概要 Adobeは、Magento Open SourceおよびAdobe Commerceに存在する最大深刻度(CVSS 10.0)のゼロデイ脆弱性CVE-2026-75650、通称「StyleSmuggler」に対する緊急パッチ(APSB26-146、社内管理番号VULN-39341)を公開した。Adobe自身が「悪用が確認されている」と認めているこの脆弱性は、認証なしで任意のPHPコードを実行できる深刻なもので、少なくとも9月4日から攻撃者によって実際に悪用され、サーバーへのバックドア設置に利用されていた。オランダのEコマースセキュリティ企業Sansecが攻撃を検知しており、同じくオランダのDisrexによれば、9月4日午後10時20分(UTC)の最初の悪用確認からわずか約50分後にバックドアを仕込まれたMagentoサーバーも確認されている。 攻撃の手口 攻撃者は、決済失敗時にリマインダーメールを描画するMagentoのテンプレート機能を悪用し、認証を経ずにPHPコードを注入していた。この手法により、少なくとも二種類のペイロードが確認されている。ひとつは外部の指令サーバーに接続するRust製のLinux向けバックドア、もうひとつは任意のPHPコマンドを実行できるWebシェルをドロップするPHP製のダウンローダーである。侵入後は永続的な足がかりを確保する目的とみられ、単なるデータ窃取にとどまらない継続的な不正アクセスのリスクが指摘されている。 影響範囲とAdobeの対応 影響を受けるのは、Adobe Commerce 2.4.4から2.4.9(2026年8月ビルド以前)、Adobe Commerce B2B 1.3.3から1.5.3、Magento Open Source 2.4.6から2.4.9の各バージョンである。米CISAはCVE-2026-75650を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関に対して9月11日までの対応を義務付けた。Adobeは管理者に対し、パッチ適用だけでなく暗号鍵のローテーションと全認証情報のリセットを強く推奨している。 なお今回のパッチは、Experience Manager(107件)やAcrobat Reader(32件)、ColdFusion(9件)などを含む170件超の脆弱性修正の一環として公開されたものである。ColdFusionのコード実行脆弱性CVE-2026-48273(CVSS 9.9)やCampaign Classicのコマンド注入CVE-2026-82004(CVSS 10.0)など、他にも最高レベルの深刻度を持つ脆弱性が同時に修正されており、Adobeは優先度1に分類される更新について3日以内の適用を推奨している。

概要 Microsoftは、投資家からの長年の要望を受け、クラウド事業Azureの実際の売上高を四半期ごとに開示すると発表した。2026年6月期(第4四半期)のAzure売上高は294億2,000万ドルで、前年同期比42%増。2026会計年度通期の累計売上高は1,000億ドルを突破し、Microsoft全体の売上高の約3分の1を占める規模に成長した。従来は成長率のみを公表し、具体的な金額を明かしてこなかったが、AWSを2015年から、Google Cloudを2020年から開示してきた競合2社に対し、開示の透明性で後れを取っていた形だった。 開示範囲とセグメント再編 新たな開示では、Azureの定義がこれまでの「Azureおよびその他のクラウドサービス」という広範なカテゴリから絞り込まれ、GitHubのクラウドサービスやSecurity Copilot、ヘルスケア関連製品などは対象から除外される。あわせて、Microsoftは2015年以来となる報告セグメントの大幅な再編も実施する。従来の3区分を、「Agents and Infra」と「Devices and Consumer」の2区分に統合する計画だ。Azureが含まれる「Agents and Infra」セグメントには、Microsoft 365 Cloudや生産性ツール、サーバーライセンス、業界向けソリューション、サポートサービスに加え、Microsoft 365 CopilotやGitHub Copilotコーディングエージェントといった一連のAIアシスタント製品も統合される。一方の「Devices and Consumer」には、Windowsライセンスや家庭用ゲーム機Xboxなどが含まれる見通しだ。 開示に至った背景 今回の方針転換は、AI関連投資が急拡大するなかで、投資家がクラウド事業の実態をより正確に把握したいという要望を強めていたことが背景にある。Microsoftはこれまでクラウド全体の成長率という形でしか実績を示しておらず、巨額の設備投資がAzure単体でどれだけの収益に結びついているかを外部から検証することが難しい状態が続いていた。新たなセグメント区分によって、AIエージェントや生成AI関連製品の収益貢献を「Agents and Infra」セグメント内でより明確に示せるようになり、投資家はMicrosoftのAI戦略の進捗をこれまでより具体的な数字で追えるようになる。 今後の展望 新たな報告体制は、2027会計年度第1四半期(7〜9月期)の決算発表から本格的に適用される予定で、これはMicrosoftにとって2015年以来となる主要な報告区分の刷新となる。Microsoftの見通しでは、次四半期の「Agents and Infra」セグメントの売上高は751億5,000万〜757億5,000万ドルとされており、Azure単体の伸びがこの新セグメント全体の業績をどこまで押し上げるかが今後の焦点になる。開示の透明性向上により、AI関連投資の収益化ペースを巡る投資家の評価がより精緻になることが見込まれる。

欧州最大級の資金調達 パリを拠点とするAI企業Mistral AIは9月8日、シリーズDラウンドで30億ユーロ(約35.8億ドル)を調達したと発表した。今回のラウンドはSamsung Electronicsが主導し、EQTが運用するScaleup Europe Fundと既存投資家のPSG Equityが共同リード投資家として参加した。新規投資家としてAdvent、BlackRock、ルクセンブルク大公国が加わり、a16z、ASML、General Catalyst、Lightspeed、Nvidia、Salesforce Venturesといった既存投資家も追加出資した。調達後の企業価値は210億ユーロ超に達し、欧州のテクノロジー企業としては過去最大級の資金調達規模とされる。1年前のシリーズC(ASML主導)時点での評価額117億ユーロから、大幅な増加となった。 「主権AI」需要を追い風に Mistralは、米国の技術依存に対する欧州の懸念を背景とした「主権AI(sovereign AI)」の担い手として自社を位置づけている。すでに20カ国で事業を展開し、Airbus、ASML、HSBCなど125社以上の企業顧客を抱える。フランスのマクロン大統領は今回のラウンドについて、フランスと韓国が「AIにおける第三の道を築く」取り組みを反映するものだと評した。オープンウェイトモデルを強みとする同社は、政府や企業が自国内でAI基盤を管理したいというニーズの高まりを追い風に、独立した欧州発のAI企業としての存在感を強めている。 インフラ投資と成長戦略 Mistralのアーサー・メンシュCEOによれば、調達資金はデータセンターの自社構築・保有および追加コンピューティング能力の賃借に充てられ、5年間で自社保有の計算能力を倍増させ、「より大規模で高速なモデル」を訓練する計画だという。同社はすでにNvidia GB300 GPUを13,800基搭載するパリのデータセンター向けに8億3000万ドルの負債による資金調達を実施済みで、スウェーデンでも12億ユーロ規模の施設を建設中だ。欧州における計算能力については、2027年末までに200メガワット、2030年までに1ギガワットの達成を目標に掲げている。また7月にはMicrosoftとの戦略的パートナーシップを大幅に拡大しており、クラウド統合を進めている。 業績と今後の展望 Mistralは年間経常収益(ARR)で年内に10億ドルを突破する見込みだとされ、事業規模の急拡大が資金調達の後押しとなった形だ。今回の大型調達により、OpenAIやAnthropicなど米国勢が主導するAI業界において、欧州発の独立系プレイヤーとしての競争力強化が期待される。今後はデータセンター投資の拡大とともに、政府機関や規制の厳しい業界向けにデータ主権を重視したAIソリューションの提供を加速させる見通しだ。

概要 恐喝グループShinyHuntersが、フロリダ州運輸安全・自動車局(FLHSMV)が運用する運転免許・車両情報データベース「DAVID」(Driver and Vehicle Information Database)への侵入を主張し、20万件超の記録を窃取したとリークサイト上で公表した。同グループは9月7日にこの侵害を掲載し、9月11日までにFLHSMVが交渉に応じなければ、盗んだとするデータを公開すると脅迫している。CyberInsiderによると、9月8日時点でFLHSMVはこの主張について公式な確認を出していない。 侵入の手口と証拠として公開されたデータ ShinyHuntersがBleepingComputerに語った内容によれば、侵入経路はパスワードリセット機能の欠陥だったという。この欠陥を悪用してDMV職員および州の自動車ポータルにアクセス権を持つFBI捜査官のアカウントを乗っ取り、DAVIDへの正規アクセス権限を獲得したと主張している。DAVIDには運転免許申請情報、顔写真、署名、住所、車両履歴、保険情報などが格納されており、法執行機関や州職員がドライバー情報を照会する際に利用するシステムである。 侵害の証拠として、同グループはジェフリー・エプスタインの運転免許記録とされるスクリーンショットを公開した。この記録には住所、社会保障番号、生年月日、運転免許ID、発行・有効期限日、登録車両情報まで含まれていたとされる。ただし、CyberInsiderをはじめとする報道各社は、表示された記録の真正性やデータがFLHSMVからの直接的な侵害によるものかを独自に検証できていないとしている。 対応状況と今後の見通し ShinyHuntersは、FLHSMVがこれまで交渉に応じていないと主張しており、9月11日の期限を過ぎた場合はデータの公開に踏み切る構えを見せている。FLHSMV側からの公式な侵害確認は本稿執筆時点で出されておらず、実際の被害範囲や侵害の事実関係は依然として不透明だ。なお、この一件は過去にIDScan.netから運転免許スキャン画像1億5,300万件が流出した事案とは無関係の、別の侵害主張である点に注意が必要となる。ShinyHuntersは近年、大手企業や公共機関を狙った同種の恐喝キャンペーンを繰り返しており、今回も同様の手口で身代金や交渉を引き出そうとしている可能性が高い。

概要 JavaScript/TypeScript向けテストフレームワークVitestは9月3日、メジャーバージョン5.0を正式リリースした。今回のリリースはパフォーマンスの底上げに主眼が置かれており、大規模な独立実行スイートで最大19%、ブラウザモードでのコンポーネントテストで最大18%、全体では最大53%の実行速度向上を達成したとしている。コアチームおよび790名を超えるコントリビューターによる共同作業の成果であり、VladimirとHiroshiの両氏はVoidZeroでVitestの開発にフルタイムで従事し、Ari氏はChromaticの支援を受けているという。開発資金はGitHub SponsorsとOpen Collectiveを通じて集められている。 パフォーマンス改善の内訳 高速化は複数の施策の組み合わせで実現された。vmThreadsやvmForksといったVMプールはコンテキスト間でコンパイル済みコードを再利用し、モジュールグラフを事前にウォームアップするようになった。同一のVite設定を使うインラインプロジェクトは単一のViteサーバーを共有するようになり、新設されたfsModuleCacheオプションはトランスパイル済みモジュールをディスク上に永続化して再実行間で使い回せるようにする。ブラウザモードについてもプリバンドルされたランタイム、アダプティブなブラウザセッションの起動、ファイルごとのラウンドトリップ削減などにより高速化した。加えて、バンドルする依存関係を絞り込むことでnode_modulesのサイズと解決時間を縮小したほか、カバレッジ計測に使うv8プロバイダーもメモリ使用量に上限を設けたマージ処理と事前コンパイル済みのglobパターンにより改善されている。 新機能 ブラウザモード向けには、テスト中のあらゆる操作・アサーション・DOMスナップショットを記録してステップごとに再生できる「トレースビュー」が追加され、ブラウザUI・Vitest UI・HTMLレポーターのいずれからも参照できる。条件付きモックを簡潔に書けるvi.when APIも新設され、引数は深い等価比較で照合されるほか、expect.any()のような非対称マッチャーもサポートする。ベンチマーク機能も刷新され、benchはトップレベルのインポートからテストコンテキストのフィクスチャへと移行し、フィクスチャやフック、リトライ、アサーションをベンチマークファイル内で利用できるようになった。このほか、ネストしたプロジェクトと設定の継承、expect.pollのタイムアウト時の失敗化などアサーションの厳格化、ロケーター失敗時にHTMLと並べてARIAスナップショットを表示するブラウザモードのエラー改善、Fakeタイマーによる Temporal API のモック対応なども盛り込まれた。 開発体験の向上と破壊的変更 開発体験面では、テストの実行順序への依存を防ぐためclearMocksがデフォルトで有効化されたほか、HTMLレポートやJSON、JUnit、添付ファイル、トレースなどの出力を.vitestディレクトリに統一。単一ファイルで完結するHTMLレポートを生成するsingleFileオプション、フレーキーテストを検出するための--repeats CLIオプション、パフォーマンス最適化を提案するvitest doctorコマンドなども追加された。一方でVite 6.4.0以上、Node.js 22.12.0以上が必須となり、ロケーターはデフォルトで厳格モードになるなど複数の破壊的変更が含まれるため、移行にあたっては公式のMigration Guideの確認が推奨されている。

概要 ASMLは9月8日、Intel Foundry、TSMC、Samsung Electronicsとの共同声明を発表し、半導体業界が数十年にわたり使い続けてきた6インチ(150mm)フォトマスクから、12インチ(300mm)フォトマスクへ移行する計画を明らかにした。対象となるのは、微細化と大面積露光を両立する次世代露光装置「High NA EUV」だ。AIアクセラレータなど巨大化するチップの製造を単発露光で完結させ、生産性を最大4割高めることを目指す。競合関係にあるTSMC、Samsung、Intelという3大ファウンダリが揃って支持を表明したことは、業界全体でこの規格転換に踏み切る強い意志を示している。 なぜ12インチマスクが必要なのか High NA EUVは、従来のEUV露光装置よりも微細なパターンを解像できる一方、非対称(アナモルフィック)光学系を採用しているため、1回の露光で露光できる面積は従来世代の装置のおよそ半分に縮小されてしまうという技術的な制約を抱える。ところが、NvidiaやGoogleが設計するようなAIプロセッサはすでに面積約800平方ミリメートルに達し、High NA EUVの露光可能面積の上限に突き当たっている。現状の6インチマスクのままでは、こうした大型チップは複数回の露光をつなぎ合わせる「スティッチング」が必要になり、つなぎ目が歩留まりやスループットを損なう要因となっていた。マスクサイズを倍にする12インチ化によってこのつなぎ目を解消し、単発露光で大型チップを製造できるようにするのが今回の取り組みの核心だ。ASMLの最高技術責任者(CTO)であるMarco Pieters氏は「業界としてこれをやり遂げられれば、装置の生産性は実際に40%向上するだろう」と述べており、同じ生産量をより少ない台数の装置でまかなえるようになるとしている。 導入スケジュールと業界の温度差 今回の移行は一朝一夕には進まない長期計画だ。TSMCは2030年に、既存の6インチマスクを用いたHigh NA EUVの量産を先行させる方針で、TSMCの最高経営責任者(CEO)C.C. Wei氏は、技術革新を維持しつつ業界全体での導入障壁を下げることの重要性を強調した。12インチマスクについては2031年にパイロットラインを構築し、2033年ごろに先端ノードでの量産投入を見込む。一方、Samsungは2028年までにDRAM生産へのHigh NA EUV導入を目標としており、SK Hynixも同様の時期を見据えてコンソーシアムへの参加を検討していると報じられている。Intelはすでに High NA EUVで製造したノートPC向けプロセッサの出荷を始めており、先行者としての立場にある。1台あたり約4億ドルにも上るHigh NA EUV装置への投資は、AIチップ需要の拡大が今後も続くという業界共通の見立てに基づく、10年規模の協調的な資本投下と位置づけられる。 今後の展望 12インチマスクへの移行は、装置メーカーであるASMLとマスク製造・検査を担うサプライチェーン全体、さらにTSMC、Samsung、Intelという競合するファウンダリ各社が同時に足並みを揃える必要がある、業界横断的な規格転換だ。実用化まで2033年前後を見込む長期プロジェクトである一方、AIチップの大型化・高性能化がとどまる兆しはなく、露光技術のボトルネックを早期に解消できるかどうかは、今後の半導体サプライチェーン全体の生産能力とコスト構造を左右する重要な分岐点になるとみられる。

概要 GitHubは9月4日、コーディングタスクの内容に応じて複数のAIモデルを自動的に組み合わせて実行する研究プレビュー機能「Project HydraFusion」を発表した。GitHub Copilot CLIの/experimentalコマンドから、全てのCopilotプランのユーザーが利用できる。開発者がモデルを個別に選ぶ必要はなく、プラットフォーム側がタスクの複雑さを判断してモデル選択と処理方式を自律的に決定する仕組みだ。背景には、単純なタスクに高価な最上位モデルを使うのは非効率だが、複雑な要求には十分な性能が必要という、AI活用における根本的なトレードオフがある。 3つの実行パターンによるオーケストレーション HydraFusionはモデル選択を最適化問題として扱い、リクエストごとに3つの実行パターンから最適なものを選ぶ。単一モデルがそのままタスクを解く「Single」、効率的なモデルがまず下書きを作成し品質ゲートが合否を判定して必要な場合のみ上位モデルにエスカレーションする「Cascade」、あるモデルの下書きを別のモデルが独立してレビューし元のモデルが一度だけ修正する「Critique」の3方式である。推論力・コード生成力・デバッグ能力・ツール利用能力などの指標をもとに、最も効率的なパターンが自動選択される。設計にあたっては、全工程のコストを漏れなく計上すること、タイムアウトと処理中断を明確に定義すること、レビュー用の処理をツールへのアクセスを持たない隔離された環境で実行すること（一方でソルバー用の処理は通常の共有ワークスペースと権限管理下のエージェントループを使う）、未完成な変更が誤って適用されないようフェイルセーフを備えること、実行前にルーティング定義を検証することという5つの原則が掲げられている。Microsoftのプリンシパルソフトウェアエンジニアは「これまでのところ、(HydraFusionの)推論力とタスク解決能力はOpusと同等かそれ以上だ」とコメントしている。 ベンチマーク結果と現状の制約 Claude Opus 5単体をベースラインとした3つのエージェント型コーディングベンチマークでの検証では、TerminalBench 2.1でコストを67%削減しつつ成功率を4.9ポイント改善、CheckpointBenchではコストを65%削減しつつ品質はほぼ横ばい(-0.1ポイント)、DeepSWEではコストを36%削減した一方で品質は1.5ポイント低下という結果になった。ベンチマークによって品質への影響が異なる点は、オーケストレーションの効果がタスクの性質に左右されることを示している。現時点では単発プロンプトによる一回完結型のタスクに最適化されており、複数ターンにわたる対話的なタスクでの性能最適化は今後の課題とされる。なお、処理途中の下書きは未完成な状態のまま表示されることを避けるため、最終的な結果がまとまるまでユーザーには公開されない。料金体系は、オーケストレーションされた各モデルが実際に消費したトークン数に応じて、それぞれの標準料金で課金される。 今後の展望 GitHubはHydraFusionを継続的な研究プロジェクトと位置づけており、Copilotに新しいモデルが追加されるたびに評価対象へ組み込み、システムの能力を発展させていく方針だ。研究プレビュー段階であるため、フィードバックを踏まえて挙動やワークフローが今後変更される可能性がある。

概要 Googleは9月4日、Androidスマートフォン・タブレット、Wear OS搭載スマートウォッチ、ヘッドフォン、Android Auto搭載車において、Googleアシスタントの提供を段階的に終了し、Geminiへの切り替えを開始した。展開は数週間かけて全ユーザーに行われる見込みで、8月の正式発表を経て実際のロールアウトが始まった形となる。当初は2025年中の移行が計画されていたが、2026年へと延期されていた経緯がある。 移行の仕組みと対象範囲 今回の切り替えは段階的な併存ではなく、完全な置き換えとして実施される点が特徴的だ。Googleは対象ユーザーにメールで通知を送っており、一度Geminiへの移行が完了すると、従来のGoogleアシスタントに戻すオプションは提供されない。現時点ではAndroidスマートフォン・タブレット、Wear OS、ヘッドフォン、Android Auto搭載車が対象だが、今後はGoogle TV、Google Homeスピーカー、スマートディスプレイにも展開される予定だ。なお「Google built-in」を搭載する車種については、当面Googleアシスタントが維持される。 懸念点と今後の展望 一方で、確率的な大規模言語モデルであるGeminiが、スマートホームの操作や電話の基本機能といった定型タスクにおいて、ルールベースで動作してきたGoogleアシスタントと同等の確実性を発揮できるかは不透明だとの指摘もある。今回の移行は、ルールベースのアシスタントから生成AIへという根本的な転換を意味しており、GoogleがAIアシスタント基盤をGeminiに一本化する戦略の一環と位置づけられる。日常的な操作性が維持されるかどうか、今後のユーザーの反応が注目される。

概要 Microsoftは9月の月例セキュリティ更新(Patch Tuesday)で、過去最大規模となる脆弱性の修正を公開した。件数は報道元によって966件から974件までばらつきがあるが、いずれにせよ月間の修正件数として900件の大台を初めて超えた計算になる。2026年の年間累計修正件数はすでに2,600件を突破しており、これまでの記録だった2020年の約2倍のペースだという。今回のリリースで特に注目されるのは、実際の攻撃で悪用が確認されているゼロデイ脆弱性が2件含まれている点で、CISA(米サイバーセキュリティ・インフラセキュリティ庁)は連邦機関に対し9月22日までの対応を義務付けている。 内訳を見ると、Windows関連が723件と全体の大半を占め、Officeスイートが222件(うちOffice 2016単体で111件)、SQL Serverが62件、開発者ツールが22件、SharePoint Serverが16件、Azureが12件、Skype for Businessが10件、Exchange Serverが9件と続く。深刻度別ではCritical(緊急)評価が105件におよび、このうちリモートコード実行(RCE)が81件、権限昇格が20件を占める。全体でもRCEが258件、権限昇格が438件と多数を占めており、認証やユーザー操作なしに悪用可能な「ワーム化可能」な脆弱性も20件含まれているとされる。 悪用済みゼロデイの詳細 1件目のCVE-2026-81963は、Windows Update Stackにおける権限昇格の脆弱性で、ファイルアクセス前のリンク解決を適切に処理していないことが原因とされる。攻撃者はこれを悪用してSYSTEM権限を取得できる。Windows Update Stackでゼロデイが報告されるのは過去5年間で初めてであり、更新の仕組みそのものを制御する経路が突かれた点で影響が大きいとの指摘がある。発見はMicrosoft Threat Intelligence Centre(MSTIC)のRomain Deperne氏によるものだ。 2件目のCVE-2026-85880は、Windows ALPC(Advanced Local Procedure Call)におけるヒープベースのバッファオーバーフローで、こちらも悪用によりSYSTEM権限への昇格が可能となる。低権限のAppContainerサンドボックス内で実行されるコードを持つ攻撃者が、サンドボックスをエスケープする手段として悪用できるとされ、ALPC関連のゼロデイとしては2023年1月以来2番目の事例となる。発見にはVolexity、Mark Kelly氏、David Galazin氏、およびProofpointのJeremy Hedges氏が関わったと報告されている。両脆弱性とも権限昇格にとどまり単独でのリモート侵入には使えないが、フィッシングなどで初期アクセスを得た攻撃者が権限を拡大する段階で悪用される典型的な組み合わせとされ、CISAはこの2件を既知の悪用脆弱性(KEV)カタログに追加した。 その他の注目すべき脆弱性 ゼロデイ以外にもCritical評価の脆弱性が多数含まれる。Graphics Fontsの解析処理に起因するRCE(CVE-2026-72986、CVE-2026-73018)、IP HelperサービスのRCE(CVE-2026-72981)のほか、Excel・Outlook・PowerPoint・Wordといった主要Officeアプリケーションにも複数のCritical RCEが存在する。セキュリティ研究者のDustin Childs氏は、Exchange ServerのRCE(CVE-2026-55007)、Microsoft Authenticatorの権限昇格(CVE-2026-80097)、SharePointのRCE(CVE-2026-69465)、Remote Desktop ServicesのRCE(CVE-2026-69525)を優先対応すべき脆弱性として挙げている。特にExchange ServerやSharePoint Serverはインターネットに公開されるケースが多く、企業のメールやドキュメント基盤に直結するため注意が必要だ。 件数急増の背景と専門家の見解 今回の修正件数の急増は、Microsoftが脆弱性発見にAIを活用する取り組みを進めていることが一因とされる。直近の月別件数は7月が570件、8月が400件だったのに対し、9月は966件前後まで跳ね上がった。もっともTenableのSatnam Narang氏は、「脆弱性の絶対数は増えているが、実際に大多数の組織へ影響する脆弱性の数はさほど変わらない。AI支援による発見は『干し草の山』を大きくしているだけで、必ずしも『針』を多く見つけているわけではない」と指摘する。一方でFortraのTyler Reguly氏は、大量のパッチ公開は「ベンダーが攻撃対象領域を積極的に縮小しようとしている表れ」だとしつつ、管理者にはリスクの実態に基づいた優先順位付けが不可欠だと強調している。件数の膨張が続く中、まずはゼロデイとCritical評価のRCE・権限昇格から適用を進め、インターネットに露出したExchangeやSharePointなどの基盤を優先的に検証することが求められる。

概要 SonicWallは9月2日、リモートアクセス製品「SMA 1000」シリーズに存在する2件のゼロデイ脆弱性が実際の攻撃で悪用されていると警告した。CVE-2026-83548はAppliance Work Placeインターフェースにおける認証前SSRF(Server-Side Request Forgery)で、CVSSスコアは最大値の10.0。もう一方のCVE-2026-83549はAppliance Management Console(AMC)におけるOSコマンドインジェクションで、CVSSは7.8とされている。SonicWallによれば攻撃者はこの2つを連鎖的に組み合わせ、任意のコードを標的機器上で実行しているといい、事実上「無認証のリモートコード実行」に相当する深刻な状況となっている。 攻撃チェーンの仕組みと技術的詳細 CVE-2026-83548は、認証を経ずにリモートからアクセス可能なSSRFの欠陥で、攻撃者はこれを足がかりに機密性の高い内部機能へのアクセスや不正操作を行える。単体では認証前に悪用できる強力な脆弱性だが、SonicWallの説明では、これに管理コンソール側のOSコマンドインジェクションであるCVE-2026-83549を組み合わせることで、任意のOSコマンドを実行できる状態に至るという。CVE-2026-83549自体は本来、管理者権限を持つ攻撃者による悪用を前提とした脆弱性だが、SSRFを起点に権限確認の壁を回避・迂回する形で連鎖利用されているとみられる。SonicWallは自社の内部検知でこの攻撃を把握したとしており、具体的な侵害指標(IOC)は本稿執筆時点で公開されていない。 影響範囲と推奨対応 影響を受けるのはSMA1000シリーズのモデル6210、7210、8200vで、バージョン12.4.3-03453以前および12.5.0-02835以前が対象。SonicWallのファイアウォール上で動作するSSL-VPN機能や、別製品であるSMA100シリーズはこの脆弱性の対象外となっている。セキュリティ団体Shadowserverの観測では、インターネットに公開されたSMA1000機器が400台以上確認されているという。SonicWallは修正版である12.4.3-03526および12.5.0-02952への即時アップグレードを強く呼びかけるとともに、侵害の兆候が見られる機器については再イメージ化、全ユーザー・管理者パスワードのリセット、TOTPトークンの再発行を推奨している。なお、SMA1000シリーズでは2025年12月以降、今回で3件目のゼロデイ悪用事案となる。7月にはCVE-2026-15409およびCVE-2026-15410が修正されたばかりで、この2件はその後CISAによりランサムウェアグループによる悪用も確認されている。さらに2025年12月にもroot権限奪取を目的とした攻撃で悪用されたCVE-2025-40602が発覚しており、同シリーズが攻撃者から継続的に狙われている実態が浮き彫りになっている。