2026 年 11 月 2 日は、脅威の状況があらゆるセキュリティチームに対して一時停止、トリアージ、そして緊急対応を求める週となっています。本日、4 つの異なるが主題的に関連したストーリーが浮上しました。いずれも単一の危険なパターン、つまり暗号的欠陥、脆弱性の連鎖、またはクライアントサイドインジェクションを通じた攻撃者による認証の完全バイパスを中心としています。広く展開されているエンタープライズプラットフォームで複数の緊急度の高い問題が同時に発生すると、防御担当者が注意を分散させすぎるリスクが現実のものとなります。優先順位付けがすべてです。

最も運用上緊急性の高いストーリーは Ivanti Connect Secure に関するものです。CVE-2026-111357 と CVE-2026-118527 の 2 つの脆弱性が CISA の既知悪用脆弱性 (KEV) カタログに追加され、実際の悪用が確認されています。CVE-2026-111357 は重要な機能に対する認証欠如の欠陥であり、CVE-2026-118527 は予測可能な数値または識別子の生成に関するもので、攻撃者が秘密であるべき値を推測または再現できる脆弱性クラスです。脅威アクターはこれらの欠陥を少なくとも 1 つの追加脆弱性と連鎖させ、影響を受けるアプライアンスへの未認証ルートアクセスを達成しています。VPN ゲートウェイおよびリモートアクセスコンセントレーターは、境界に位置し、一度侵害されると攻撃者にネットワーク内部への信頼された足がかりを与えるため、高価値なターゲットです。Ivanti Connect Secure を運用しているすべての組織は、これを通常のパッチサイクルではなく、アクティブなインシデントレスポンスシナリオとして扱わなければなりません。

Canonical の LXD コンテナハイパーバイザーおよび MicroCloud プラットフォームには、これらの技術が展開されている環境で同等の注意を要する個別の CVSS 10.0 の欠陥があります。この脆弱性により、ネットワーク経由で HTTPS API に到達でき、信頼されたクライアントの公開証明書のみを所持している攻撃者、つまり対応する秘密鍵を持たない攻撃者が、その信頼されたクライアントとして認証できます。これは相互 TLS 認証の根本的な前提、つまり証明書の所持だけでは秘密鍵なしには意味がないという前提を破るものです。実際には、公開証明書は秘密鍵ほど慎重に管理されていないことが多く、マルチテナントまたはクラウドネイティブ環境では現実的な攻撃経路となります。悪用に成功すると、攻撃者はなりすましたクライアントと同じ管理者権限を取得し、コンテナエスケープ、ラテラルムーブメント、インフラストラクチャの乗っ取りが可能になります。

GitLab Community Edition および Enterprise Edition も本日、CVE-2026-97229 という整数オーバーフローまたはラップアラウンドの脆弱性が CISA KEV リストに追加され、注目を集めています。ソースコード管理プラットフォームにおける整数オーバーフローの欠陥は特に危険です。GitLab インスタンスにはソースコード、CI/CD パイプラインのシークレット、デプロイキー、および下流インフラストラクチャへのアクセストークンが頻繁に保存されているためです。悪用可能な整数オーバーフローは、アプリケーション内の欠陥の位置によって、メモリ破損、権限昇格、または任意コード実行につながる可能性があります。セルフホスト型の GitLab インスタンスを運用している組織は、これを優先パッチとして扱い、最近のパイプラインアクティビティに異常がないか監査すべきです。

最後に、ChatGPT の共有リンク機能におけるクライアントサイドの脆弱性により、攻撃者が被害者のブラウザセッション内で任意のコードを実行し、プライベートな会話履歴を読み取ることが可能でした。OpenAI は 10 月 26 日にこれにパッチを適用しましたが、この開示は AI 生産性ツールが今やエンタープライズの攻撃対象領域の一部であることを改めて示すものです。ChatGPT のリンクを社内外で共有していた従業員は、パッチ適用前に影響を受けた可能性があります。セキュリティリーダーは、影響を受けたユーザーの ChatGPT セッションで機密情報が議論されていなかったか評価し、AI ツールの許容使用ポリシーを見直すべきです。

本日のチームへの防御上の優先事項：

- CVE-2026-111357 および CVE-2026-118527 について Ivanti Connect Secure に直ちにパッチを適用してください。数時間以内にパッチ適用ができない場合は、影響を受けるアプライアンスをインターネットから隔離し、VPN ログで異常な認証イベント、予期しないセッション作成、または異常な地理的位置からのアクセスを確認してください。
- CISA KEV への掲載は環境内で既に悪用が発生している可能性を示唆するため、パッチ適用の前後に Ivanti アプライアンスの侵害の痕跡 (IoC) を調査してください。
- LXD および MicroCloud API エンドポイント周辺のネットワークアクセス制御を監査し、API の到達可能性を明示的に信頼された管理ネットワークのみに制限し、転送中に公開または記録された可能性のある証明書をローテーションしてください。
- CVE-2026-97229 の GitLab パッチを適用し、CI/CD パイプラインログ、リポジトリアクセスログ、および最近作成されたトークンやデプロイキーに不正アクティビティの兆候がないか確認してください。
- 10 月 26 日以前に機密情報を含む ChatGPT リンクを共有した可能性のあるユーザーに通知し、明示的なポリシー承認なしに機密データを外部 AI プラットフォームに入力しないよう従業員に周知してください。
- SIEM でこれらのイベントを相関させてください。VPN ゲートウェイを侵害した攻撃者は GitLab などの内部開発者ツールに迅速にピボットすることが多いため、検知は境界システムと内部システムの両方にまたがる必要があります。
- 侵害されたリモートアクセスアプライアンスが追加の認証チェックポイントなしにコンテナ管理 API やソースコードリポジトリに直接到達できないよう、ネットワークセグメンテーションを徹底してください。

4 つのストーリーに共通するのは、認証レイヤーで信頼の前提が破られているという点です。VPN アプライアンス、コンテナ API、コードプラットフォーム、ブラウザセッションのいずれであっても、攻撃者は信頼モデルの完全な要件を満たさずに正規ユーザーとして振る舞う方法を見つけています。ゼロトラストアーキテクチャ、最小権限アクセス、そして積極的なパッチ適用サイクルが最も効果的な対策であり続けます。

このブリーフィングは情報提供を目的としており、公式のベンダーアドバイザリや CISA のガイダンスに代わるものではありません。権威ある修復手順については、Canonical、Ivanti、GitLab、および OpenAI に直接お問い合わせください。