期化して作り直し、機器上の証明書、鍵、パスワードをすべて失効させて再発行し、連携するドメインアカウントは侵害されたものとして扱うよう求めた。
出典: CISA（米国） ED 24-01: Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities (Supplemental Direction V2)
公表から悪用までは数日、多くは公表より前
公表後で最も速い例では、Citrix の公表から4日後の2026年3月27日に、watchTowr が既知の攻撃者のアドレスからの CVE-2026-3055 の悪用を確認している。CVE-2025-22457 は Ivanti が2025年2月11日に通常の不具合修正として直したもので、Mandiant は攻撃者が「おそらくパッチを分析し」、3月中旬には未更新の機器を攻撃していたとみている。CitrixBleed 2 では、CISA は連邦機関に1日の対応期限を課した。
| 項目 | 件数 |
|---|---|
| ベンダーの公表前から悪用（ゼロデイ） | 19 |
| 公表当日に悪用ありとして KEV に登録 | 11 |
| 出典によればパッチだけでは足りない | 17 |
| KEV のランサムウェア使用欄が「あり」 | 23 |
| 全行 | 31 |
出典: CISA（米国） Known Exploited Vulnerabilities Catalog (catalogVersion 2026.10.23; VPN/remote-access entries of the chapter 3 door schedule, bug class from NVD CWE and vendor advisories)watchTowr Labs Please, We Beg, Just One Weekend Free Of Appliances (Citrix NetScaler CVE-2026-3055 Memory Overread Part 2)Mandiant（Google Cloud） Suspected China-Nexus Threat Actor Actively Exploiting Critical Ivanti Connect Secure Vulnerability (CVE-2025-22457)BleepingComputer CISA tags Citrix Bleed 2 as exploited, gives agencies a day to patch
置き換え先の製品もエッジのソフトウェアである
ゼロトラストネットワークアクセス（ZTNA）製品は、VPN の置き換えとして売られることが多い。盗まれたログインで届く範囲はネットワーク全体からアプリケーション単位に狭まるが、そのゲートウェイもインターネットの境界に置かれたソフトウェアだ。
| 製品 | 影響を受けるバージョン | 役割 |
|---|---|---|
| Ivanti Connect Secure | 22.7R2.5 より前 | SSL VPN |
| Ivanti Policy Secure | 22.7R1.2 より前 | ネットワークアクセス制御 |
| Ivanti Neurons for ZTA gateways | 22.7R2.3 より前 | ZTNA ゲートウェイ |
出典: CVE Program CVE-2025-0282 (Description)Google Cloud（Mandiant） Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation
CVE レコードは、3製品にまたがるひとつのスタックバッファオーバーフローを、「認証されていない遠隔の攻撃者」が使えるものとして記述している。