Security

概要 Microsoft SharePoint Server(Enterprise Server 2016、Server 2019、Subscription Edition)に存在する認証バイパスの脆弱性CVE-2026-55040(CVSS 9.1)が、セキュリティ企業Rapid7による概念実証(PoC)コードの公開直後から、実際の攻撃で悪用され始めていることが明らかになった。この脆弱性は2026年7月のMicrosoft月例パッチで修正済みだったが、8月11日にRapid7の研究者Stephen Fewerが技術詳細とPythonベースのPoCを公開すると、翌12日にはセキュリティ企業Defusedがハニーポットへの攻撃を検出したと報告。7月19日以降、香港、日本、オランダ、台湾、米国の5地域にまたがる8つのIPアドレスから計12件の攻撃試行が確認されており、うち8件が8月12日から13日に集中している。未パッチの環境では早急な対応が求められる。 脆弱性の技術的詳細 CVE-2026-55040は、SharePointのJWT(JSON Web Token)トークン検証パイプラインに存在する複数の欠陥が連鎖することで成立する認証バイパスだ。Microsoftの説明によれば、ネットワークベースの攻撃により認証されていない攻撃者が認証をバイパスし、匿名接続を確立できるという。具体的には、(1)外部から送信するヘッダーで署名を要求しないalg: noneを指定し、(2)アクタートークンのx5tにSharePointのSTS(Security Token Service)証明書のサムプリントを設定、(3)その証明書がTrustedSecurityTokenServicesに登録されていない状態を利用することで、(4)アクタートークンの署名検証がスキップされてしまう。この欠陥は主にSPJsonWebSecurityTokenHandlerV2およびSPJsonWebSecurityBaseTokenHandlerV2クラスに起因するとされる。悪用に成功すると、攻撃者はSharePointサイトのユーザーあるいは管理者として振る舞うことが可能になり、ファイルの不正な閲覧やデータの改ざんにつながるおそれがある一方、可用性への直接的な影響はないとみられている。 攻撃発生の経緯と規模 Rapid7がPoCを公開した後、脅威はごく短時間で現実の攻撃へと転化した。攻撃者はRapid7が公開したスクリプトをそのまま流用しているとみられ、8月12日から13日にかけて確認された攻撃試行は、地理的に分散した複数の拠点から行われていることから、単一の攻撃者グループによる限定的な悪用にとどまらない可能性が示唆される。なお、初期の攻撃兆候自体は7月19日以降にも12件記録されており、PoC公開前から一部で試行が行われていた形跡もある。セキュリティ監視サービスShadowserverは、インターネットに公開された8,500台以上のSharePointサーバーを追跡しているとしており、パッチ未適用のサーバーが広範囲に露出している状況がうかがえる。 背景と対応策 SharePointをめぐっては2026年に入ってからCVE-2026-45659、56164、58644、50522など、これで5件目となる脆弱性の実悪用が報告されており、企業が運用するオンプレミス版SharePointが攻撃者にとって継続的な標的になっていることを示している。CISA(米サイバーセキュリティ・インフラセキュリティ庁)は、SharePointインスタンスを直接インターネットに公開しないこと、Layer 7のリバースプロキシを介してアクセスを制御すること、SharePoint Central Administrationへの外部からのアクセスを遮断することを推奨している。7月のパッチが公開済みであるにもかかわらず未適用の組織は、PoCが公開状態にあることを踏まえ、速やかな更新適用と侵害有無の確認を急ぐ必要がある。

概要 Ciscoは、Secure Firewall ASAおよびFTDのリモートアクセスSSL VPN機能に存在するサービス拒否(DoS)の脆弱性(CVE-2026-20349、CVSSスコア8.6)が実際の攻撃で悪用されていることを明らかにした。HTTPリクエスト処理における不十分なエラーチェックが原因で、認証なしに細工したHTTPリクエストを送信するだけで機器を強制的に再起動させ、可用性を損なうことができる。Ciscoは8月初旬にこの悪用を確認し、全ての影響バージョン向けにホットフィックスをリリース済みで、回避策は存在しないため、顧客に修正版ソフトウェアへの早急なアップグレードを強く呼びかけている。 技術的な詳細 脆弱性はASAソフトウェアの9.16、9.18、9.20、9.22、9.23、9.24系列と、FTDソフトウェアの7.0、7.2、7.4、7.6、7.7、10.0系列に影響する。悪用可能なのはリモートアクセスSSL VPNサービスが有効になっている構成で、IKEv2 Remote Access VPN、SSL-VPN、Zero Trust Network Accessなど複数の構成が該当する。攻撃者はSSLリッスンソケットが有効な状態のデバイスに対し、細工したHTTPリクエストを送信することでデバイスをリロードさせ、DoS状態に陥らせることができる。なお、Firewall Management Center(FMC)自体はこの脆弱性の影響を受けない。この問題はCiscoの社内セキュリティテスト中に発見されたほか、研究者のValerio Brussani氏も独立して報告している。 対応状況と背景 CISAは2026年8月11日、CVE-2026-20349をKnown Exploited Vulnerabilities(KEV)カタログに追加し、連邦政府機関に対して8月14日までのパッチ適用を義務付けた。SecurityWeekの報道によれば、これはCiscoの2026年のCVEとして今年12件目のKEV登録となり、SD-WANやUnified CM、FMCといった他のCisco製品に存在した脆弱性と同様のパターンをたどっている。CiscoのファイアウォールやVPN機器はここ数年、国家背景の攻撃者を含む脅威アクターから繰り返し標的にされており、境界防御機器としての重要性の高さが悪用の動機になっているとみられる。回避策が存在しないため、該当するASA/FTD環境を運用する組織は、影響バージョンとリモートアクセスSSL VPNの利用状況を確認し、速やかにホットフィックスを適用することが求められる。

概要 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は8月11日、オンプレミス版Microsoft SharePoint Serverのリモートコード実行脆弱性「CVE-2026-45659」が、ランサムウェア攻撃に悪用され始めたことを新たに確認したと発表した。同脆弱性は7月1日にCISAの「既知の悪用脆弱性（KEV）」カタログへ追加済みで、当初は情報窃取など一般的な不正アクセスでの悪用が確認されていたが、8月10日以降はより深刻なランサムウェア展開への転用が進んでいることが判明した。複数のセキュリティ専門家は、中国と関連するとされる脅威グループ「Storm-2603」の関与を指摘しており、同グループは過去にSharePointを標的とした「ToolShellキャンペーン」で「Warlockランサムウェア」を展開した実績がある。 脆弱性の技術的詳細 CVE-2026-45659は、信頼できないデータの逆シリアル化（デシリアライゼーション）に起因するリモートコード実行の欠陥で、CVSSスコアは8.8（高深刻度）と評価されている。低い攻撃複雑性かつ最小限の権限で悪用可能な点が特徴で、パッチ未適用のSharePointサーバーに対し、攻撃者が任意のコードを実行できてしまう。対象となるのはSharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionのオンプレミス版で、クラウド版のSharePoint Onlineは対象外とみられる。Shadowserverの調査によれば、インターネットに露出しているSharePointサーバーは8,500台以上に上り、そのうち200台以上が本脆弱性に対して未パッチのままだという。 悪用の経緯とタイムライン Microsoftは5月にこの脆弱性を修正するセキュリティ更新プログラムをリリースしていたが、CISAは7月1日にKEVカタログへ追加し、連邦機関に対して3日以内の対応を義務付けた。その後7月を通じて積極的な悪用が確認され、8月10日にはランサムウェア攻撃への転用がCISAに報告された。CISAは「この種の脆弱性は悪質なサイバー行為者にとって頻繁な攻撃ベクトルであり、連邦企業に多大なリスクをもたらす」とし、攻撃が低い複雑性で繰り返し成功させられる点に警鐘を鳴らしている。 対応策 Microsoftおよび専門家は、5月にリリースされたセキュリティ更新プログラムを未適用の組織に対して直ちに適用するよう推奨している。自動更新が有効になっている環境ではすでに対応済みの可能性が高いが、オンプレミスでSharePoint Serverを運用する組織は個別の確認が必要となる。加えて、Windows Antimalware Scan Interface（AMSI）統合の有効化やMicrosoft Defender Antivirusによる検出機能の活用、サーバーにおける悪用兆候の監視も併せて推奨されている。SharePointは組織内部の文書や権限設定、機密記録を保存する基幹システムであるため、未パッチのまま放置した場合はランサムウェアによる暗号化や情報窃取など重大な被害につながるリスクが高い。

概要 セキュリティ企業Socketの研究者Kush Pandya氏らは、Chromeウェブストア上の40以上の開発者アカウントから、Proton VPN、NordVPN、Surfshark、ExpressVPN、AdGuard VPN、CyberGhost、CloudflareのDNSリゾルバ「1.1.1.1」など66の著名VPN・プライバシーブランドを装った偽拡張機能737個を発見した。累計インストール数は約75,486件に上り、主にロシア語圏で検閲回避を目的にVPNを利用しようとするユーザーが標的となっていた。274個の拡張機能が実在ブランドになりすましていたほか、残りも同様の手口で偽のVPNサービスを装っていたという。 技術的な詳細 これらの拡張機能は、ブラウザの通信セッション全体をポート1082で待ち受ける攻撃者管理下のSOCKS5プロキシ経由でルーティングする仕組みを持っていた。調査対象のバルク検体522個のうち520個が同一のSOCKS5インフラを利用しており、これにより攻撃者は中間者(MITM)の立場からアクセス先ドメイン、送信元IPアドレス、TLSのSNI値、そして平文HTTP通信のリクエスト本文までも観測可能な状態にあった。さらに一部の104個の拡張機能はCloudflareやGoogleが提供するDNS over HTTPS(DoH)を利用し、実際のプロキシ運営者のドメインを隠蔽する手法も確認された。拡張機能は日本、シンガポール、カナダ、オーストラリア、トルコなど各国に存在するとうたう架空のプレミアムサーバーを宣伝し、実際には存在しない有料プランや偽の接続アニメーションを表示するなど、利用者を欺く作り込みがなされていた。 発覚の経緯と実態 コード内には、拡張機能の内部管理用と見られるロシア語の従業員向けマニュアルが含まれていたほか、Chromeウェブストアへの申請時に「データは一切送信しない」という虚偽の申告が行われ、承認後にコードを書き換えるという手口も使われていた。40の公開者アカウントが共通の解析(アナリティクス)用アカウントを共有していたことから、これらは個別の便乗ではなく組織的なキャンペーンであったとみられる。ロシアの納税者番号やWindowsのファイルパスにロシア語のディレクトリ名が含まれていたことなどから、ロシアを拠点とする攻撃者による犯行である可能性が高いとされ、最終的には有料のロシア系VPNサービスへの誘導を狙ったものと推測されている。 Googleの対応と今後の課題 Socketの報告を受け、Googleはこれまでに221個の拡張機能をChromeウェブストアから削除したが、報道時点でなお516個が公開されたままとなっていた。ブラウザ拡張機能はストア審査時と実際の配布後でコードが異なるケースがあり、審査をすり抜けた後に不正な機能を追加する「承認後の書き換え」は依然として有効な回避策となっている。VPNやプライバシー保護をうたう拡張機能はユーザーの全通信を扱う特性上、悪用された際の被害が大きく、インストール前の開発者情報やレビューの精査、公式サイトからの直接ダウンロードなど、利用者側の警戒が引き続き求められる。

概要 Rapid7の研究者は、Microsoft SharePointに存在する2つの脆弱性を連鎖させることで、未認証の攻撃者がサーバーを完全に乗っ取れる攻撃チェーンを発見し、公表した。1つ目は7月に公開された認証バイパス脆弱性「CVE-2026-55040」(CVSS 9.1)で、対象ユーザーのActive Directoryセキュリティ識別子(SID)またはユーザープリンシパル名(UPN)さえ分かれば、認証なしで任意のユーザーになりすますことができる。この脆弱性はSharePointのJSON Web Token(JWT)検証パイプラインに存在する複数の不備に起因する。研究チームはこれを新たに発見したリモートコード実行(RCE)脆弱性「CVE-2026-63520」(CVSS 8.1)と組み合わせることで、認証プロセスを完全に迂回してサーバー上で任意のコードを実行できることを実証した。Microsoftはオンプレミス版SharePointに対して両脆弱性の修正パッチを提供済みで、早急な適用を呼びかけている。 技術的な詳細 CVE-2026-63520は、SharePointのBusiness Connectivity Services(BCS)コンポーネントにおける「安全でない.NET型のインスタンス化」に起因するRCE脆弱性で、攻撃者はカスタムの.NETガジェットチェーンを構築することで任意のOSコマンドを実行できる。単体のCVSSスコアは8.1(高)だが、CVE-2026-55040による認証バイパスと組み合わせることで、外部からの認証情報なしにサーバーを侵害できる「未認証RCEチェーン」が成立する。実行される処理はSharePointサイトのサービスアカウント権限で動作するため、影響は深刻だ。影響を受けるのはSharePoint Server Subscription Edition、SharePoint Server 2019、2016のほか、Microsoft Project Server、Office Web Apps Serverの一部バージョンで、クラウド版のSharePoint Onlineは対象外となっている。Microsoftは複数のKB更新プログラム(Subscription Edition向けKB5002893、2019版向けKB5002894/5002896、2016版向けKB5002905/5002906など)を通じて修正を配布しており、認証バイパス自体は7月の更新で既に修正済み、RCE側の修正も完了しているとされる。 AIエージェントによる脆弱性発見の経緯 今回の発見で特に注目されるのは、研究チームが脆弱性の悪用経路を組み立てる過程でAIエージェントの支援を受けた点だ。Rapid7によると、24日間にわたるエージェントの作業で96セッション、256件のプロンプト、約80,000回のツール呼び出しが記録されたという。ただし研究チームは「AIエージェントは単独では機能せず、専門家による誘導が不可欠だった」と強調しており、AIはあくまで人間の研究者の分析を加速させる補助的な役割を担ったにすぎない点を明確にしている。それでも、複雑な脆弱性連鎖の発見にAIエージェントが実務レベルで貢献した事例として、セキュリティ研究の手法に一石を投じるものとなった。 影響と対応の呼びかけ 認証バイパス単体を悪用するPoCスクリプトはRapid7により8月11日に公開されているが、両脆弱性を連鎖させた完全な攻撃チェーンの技術詳細・PoCは公開が留保されており、実際の悪用報告も出ていない。しかし、インターネットに公開されたオンプレミスSharePoint環境は特にリスクが高いとされ、Rapid7の顧客は既に認証済み脆弱性チェック機能を利用できる状態にある。セキュリティ専門家は、この問題を通常のメンテナンスサイクルではなく緊急対応が必要な事案として扱うよう組織に求めている。SharePointは企業内の文書管理やコラボレーション基盤として広く利用されており、サーバーの完全な乗っ取りは機密情報の窃取や社内ネットワークへの侵入拠点として悪用されるおそれがあるため、未パッチの環境を運用する組織は速やかな対応が求められる。

概要 世界最大級のハッカーカンファレンス「DEF CON」の閉幕翌日にあたる2026年8月10日(月)、ラスベガス発アトランタ行きのデルタ航空591便(ボーイング757、乗客199人、乗員6人)の機内で、正規の機内Wi-Fiになりすました不正なアクセスポイントが検出された。乗員は運航システムに「DELTA WIFI FAST」という偽ネットワークが乗客を狙って詐欺行為を働いているとみられるとの警告メッセージ(ACARS)を送信し、「客の一人が偽Wi-Fiを作り、他の乗客を騙そうとしている」「サイバーカンファレンスに参加していた者らが関与している疑いがある」と報告した。乗員はこれを受けて機内Wi-Fiを約30分間停止する対応を取った。着陸後には連邦捜査当局と空港警察が機内に乗り込み、関係者への聴取と携帯型Wi-Fi機材の押収を行ったという。デルタ航空は連邦捜査機関および航空当局と連携して調査を進めていると説明し、機体の安全性や運航システムへの影響はなかったとしている。 技術的な詳細 今回の手口は、正規のアクセスポイントになりすます「evil twin(邪悪な双子)」攻撃と、既存の正規Wi-Fi接続を強制的に切断する「デーソス(認証解除)」攻撃を組み合わせたものとみられる。デーソス攻撃では、攻撃者が正規のアクセスポイントを装った偽の切断要求パケットを接続中の端末に送りつけることで、乗客の端末を強制的に正規ネットワークから切り離す。切断された乗客が「Delta WiFi Fast」という酷似した名称の偽ネットワークに接続すると、偽の機内Wi-Fi登録画面(フィッシングページ)が表示され、氏名などの個人情報やGoogelアカウントのログイン情報が窃取される仕組みだったと報じられている。攻撃には「Wi-Fi Pineapple」のような、偽アクセスポイントの構築とデーソス攻撃の両方を単体で実行できる携帯型ハッキングツールが使われた可能性が指摘されている。 背景と法的な位置づけ デーソス攻撃自体はDEF CONの参加者コミュニティでは技術デモやCTF(Capture The Flag)競技でもたびたび用いられる手法だが、公共の場、とりわけ航空機内の通信インフラに対して悪用すれば、通信妨害や個人情報の窃取という実害につながる。DEF CONの広報責任者(head of press)であるMonika Hathaway氏は、カンファレンス開催期間中の会場自体でも複数回、同種の「デーソス」Wi-Fi攻撃によって運営に支障が出ていたことを明らかにしており、今回の事案がカンファレンス周辺で頻発していた攻撃活動の延長線上にある可能性を示唆している。米国では通信法(Communications Act)第333条が意図的な無線通信妨害を禁じており、違反した場合は禁錮1年以下および罰金1万ドル以下が科され得る。報道によれば、フライトの安全性が疑問視されることはなく、航空機の運航システムへの影響もなかったとされる。デルタ航空の広報担当Morgan Durrant氏は「連邦捜査機関および航空当局と連携し、事案を徹底的に調査する」とコメントしている。 今後の見通し FBIアトランタ支局と米連邦航空局(FAA)は事案を認知していることを認めたものの、詳細についてはコメントを控えている。アトランタ空港警察は本件を把握していないとする一方、着陸後に連邦捜査当局が乗客への聴取と機材の押収を行ったとの報道もあり、情報が錯綜している状況だ。現時点で逮捕や起訴に関する詳細は明らかになっていないが、機内Wi-Fiを標的にした攻撃は乗客の個人情報漏えいだけでなく、公共交通インフラの信頼性そのものを揺るがしかねない。DEF CON開催地であるラスベガス発の便という文脈もあり、セキュリティ研究者のスキルが公共インフラへの攻撃に転用されるリスクとして、今後の航空業界における機内ネットワークのセキュリティ対策強化の議論につながる可能性がある。

概要 IBMとRed Hatは7月8日、オープンソースのソフトウェアサプライチェーン基盤「Lightwell」を拡張し、新たに商用サービスを提供開始したと発表した。今回の拡張は、Sigstore・in-toto・SLSA（Supply-chain Levels for Software Artifacts）・SBOM（Software Bill of Materials）といった既存のセキュリティ標準を個別の機能としてではなく、単一の統合プラットフォームとして組み合わせる点が特徴で、ソフトウェア配送プロセスの各段階を検証可能にすることを目指している。背景には、AI生成コードの混入やOSSサプライチェーンを狙った攻撃への懸念の高まりがあり、両社は「コードをより速く生成すること」自体はもはや課題ではなく、「ソフトウェアがどこで生まれ、どのようにビルドされ、改変されていないか、組織のセキュリティポリシーに準拠しているかを証明すること」こそが課題だと位置づけている。 技術的な詳細 商用版Lightwellが提供する主要機能は、アーティファクトの署名、来歴（provenance）情報の生成、ポリシー検証、そしてライフサイクル管理の4つに整理される。Sigstoreによる署名基盤とin-totoによるビルド来歴の記録、SLSAが定めるサプライチェーンの成熟度レベル、SBOMによる構成要素の可視化を組み合わせることで、開発から本番デプロイに至るまでの各段階で「何が」「誰によって」「どのように」作られたかを追跡・検証できる仕組みを構築している。これにより、AIが生成したコードが混入した場合でも、その出所や改変履歴を後から確認できる体制を整えている。 背景と業界の動き 今回の取り組みは、GitHub・Google・Microsoft・Cloud Native Computing Foundation（CNCF）が進める検証可能なソフトウェアサプライチェーンへの取り組みとも軌を一にする。GitHubはCodeQLやアーティファクト証明（attestation）、シークレットスキャンなどの機能を提供しており、GoogleはSLSAフレームワークの採用を推進、MicrosoftはAzure DevOpsとGitHub Advanced Securityの統合を進めている。またCNCFはセキュリティ企業Kusariと連携しており、Linux FoundationもAI由来の脅威からOSSを守る「Akrites」プロジェクトを立ち上げるなど、業界全体でAI時代のソフトウェアの信頼性確保に向けた動きが広がっている。 今後の展望 IBMとRed Hatは、企業がAI生成コードへの依存を強めるにつれて、検証可能な「信頼インフラ(trust infrastructure)」の構築が基盤的な能力になっていくと見ている。人間の開発者だけでなく、ソフトウェア開発に関与するAIシステムそのものについても信頼性を担保する必要があるという認識が広がりつつあり、ソフトウェアのライフサイクル全体を通じて来歴を検証可能にする取り組みは、今後さらに重要性を増していくとみられる。

概要 Zoomの画面共有時に使われる注釈(アノテーション)機能に、最大CVSS 8.3の深刻な脆弱性が複数発見された。最も重大なCVE-2026-53413は、会議参加者が特別に細工した描画メッセージを送るだけで、被害者側クライアントのユーザー操作を一切必要とせず(ゼロクリック)任意コードを実行できるというもの。イスラエルのセキュリティ企業A Securityが発見し、Zoomは既に全対応プラットフォーム向けに修正パッチを提供済みで、現時点で悪用の報告やCISAの既知悪用脆弱性(KEV)カタログへの掲載はない。 技術的な詳細 問題の中心はZoom独自プロトコルにおける注釈機能の実装にある。テキスト注釈ツールは受信した描画データを構造化オブジェクトへ変換する際、固定128バイトのバッファに対して十分なサイズ検証を行わずに書き込んでおり、攻撃者が過大なパケットを送ることでバッファオーバーフローを引き起こしリターンアドレスを上書きできる(CVE-2026-53413、CVSS 8.3)。加えて、未初期化のヒープメモリを読み取ることでアドレス空間ランダマイゼーション(ASLR)を回避するための情報を抽出できるバッファオーバーリードの脆弱性(CVE-2026-53414、CVSS 6.5)、およびZoom自身が既に発見していたuse-after-free脆弱性(CVE-2026-53415、CVSS 8.3)も存在した。VDIクライアントには別途パストラバーサルによる情報開示の脆弱性(CVE-2026-53416)も報告されている。 攻撃者は、メッセージ型のチェックが不十分な点を突き、悪意ある描画データを「受領確認」として他の参加者に送信することで、被害者クライアントに強制的にオブジェクトの完全な再構築を行わせ、メモリ破壊を引き起こす。会議に参加または主催するだけで個々の参加者を標的にでき、被害者側に視認可能な兆候は残らないという。 発見の経緯とZoomの対応 今回特筆すべきは発見のスピードだ。A Securityは、これまで精鋭チームが数ヶ月かけて発見するレベルの脆弱性を、公開されているAIモデルへの20件未満のプロンプトから24時間以内に動作するエクスプロイトへとたどり着いたと報告している。AIを活用した脆弱性発見の高速化を示す事例として注目されている。 Zoomは全ての対応プラットフォームに対して修正パッチを提供済みで、Zoom Workplaceはバージョン7.1.5(または7.0.6)以降、VDIクライアントは7.0.11(または6.6.16)以降、Rooms/Meeting SDKは7.1.0(または7.1.5)以降で問題が解消されている。Zoomを利用する組織はFortune 100企業の7割や米連邦機関にも及ぶため、影響範囲は広い。専門家はクライアントの即時アップデートに加え、エンドツーエンド暗号化(E2EE)を無効化してサーバー側フィルタリングを有効にすること、パスコードや待機室によるアクセス制御の強化、不要な場合は注釈機能自体を制限することを推奨している。

概要 CISA、FBI、米国防総省サイバー犯罪センター(DC3)、NSA、米シークレットサービス、韓国国家警察庁は8月10日、医療・金融・製造・運輸・行政・公益事業・教育・小売・専門サービスなど幅広い分野を標的とするGunraランサムウェアについて、共同勧告(AA26-222A)を発表した。#StopRansomwareキャンペーンの一環で、攻撃手法や侵害指標(IOC)を共有し、対象組織に早急な対策を呼びかけている。 Gunraは2025年4月に確認されたランサムウェアで、リークした旧Contiランサムウェアのソースコードを基盤としている。2026年に入りランサムウェア・アズ・ア・サービス(RaaS)モデルへ移行し、身代金の80%をアフィリエイトに配分する形で攻撃者を募集。ダークウェブのリークサイトには、これまでに世界各国の30組織超が被害者として掲載されているという。 攻撃の手口 Gunraのアフィリエイトは、VPNゲートウェイやファイアウォール機器、RDP公開システムなど、インターネットに露出したエッジインフラを侵入経路として悪用する。具体的には、FortiOS・FortiProxyの認証回避脆弱性(CVE-2024-55591、CVE-2025-24472)の悪用や、デフォルト認証情報のまま運用されているSSL-VPN管理アカウントへのアクセス、公開VPNゲートウェイの漏洩済み認証情報やSSHアクセス制御の不備の悪用が確認されている。侵入後はVDIポータルの認証処理を改ざんし、攻撃者が制御するワンタイムパスワードを受け入れさせることでMFAを事実上回避する手口も報告されている。 侵害後の横展開にはImpacket(psexec.py、smbclient.py、secretsdump.py)などのSMBベースのツールが用いられ、OpenSSHトンネル・7-Zip・Rclone・FileZillaを使ったデータ流出、WMIによるWindowsシャドウコピーの削除も確認された。Windows環境を主な標的としつつ、2025年後半にはLinux版も開発されている。ファイル暗号化にはChaCha20とRSA-4096を組み合わせた多スレッド処理が用いられ、暗号化後のファイルには.ENCRT拡張子が付与され、ランサムノートR3ADM3.txtが設置される。窃取したデータには業務上重要な文書やデータベース、個人識別情報(PII)、社内メールなどが含まれ、身代金交渉に応じない場合は公開・売却すると脅す二重恐喝の手口が用いられている。 推奨される対策 勧告では、インターネットに公開されているVPN・ファイアウォール・RDPなどのシステムを洗い出し、既知の悪用脆弱性に対するベンダーパッチを優先的に適用することを求めている。あわせて、漏洩の可能性がある認証情報の失効、デフォルトアカウントや休眠中の管理者アカウントの削除も推奨されている。 ネットワークセグメンテーションについては、単なるコンプライアンス対応ではなく実効的な被害封じ込め策として扱うべきだとし、ユーザー端末・VDI・ID管理サービス・バックアップ・管理ネットワークの分離、不要なSMB/RDPトラフィックの遮断、管理アクセスの専用ハード化端末への限定、通常のドメイン認証情報ではアクセスできないバックアップ基盤の構築を挙げている。さらに、オフラインかつ改ざん不能なバックアップを物理的に分離した場所に保管し、定期的な復旧テストを行うことも重要だとしている。検知面では、管理ツールの不審な使用や異常なアーカイブ作成、クラウドストレージへの不審な転送の監視に加え、勧告に添付されたSTIX形式のIOCを検知基盤に取り込み、MITRE ATT&CKフレームワークに基づいた脅威ハンティングを行うことが推奨されている。

概要 Microsoftは2026年8月の月例パッチ「Patch Tuesday」を公開し、集計方法によって400件前後（Zero Day Initiativeベースで398件、The Registerの独自集計では421件）に上る脆弱性を修正した。このうち3件はゼロデイ脆弱性で、なかでもWinSock用補助関数ドライバ(afd.sys)に存在するCVE-2026-68820は、パッチ公開前から北朝鮮系脅威アクターLazarusグループによって実際に悪用されていたことが明らかになっている。7月の記録的な570件規模の修正からは件数が減少したものの、AIを活用した脆弱性発見システムの導入により、Microsoftの月例更新は例年より大幅に多い件数が「新常態」になりつつあるとThe Registerは指摘している。 ゼロデイ脆弱性の詳細 積極的に悪用が確認されているCVE-2026-68820は、カーネルのネットワーキングコンポーネントであるWindows Ancillary Function Driver for WinSock(afd.sys)に存在するuse-after-free脆弱性で、CVSSスコアは7.0。攻撃者はローカルで実行中のコードを起点に、特別に細工したアプリケーションで競合状態(race condition)を発生させることでSYSTEM権限への昇格が可能になる。Check Point Researchはこの脆弱性をLazarusグループの「Operation Dream Job」キャンペーンと関連付けており、同社の脅威インテリジェンス責任者は「このCVEの成功した実装を1件確認しているが、キャンペーン全体で広く使われていたと見ている」とコメントした。発見者はCheck PointのMoshe Marelus氏とDavid Driker氏。 このほか、公開情報として既知だったゼロデイが2件ある。管理者権限の奪取を可能にするWindows User Profile Serviceの昇格脆弱性CVE-2026-62832(通称「LegacyHive」、リンク参照の不備が原因)と、レジストリハイブの改ざんを許すWindows Container Isolation FS Filter Driverの脆弱性CVE-2026-72971だ。 Lazarusによる悪用キャンペーンの実態 The Registerによれば、Lazarusはこの脆弱性を6月上旬という早い段階から兵器化していた。標的となったのは欧州とインドの防衛関連組織で、攻撃者はロッキード・マーティンやプライバシー技術企業Enveilになりすまし、検索エンジンで上位表示されるよう最適化した偽の採用サイトを用意していたという。攻撃の実行段階では、改変されたPDFビューア「SecurityPDF」を配布し、細工されたPDF文書から悪意あるペイロードを実行、これまで知られていなかったバックドア「Troy」を展開した。その後、afd.sysの競合状態を突いてカーネルモードのルートキット「FudModule」を仕込み、権限昇格を完了させる流れだ。 重大なリモートコード実行脆弱性 今回の更新では、認証不要かつユーザー操作なしで悪用できるCVSS 9.8の重大なRCE脆弱性が複数含まれる。Windows DNS Serverのスタックベースバッファオーバーフロー(CVE-2026-62878)は「ワーム化可能」と評価されており、Windows Deployment ServicesのTFTPハンドリングに存在するCVE-2026-62893は認証不要のUDPポート69経由で悪用可能。ほかにMicrosoft QUICのRCE(CVE-2026-62815)も重大度Criticalとされた。またSharePointでは、7月に修正された認証バイパス脆弱性CVE-2026-55040と、今回修正されたRCE脆弱性CVE-2026-63520が組み合わさることで、認証なしの攻撃チェーンが完成する形になっており、2ヶ月にまたがる修正の一環として注目されている。このほかWindows DNS Server、DHCP Server、SSTP、iSCSI Target Serviceなどにも重大なRCE脆弱性が見つかっており、Exchangeの権限昇格脆弱性CVE-2026-62911はPwn2Own Berlinで実演されたものだ。 今後の対応 Microsoftは重大度Critical相当の脆弱性を42件(ZDI集計では62件)含む今回の更新の速やかな適用を推奨している。特にCVE-2026-68820は攻撃キャンペーンで既に悪用が確認されており、また複数の重大なRCE脆弱性が認証不要で悪用可能であることから、企業のセキュリティ担当者には優先度の高いパッチ適用が求められる。AIによる脆弱性発見の効率化を背景に、今後も大規模な月例更新が続く可能性が高く、パッチ管理体制の見直しが必要になりそうだ。