2026年10月30日、CISA は CVE-2026-111357 を既知の悪用された脆弱性（KEV）カタログに追加し、米連邦機関に11月2日までの対応を求めました。公開されている KEV 追跡情報では、CVE-2026-118527 も同日に追加されています。いずれも Volexity が10月13日に公表した Ivanti Connect Secure の攻撃チェーンの一部で、同日に KEV 入りした CVE-2026-104935 と組み合わせて悪用されました。
10月にパッチを当てた組織も要注意な理由：Volexity によると、UTA0576 と呼ばれる攻撃者は少なくとも10月3日から、当時最新だった 22.8R2.4 の機器に対してこのチェーンを使い、ログインなしで root 権限のコード実行に成功していました。10月13日のリリース（22.8R2.5、25.1.1.2、25.1.3.0、25.1.3.1）は認証回避とコード実行部分を修正しましたが、権限昇格は未修正でした。dsinvoked ブローカーが DSCache の設定データを信頼してしまうこの脆弱性（CVE-2026-111357）は、Volexity によれば10月29日にようやく修正されました。NVD のデータでは 22.8R2〜22.8R2.5 と 25.1.1.3 未満の 25.1 系が影響を受けるとされています。
評価は分かれています：CVE-2026-111357 は Ivanti が 8.8、MITRE が 7.0（ローカル、攻撃条件の複雑さ高）と評価しています。CVE-2026-118527 は、Ivanti の情報を引用した投稿によると認証済み攻撃者によるファイルアップロードの脆弱性で、スコアは 4.3 です。確認時点では公式の CVE 詳細はまだ公開されていませんでした。
攻撃者の行動：Volexity によると、UTA0576 は機器に保存された LDAP 認証情報を窃取し、Active Directory で LAPS パスワードや BitLocker 回復キーを探索、パスワードスプレーや Kerberoasting を行い、データを持ち出したうえで該当するログを消去しました。Ivanti は影響を「限られた数の顧客」としており、Volexity が確認した被害は1件です。Volexity は、Ivanti の Integrity Checker では侵害を検知できない可能性があると警告しています。
