Security

概要 Ciscoは2026年4月1〜2日、Integrated Management Controller（IMC）にCVSSベーススコア9.8の重大な認証バイパス脆弱性（CVE-2026-20093）が存在することを公表し、対処するパッチをリリースした。CVSSベクター CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H が示す通り、ネットワーク越しに低い攻撃複雑度で、認証も利用者操作も不要で悪用できる最高水準の危険度を持つ。 脆弱性はIMCのウェブ管理インターフェースにおけるパスワード変更リクエストの**不適切な入力検証（CWE-20）**に起因する。攻撃者は細工したHTTPリクエストを送信するだけで認証を完全に回避し、管理者アカウントを含む任意ユーザーのパスワードを変更した上でシステムへのフルアクセスを取得できる。Ciscoは公式声明で「攻撃者は認証をバイパスし、管理者ユーザーを含むシステム上の任意ユーザーのパスワードを変更してそのユーザーとしてシステムへアクセスできる」と述べている。 なぜ特に危険なのか IMC（別名CIMC）はHPのiLOやDellのiDRACに相当するCiscoのアウトオブバンドサーバー管理コントローラーである。ホストOSとは独立して動作するため、サーバーOSの電源がオフの状態でも攻撃が成立する。このレイヤーを侵害された場合、EDRやSIEM、OSレベルのセキュリティ対策はほぼ無力化され、ハードウェアへの永続的かつ深いアクセスを攻撃者に与えることになる。 SOCRadarのCISOであるEnsar Seker氏は「このレベルでの認証バイパスは、攻撃者にハードウェア自体の完全な管理権限を渡すことに等しい」とコメントしている。過去にはHPE iLOを標的としたiLOBleedインプラント（2022年）やIPMIインターフェースを狙ったJungleSecランサムウェア（2018年）など、アウトオブバンド管理インターフェースへの攻撃が現実の被害を生じさせた前例がある。 影響を受ける製品とパッチバージョン 以下の製品が影響を受ける（括弧内は修正済みバージョン）： 5000シリーズ ENCS（Enterprise Network Compute Systems） — 4.15.5以降 Catalyst 8300シリーズ Edge uCPE — 4.18.3以降 UCS C-Series M5・M6ラックサーバー（スタンドアロンモード） — 4.3(2.260007)、4.3(6.260017)、または6.0(1.250174)以降 UCS E-Series M3サーバー — 3.2.17以降 UCS E-Series M6サーバー — 4.15.3以降 また、UCS C-Seriesハードウェアをベースとした以下のCiscoアプライアンスも影響を受ける：Application Policy Infrastructure Controller（APIC）サーバー、Cyber Vision Centerアプライアンス、Secure Firewall Management Centerアプライアンス、Malware Analyticsアプライアンス。 対応と推奨事項 Ciscoはこの脆弱性に対してワークアラウンドは存在しないと明言しており、唯一の対策はパッチ適用済みバージョンへのアップグレードである。ネットワークレベルの緩和策も効果がないとされるため、影響を受ける製品を利用している組織は即時のアップグレードが強く推奨される。 なお、同じCiscoのアドバイザリ群では、Cisco Smart Software Manager（SSM）On-Premにも同じくCVSS 9.8のCVE-2026-20160が修正されており、こちらは未認証のリモートコード実行が可能な内部API露出に起因する。現時点では野生での悪用やPoC公開の報告はないが、Cisco脆弱性の迅速な武器化という過去の傾向から、Cisco PSIRTは即時パッチ適用を強く勧告している。本脆弱性はセキュリティ研究者「jyh」によって発見・報告された。

概要 2026年3月、GoogleのThreat Intelligence Group（GTIG）、Lookout、iVerifyの研究者が協力し、iOS向けの高度なエクスプロイトキット「DarkSword」を公表した。このマルウェアは少なくとも2025年11月から活動を確認されており、iOS 18.4〜18.7を搭載した未パッチのiPhoneを標的にする。ウォレータホール攻撃（水飲み場攻撃）と呼ばれる手法で、正規の侵害済みWebサイトを経由して配布され、ユーザーがアプリをインストールしたりリンクをクリックしたりしなくても、脆弱なiPhoneで該当サイトを訪れるだけで感染が成立する点が特に危険視されている。 Appleはすべての対象バージョンにパッチを提供済みで、iOS 15〜26向けにセキュリティアップデートを展開。しかし推定2億2,000万〜2億7,000万台のiPhoneが依然としてiOS 18系の未パッチ状態のまま残っているとされており、広範なリスクが続いている。 攻撃の仕組みと技術的詳細 DarkSwordは6つのCVE（CVE-2025-31277、CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520）を連鎖的に悪用する多段階のエクスプロイトチェーンで構成される。 攻撃はstatic[.]cdncounter[.]netから読み込まれるJavaScriptによるデバイスフィンガープリンティングから始まる。続いてSafariのJavaScriptCore JIT脆弱性を悪用してリモートコード実行（RCE）を達成し、GPUプロセスを経由してサンドボックスを脱出、さらにXNUカーネルのAppleM2ScalerCSCDriverを標的にした特権昇格を行うことでカーネルレベルのアクセス権を確立する。メインオーケストレーターコンポーネントpe_main.jsが各段階を制御し、JavaScriptエンジンをiOSの特権サービスに注入する仕組みとなっている。 暗号資産ウォレットへの脅威 侵害後は「GHOSTBLADE」と呼ばれるモジュールが展開され、以下の機密データを組織的に窃取する。 暗号資産ウォレット: Coinbase、Binance、Kraken、KuCoin、OKX、Mexcなど主要取引所のアプリ、およびLedger、Trezor、MetaMask、Exodus、Uniswap、Phantom、Gnosis Safeなどウォレットアプリのデータ（30以上のアプリに対応） キーチェーンデータ: パスワード、Wi-Fiパスワード、ネットワーク設定 メッセージ: SMS、Telegram、WhatsAppのデータベース その他: ブラウザ履歴、連絡先、位置情報履歴、写真、デバイス識別子 データ窃取が完了すると、DarkSwordは自ら一時ファイルや悪意あるプロセスを削除して痕跡を消去する自己クリーンアップ機能を持ち、フォレンジック調査を困難にしている。 地政学的背景と攻撃者 DarkSwordは国家レベルの攻撃者を含む複数の脅威アクターによって使用されており、ロシアの諜報機関と関連するとされるUNC6353グループによるウクライナユーザーへの攻撃が確認されている。そのほか、サウジアラビア、トルコ、マレーシアでの攻撃も観測されており、アジア太平洋地域を含む広範な地域に脅威が及んでいる。 推奨される対策 Appleは脆弱なすべてのiOSバージョンに対してパッチを提供済みであるため、即座にiOSを最新版に更新することが最善の対策となる。iOS 17以降はメモリ整合性強制（Memory Integrity Enforcement）機能が標準搭載されており、エクスプロイトの成功を困難にする。また、ロックダウンモードを有効化することで追加の保護が得られるとされている。暗号資産を保有するユーザーは、端末の更新とともに重要な秘密鍵をハードウェアウォレットへ移行するなどの対策も検討すべきだ。

概要 McAfeeのモバイルセキュリティ研究チームは2026年4月1日、「Operation NoVoice」と名付けられたAndroidルートキットキャンペーンの詳細を公表した。このマルウェアはGoogle Play上でクリーナーアプリ、画像ギャラリー、ゲームなどに偽装した50以上のアプリを通じて配布され、少なくとも230万回ダウンロードされたことが確認されている。Google Playはレポートを受け取った後、対象アプリをストアから削除済みだ。Google Play Protectも感染済みアプリの自動削除と新規インストールのブロックを実施している。 感染手口と技術的詳細 感染はステルス性の高い多段階のプロセスで進む。悪意のあるコンポーネントは偽のFacebook SDKパッケージ内に隠蔽されており、PNGファイルにステガノグラフィーで埋め込まれた暗号化ペイロードがメモリ上に展開された後、痕跡を消すために中間ファイルが削除される。 マルウェアはエミュレーター・デバッガー・VPNを識別する15種類のチェックを実装し、北京や深センなど特定の中国地域のデバイスへの感染を意図的に回避していた。デバイス情報（ハードウェア構成、Androidバージョン、パッチレベル、インストール済みアプリ一覧）をC2サーバーへ送信した後、そのデバイスに最適化されたroot化エクスプロイトを受信する。研究者らは2016〜2021年の間にパッチが公開された脆弱性を対象とした22種類のエクスプロイトを特定しており、カーネルのuse-after-freeバグやMali GPUドライバの欠陥などが含まれる。 永続性とデータ窃取 root権限の取得に成功すると、マルウェアは重要なシステムライブラリをフック済みのバージョンに置き換え、システムコールを傍受可能な状態にする。さらに、リカバリースクリプトの設置、システムクラッシュハンドラの差し替え、システムパーティションへのフォールバックペイロード格納という複数の永続化レイヤーを構築する。60秒ごとに動作するウォッチドッグデーモンが欠損コンポーネントを自動再インストールし、チェック失敗時には強制再起動を実行する。このため、2021年5月以降のセキュリティパッチが適用されていないデバイスではファクトリーリセットでは除去できず、アクティブにサポートされている新しいデバイスへの乗り換えが唯一の現実的な対策となる。 デバイスへのroot化後は、起動されるすべてのアプリに攻撃者制御のコードが注入される。特にWhatsAppに対しては暗号化データベース、Signal Protocol鍵、電話番号、Google Driveバックアップ情報を窃取し、攻撃者が被害者のWhatsAppセッションをクローンできる状態にすることが確認された。 対策と推奨事項 Googleのスポークスマンは「2021年5月以降のアップデートを適用済みのデバイスは保護されている。悪用された脆弱性はすでに数年前にパッチが提供されている」と述べた。McAfeeは今回のキャンペーンを特定の脅威アクターに帰属させることはできなかったが、Triada Androidトロイの木馬との類似点が指摘されている。ユーザーは速やかにAndroidセキュリティアップデートを適用し、Play Protectを有効化することが強く推奨される。古いAndroidデバイスでセキュリティアップデートが提供されない場合は、デバイスの買い替えを検討すべきだ。

概要 GoogleはAIを活用したGoogleドライブのランサムウェア検出機能を2026年4月に一般提供（GA）開始し、ビジネス・エンタープライズ・教育・フロントラインの各ライセンスを含む有料ユーザー全員に対してデフォルトで有効化した。この機能はデスクトップからDriveへの同期時にファイルをスキャンし、暗号化されたファイルを検出すると即座にデスクトップ同期を停止する仕組みだ。検出時にはユーザーへのメール通知とDrive内アラート、そして管理者向けのGoogle管理コンソールへの通知が行われる。 ファイル復元機能はGoogle Workspaceユーザーだけでなく、個人サブスクライバーや個人アカウント利用者にも提供される。検出アラートを利用するにはGoogle Drive デスクトップアプリ v.114以降が必要だ。 技術的な詳細と性能向上 Googleによれば、今回一般提供されたAIモデルはベータ版と比較して「14倍多くの感染を検出」できるようになっており、より多くのランサムウェアの亜種を素早く検出できるという。機能はGoogle Driveのインフラに直接統合されており、サードパーティ製ツールや複雑な設定を必要とせず、既存のワークフローを阻害することなく透過的に動作するよう設計されている。 組織の管理者は必要に応じて、管理コンソールの「アプリ > Google Workspace > ドライブとドキュメントの設定 > マルウェアとランサムウェア」からこの機能を無効化することができる。なお、古いバージョンのアプリを使用していても、ランサムウェア検出時のファイル同期一時停止は継続して機能する。 背景と競合状況 この機能は2025年9月に最初に発表され、同年10月からGoogle Workspaceの一部ユーザーを対象にベータ提供が開始されていた。今回のGA移行により、対象ユーザーが大幅に拡大した。クラウドストレージにおけるランサムウェア対策はMicrosoft OneDriveやDropboxも同様の機能を有料プラン向けに提供しており、主要クラウドストレージサービス間でのセキュリティ機能の標準化が進んでいる。企業や教育機関が機密文書やビジネスクリティカルな情報をクラウドに保存する機会が増える中、こうした組み込み型のランサムウェア対策は重要性を増している。

概要 Googleは2026年4月1日、Google ChromeのWebGPU標準実装ライブラリ「Dawn」におけるuse-after-free（UAF）バグ（CVE-2026-5281、深刻度：高）を修正する緊急セキュリティアップデートをリリースした。Googleは「CVE-2026-5281に対するエクスプロイトが野外で実在することを確認している」と公式声明を出しており、実際の攻撃への悪用が把握されている。同日、米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は本脆弱性を既知悪用脆弱性（KEV）カタログに追加し、連邦政府機関に対して2026年4月15日までの修正適用を義務付けた。 技術的な詳細 CVE-2026-5281はChromeのDawnコンポーネントに存在するuse-after-freeバグで、レンダラープロセスをすでに侵害した状態のリモート攻撃者が、細工したHTMLページを通じて任意のコードを実行できる可能性がある。Dawnはブラウザのグラフィックス処理に使われるWebGPU標準のクロスプラットフォーム実装であり、最新のGPUアクセラレーションAPIとして広く利用されている。 修正済みバージョンはWindows・macOS向けが146.0.7680.177および146.0.7680.178、Linux向けが146.0.7680.177。ChromiumベースのブラウザであるMicrosoft Edge、Brave、Opera、Vivaldも同様の影響を受けるため、各ベンダーのアップデートも追って提供される見込みだ。Googleは多数のユーザーへのアップデート適用が完了するまで、技術的詳細と攻撃手法の具体的情報を非公開とする方針を取っている。 2026年のChromeゼロデイ連続攻撃という背景 今回のCVE-2026-5281は、2026年に入ってから4件目のアクティブ悪用Chromeゼロデイとなる。2月にはCSSコンポーネントのuse-after-free（CVE-2026-2441）、3月にはSkia 2DグラフィックスライブラリのCVSS 8.8の欠陥（CVE-2026-3909）およびV8 JavaScriptエンジンの同スコア欠陥（CVE-2026-3910）と、高危険度の脆弱性が連続して実際の攻撃に悪用されている。ブラウザを標的とした脅威アクターによる継続的な攻撃活動が際立っており、迅速なパッチ適用の重要性が改めて浮き彫りになっている。 推奨対応 ユーザーはChromeをバージョン146.0.7680.177以上（Linuxの場合）または146.0.7680.178以上（Windows・macOSの場合）に速やかにアップデートすることが強く推奨される。Chromeはメニュー→「ヘルプ」→「Google Chromeについて」から更新を確認・適用できる。連邦政府機関はCISAの指令に基づき、2026年4月15日が修正期限となっている。

概要 Cisco Talosの調査により、脅威クラスター「UAT-10608」がCVSS 10.0（最大値）の評価を受けるNext.js脆弱性CVE-2025-55182を悪用した大規模な認証情報窃取キャンペーンを展開していることが明らかになった。攻撃者は少なくとも766ホストへの侵入に成功しており、クラウド環境・Kubernetes・Dockerなど幅広いインフラを標的としている。CVE-2025-55182はNext.jsのReact Server ComponentsおよびApp Routerに存在するリモートコード実行（RCE）の脆弱性で、公開されたNext.jsデプロイメントに対して初期侵入の糸口として悪用された。 攻撃手法：「NEXUS Listener」フレームワーク 侵入後、攻撃者は「NEXUS Listener」（現在バージョン3）と呼ばれる独自のデータ収集フレームワークを展開し、被害ホストから体系的に情報を抜き取る。窃取対象はSSH秘密鍵・シェルコマンド履歴・Kubernetes サービスアカウントトークン・Dockerコンテナ情報（イメージ・ポート・設定・マウントポイント）のほか、AWS・Google Cloud・AzureのAPIキーやIAMロール認証情報、さらにTelegramボットトークン・Webhookシークレット・データベース接続文字列・GitHub/GitLabトークンまで多岐にわたる。 研究者が認証なしでアクセス可能なNEXUS Listenerインスタンスを調査したところ、Stripe・OpenAI・Anthropic・NVIDIA・SendGridなどの著名サービスに紐づく認証情報が格納されていることも確認されている。攻撃者はShodan・Censysあるいはカスタムスキャナーでインターネット上の脆弱なNext.jsインスタンスを自動検出し、このフレームワークで被害者インフラの詳細マップを構築して、さらなる攻撃への足がかりとしていると見られる。 推奨される対策 Cisco Talosは以下の緩和策を推奨している。インフラへの最小権限の原則を徹底し、リポジトリ全体でシークレットスキャンを有効化すること、SSHキーペアの使い回しを避けること、AWS EC2ではIMDSv2を強制適用すること、そして侵害が疑われる場合は速やかに認証情報をローテーションすることが求められる。Next.jsを本番環境で運用している組織は、脆弱性のあるバージョンを使用していないか早急に確認し、パッチ適用済みバージョンへの移行を優先すべきだ。

概要 Metaは2026年4月初旬、偽のWhatsApp iOSアプリをインストールしてしまった約200人のユーザーに警告を送付した。被害者の大多数はイタリア在住で、イタリアのメディア（La RepubblicaおよびANSA）がその詳細を報じた。問題の偽アプリは、スパイウェアベンダーSIOのイタリア子会社であるAsigintが作成したとされており、Metaは同社に対して法的措置を開始している。 感染が判明した全ユーザーはWhatsAppアカウントから強制ログアウトされ、不正アプリのアンインストールと公式アプリの再インストールが推奨された。Metaは標的となったユーザーの詳細な属性については公表していない。 技術的な詳細 今回のiOSキャンペーンで使用されたスパイウェアのファミリー名は記事中では明示されていない。なお、AsigintはSIOのイタリア子会社であり、SIOは2025年12月にAndroid向け攻撃でSpyrtacusと呼ばれるスパイウェアファミリーを使用したことが別途確認されている。攻撃手法はソーシャルエンジニアリングを用いており、正規のWhatsAppアプリを精巧に模倣した偽アプリをインストールさせることで端末内の個人データを窃取する設計となっている。 Asigintは自社製品を「法執行機関・政府機関・警察・諜報機関向けの監視ソリューション」として販売しており、合法的な顧客向けのツールとして位置付けている。しかし今回の事件は、こうした商業スパイウェアが一般市民へも転用・悪用される可能性を改めて示すものとなった。 背景と業界動向 イタリアはスパイウェアベンダーが集中する欧州有数の「スパイウェアハブ」として知られており、Cy4Gate、eSurv、GR Sistemi、Negg、Raxir、RCS Labなど複数の監視ソフトウェア企業が国内に拠点を置く。商業監視ツール（いわゆるコマーシャル・スパイウェア）を巡っては、NSO GroupのPegasusをはじめとした過去の事例が国際的な批判を集めており、各国政府や大手テック企業による規制・法的対抗措置が相次いでいる。 Metaが今回Asigintに対して法的措置を取ったことは、プラットフォーム側がスパイウェアベンダーに対して積極的に責任を問う姿勢を鮮明にした動きとして注目される。今後の対応の展開次第では、商業スパイウェア産業全体に対する抑止力となる可能性がある。

概要 2026年3月31日（UTC）、週間ダウンロード数が約8,300万〜1億に上る人気JavaScriptライブラリ「axios」のnpmパッケージが、サプライチェーン攻撃を受けた。攻撃者はメインメンテナーである Jason Saayman 氏のGitHubおよびnpmアカウントを乗っ取り、ProtonMailアドレスにメールを変更してアカウントから正規オーナーをロックアウト。その後、バックドアを仕込んだバージョン axios@1.14.1（latestタグ）と axios@0.30.4（legacyタグ）を立て続けに公開した。悪意あるバージョンが最初に公開されてからわずか89秒でmacOS環境での初感染が検出され、約3時間の露出ウィンドウの間に少なくとも135のエンドポイントが攻撃者のC2インフラと接続したことが確認されている。 攻撃の帰属についてはGoogle Threat Intelligence Groupが北朝鮮国家支援脅威アクター「UNC1069（BlueNoroff）」と結論付けた。動機は金銭目的ではなく、スパイ活動・APTと疑われており、仮想通貨採掘やランサムウェアのコンポーネントは含まれていなかった。 攻撃の手口と技術的詳細 axiosのソースコード自体は改ざんされておらず、悪意ある依存関係 plain-crypto-js@4.2.1 が真のドロッパーとして機能した。攻撃者は前日（3月30日 05:57 UTC）に無害な plain-crypto-js@4.2.0 を公開して事前にスキャン検出を回避するよう偽装し、直前に差し替えるという周到な手法を採った。npm install axios@1.14.1 を実行するとnpmが依存関係ツリーを解析してこのパッケージを自動インストールし、postinstall スクリプト（setup.js）がC2サーバーに接続して段階的ペイロードを配信する仕組みになっていた。 RATはmacOS・Windows・Linuxの3プラットフォームに対応したペイロードを持ち、それぞれ以下の方法で動作した。 macOS：AppleScriptが sfrclak.com:8000 からバイナリを取得し /Library/Caches/com.apple.act.mond に保存・実行 Windows：PowerShellが %PROGRAMDATA%\wt.exe にバイナリをコピーし、VBScriptでペイロードを取得。レジストリのRunキーで永続化 Linux：Pythonスクリプトを /tmp/ld.py に取得し nohup で実行 RATの主な機能はシステム偵察・フィンガープリンティング、60秒ごとのC2へのビーコン送信、任意コマンド実行、ファイルシステム列挙、インメモリバイナリインジェクション（Windows）など。さらに実行後は package.json をクリーンな状態に置き換えてフォレンジック検出を回避し、この全工程が約15秒で完了するという高い完成度を示した。 影響範囲と緊急対応 悪意あるバージョンの稼働時間は 1.14.1 で約2時間53分、0.30.4 で約2時間15分にとどまったが、axiosがクラウドおよびコード環境の約80%に存在するという普及率から、その影響は広範に及んだ可能性がある。影響を受けた環境の約3%でRAT実行が確認されている。 影響を受けた可能性のあるシステムに対しては、以下の緊急対応が推奨されている。 axios@1.14.0 または axios@0.30.3 へのダウングレード plain-crypto-js を node_modules から削除し、package.json に overrides ブロックを追加 CI/CDパイプラインのログを確認し、sfrclak[.]com や 142.11.206.73 へのアウトバウンドトラフィックをブロック RATアーティファクト（macOS: /Library/Caches/com.apple.act.mond、Windows: %PROGRAMDATA%\wt.exe）が発見された場合はシステムを既知の状態から再構築（その場でのクリーンアップは非推奨） npmトークン、AWS/GCP/Azure認証情報、SSH秘密鍵、CI/CDシークレット、.env ファイルの値などすべての認証情報をローテーション CI/CDパイプラインでは --ignore-scripts フラグを用いて postinstall フックの実行を防止 また、npm エコシステム全体のセキュリティとして、GitHub Actions OIDC Trusted Publishing を設定済みでも長期有効な NPM_TOKEN が残存していたことが今回の侵害を可能にしたと分析されている。Trusted Publishing への完全移行と古いトークンの削除が強く推奨される。 ...

概要 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年3月20日、実際の攻撃への悪用が確認されたセキュリティ脆弱性5件を「既知悪用脆弱性（KEV）カタログ」に追加した。対象はApple WebKit・Appleカーネル（各1件・2件）、Craft CMS、Laravel Livewireで、連邦政府機関に対して2026年4月3日までのパッチ適用を義務付けている。特にCraft CMS（CVSSスコア10.0）とLaravel Livewire（CVSSスコア9.8）はCritical評価であり、国家支援型ハッカーグループや犯罪グループによる悪用が確認されている。 脆弱性の詳細 今回追加された5件の脆弱性の内訳は以下のとおりだ。 CVE-2025-31277（Apple WebKit / CVSS 8.8）: 悪意ある Webコンテンツを処理する際のメモリ破損により任意コードが実行される可能性がある。 CVE-2025-43510（Appleカーネル / CVSS 7.8）: 共有プロセスメモリへの予期しない変更を可能にするメモリ破損。 CVE-2025-43520（Appleカーネル / CVSS 8.8）: システム停止またはカーネルメモリへの書き込みを可能にするメモリ破損。 CVE-2025-32432（Craft CMS / CVSS 10.0）: コードインジェクションによる任意コード実行。2025年2月からゼロデイとして積極的に悪用されていた。 CVE-2025-54068（Laravel Livewire / CVSS 9.8）: 認証不要でリモートからコマンドを実行できるコードインジェクション脆弱性。 Appleの各脆弱性は2025年7月・12月にパッチが提供されており、Craft CMSは2025年4月、Laravel Livewireは2025年7月に修正済みだ。 悪用主体と攻撃キャンペーン 各脆弱性の悪用には異なる脅威アクターが関与している。AppleのWebKit・カーネル脆弱性はiOSエクスプロイトキット「DarkSword」と関連付けられており、GHOSTBLADE・GHOSTKNIFE・GHOSTSABERといったマルウェアファミリーの展開に利用され、主な目的はデータ窃取とされる。 Craft CMSのCVE-2025-32432は「Mimo」と呼ばれる侵害グループが悪用しており、暗号通貨マイニングや不正プロキシの展開に利用されている。Laravel LivewireのCVE-2025-54068はイランの国家支援型ハッカーグループ「MuddyWater」が中東の外交機関や重要インフラを標的にしたキャンペーンで使用している。 対応と推奨事項 CISAのKEVカタログへの追加は、連邦政府機関（FCEB機関）に対してパッチ適用を法的に義務付けるものだが、民間企業や組織に対しても速やかなアップデートが強く推奨される。CVSSスコアが9.8・10.0と最高水準に近いCraft CMSおよびLaravel Livewireの脆弱性は特に優先度が高く、これらのフレームワークを使用している組織は直ちに最新バージョンへの更新を検討すべきだ。国家支援グループによる悪用が継続する可能性があるため、パッチ適用後もネットワーク監視や侵害痕跡（IoC）の確認を行うことが重要だ。

概要 Ciscoは2026年3月、エンタープライズ向けWAN管理プラットフォームであるCatalyst SD-WAN Manager（旧vManage）において、2件の脆弱性が実環境で積極的に悪用されていることを公式に確認した。対象となる脆弱性はCVE-2026-20122（CVSS 7.1）とCVE-2026-20128（CVSS 5.5）で、いずれも認証済みの攻撃者を前提とするが、侵害済みの認証情報を持つ攻撃者によって組み合わせて悪用される可能性がある。CiscoはPSIRT（製品セキュリティ インシデント レスポンス チーム）を通じて顧客に修正済みバージョンへの早急なアップグレードを強く求めている。 脆弱性の詳細 CVE-2026-20122（CVSS 7.1、高）は、Catalyst SD-WAN Manager APIに存在する任意ファイル上書き脆弱性だ。読み取り専用のAPI認証情報を持つリモート攻撃者が、ローカルファイルシステム上の任意ファイルを上書きできる。権限昇格への踏み台となるため、実害が大きい。 CVE-2026-20128（CVSS 5.5、中）は、Data Collection Agent（DCA）機能に起因する情報開示・権限昇格の脆弱性だ。有効なvManage認証情報を持つローカルの認証済み攻撃者が、DCAユーザー権限を取得できる。 なお、今回の公開と同時に、認証バイパスが可能なCVE-2026-20127（CVSS 10.0）の修正も行われた。この脆弱性は2023年以降ゼロデイとして悪用されており、攻撃者がコントローラーを侵害し不正なピアをネットワークに追加できるものだ。今回の2件と組み合わせた攻撃チェーンへの警戒が必要である。 影響を受けるバージョンと修正版 修正済みバージョンは以下のとおり。 リリースライン 修正バージョン 20.9.x 20.9.8.2 20.11.x 20.12.6.1 20.13〜20.15 20.15.4.2 20.12.x 20.12.5.3 / 20.12.6.1 20.16〜20.18 20.18.2.1 上記より古いバージョンは修正済みリリースへの移行が必要となる。 推奨される対策 Ciscoは修正済みバージョンへのアップグレードを最優先とした上で、以下の追加緩和策を推奨している。 管理ポータルへのHTTPアクセス無効化およびファイアウォールによる保護 不要なサービス（HTTP/FTP）の無効化 認証情報のローテーション ネットワークトラフィックの継続的な監視 米国CISAも連邦政府機関向けに緊急指令を発行し、影響対象システムのインベントリ化、フォレンジック情報の収集、期限内のパッチ適用を義務付けた。SD-WAN Managerは広範な企業ネットワークの中核を担う重要インフラであり、侵害が確認された場合の影響範囲は甚大になることから、未対応の組織は直ちに対処することが求められる。