Palo Alto緊急パッチと国家級APTの多層攻撃〜認証バイパス手法の最新動向
CVSS 9.3のPalo Alto PAN-OS認証不要RCE脆弱性がCISA KEVに追加され緊急対応が必須に。一方、Daemon Toolsサプライチェーン攻撃やMuddyWaterのTeams悪用、Chrome暗号化バイパスなど、境界からエンドポイントまで防御層を突く国家級APTの高度な手口が相次いで発覚。
今日のハイライト
本日のセキュリティ動向は、ネットワーク境界を守るファイアウォールのゼロデイ脆弱性から、エンドポイントの多要素認証（MFA）やブラウザ暗号化を突破する高度なマルウェアまで、防御の各層を狙う多角的な攻撃が確認されました。特に国家級APTグループ（イランのMuddyWater、中国語話者のDaemon Tools攻撃集団）が既存の信頼関係（公式ソフトウェア配布サイト、Microsoft Teams、Windows Phone Link）を悪用する手法が目立ち、従来の境界防御モデルの限界を浮き彫りにしています。
1. Palo Alto PAN-OS 認証不要RCE脆弱性（CVE-2026-0300）
概要
Palo Alto NetworksがPAN-OSソフトウェアのクリティカルなバッファオーバーフロー脆弱性（CVE-2026-0300）に関する緊急アドバイザリを発表しました。CVSSスコア9.3を付与された本脆弱性は、認証不要でリモートコード実行（RCE）が可能な深刻な問題で、すでに実際の攻撃で悪用（in the wild）されていることが確認されています。CISAもKnown Exploited Vulnerabilities（KEV）カタログに追加し、連邦機関に対して5月28日までの対応を要請しています。
考察
即座の対策が生死を分ける境界防御の危機：ファイアウォールは組織の最前線防御でありながら、今回のようにその自身に認証不要のRCE脆弱性が存在する場合、攻撃者はネットワーク境界を完全に掌握し、内部への横展開の足がかりを得ることになります。特に管理インターフェースがインターネットに露出している環境では、即座のパッチ適用が必須です。
攻撃者の標的選定の背景：Palo AltoのNGFWは大手企業や政府機関、重要インフラで広く採用されており、攻撃者にとっては「一度の侵害で大きな成果が得られる」高価値標的です。CISAのKEV追加は、本脆弱性が国家級脅威アクターや大規模ランサムウェア集団に積極的に利用されていることを示唆しています。管理インターフェースへのアクセス制限（IPアドレス制限、VPN経由のみの許可）と、緊急パッチ適用の両輪で対応する必要があります。
参照元
2. Daemon Toolsサプライチェーン攻撃〜政府・科学機関への標的型侵害
概要
人気ディスクイメージングソフト「Daemon Tools」の公式配布サイトが侵害され、バージョン12.5.0.2421から12.5.0.2434（4月8日以降リリース）に悪意のコードが注入されたサプライチェーン攻撃が発覚しました。中国語を話す攻撃者とされる集団は、DTHelper.exeなど3つの署名付きバイナリを改竄し、起動時にバックドアを作動させます。世界中で数千台に情報収集マルウェアが展開された一方、ベラルーシ、ロシア、タイの政府・科学・製造・小売機関の12台のみに高度な第2段階バックドア（QUIC RAT含む）が選択的に展開されました。
考察
「水飲み場型」攻撃の高度化と標的選別：広範囲に展開された情報収集マルウェアは「スクリーニング」用途であり、真正の被害者（政府・科学機関）を特定した後に限って高度なバックドア（QUIC RAT）を展開するという、国家級APT特有の慎重な標的選別プロセスが観察されます。これは「ビッグゲームハンティング（金目の標的のみを狙う）」か、あるいはサイバー諜報活動の可能性が高いです。
サプライチェーンの信頼崩壊と対策：正規のコード署名証明書を用いた公式サイトからの配布という、最も信頼されるべき流通経路が悪用された点が特に深刻です。組織はソフトウェアのハッシュ値検証（可能な場合）や、Sandbox環境での動作確認、そしてエンドポイントでの異常なDNS問い合わせ（typosquattingドメインへの通信）の監視が重要になります。特に「インストール後も通信を続ける」インストーラーは、今後さらなる標的型攻撃の入口となる可能性があります。
参照元
3. MuddyWaterの偽旗ランサムウェア攻撃〜Microsoft Teams悪用
概要
イラン政府支援のAPTグループ「MuddyWater」（別名：Mango Sandstorm、Seedworm）が、Microsoft Teamsを悪用したソーシャルエンジニアリング攻撃を実施し、ランサムウェア攻撃を偽装（False Flag）したサイバー諜報活動がRapid7によって確認されました。2026年初頭に観測された本攻撃では、Teamsを介した認証情報窃取が行われ、攻撃者はランサムウェア集団として振る舞うことで、実際の帰属（アトリビューション）を隠蔽しようとしました。
考察
コミュニケーションプラットフォームの信頼悪用：Microsoft Teamsは組織内で高い信頼性を持つコミュニケーションツールであり、従業員は「社内からの連絡」として警戒心を薄くします。攻撃者がこの信頼関係を悪用する点は、従来のメールベースのフィッシングよりも成功率が高い危険な手法です。Teamsの外部アクセス設定やゲストアカウント管理の見直しが急務です。
偽旗作戦とAPTの戦術進化：MuddyWaterがランサムウェアを「偽装」したことは、従来の破壊型（wiper）や純粋な金銭目的のランサムウェアとの境界が曖昧になりつつある現状を示しています。攻撃者は「金銭目的の犯罪者」として振る舞うことで、国家級APTとしての追跡・報復を回避し、同時に被害組織の「諜報活動」としての公表を躊躇させる心理戦を仕掛けています。被害を受けた組織は、ランサムウェアの要求に応じる前に、攻撃者の真の目的（データ窃取 vs 金銭要求）を正しく識別する必要があります。
参照元
4. Windows Phone Link悪用によるMFAバイパス（CloudZ RAT）
概要
CloudZリモートアクセストロイ（RAT）と、未文書化の「Pheno」プラグインを組み合わせた攻撃キャンペーンが確認されました。本攻撃では、Windowsの「Phone Link」機能（PCとスマートフォンの連携機能）を悪用し、SMSメッセージや2要素認証（2FA）のワンタイムパスワード（OTP）を窃取します。これにより、攻撃者は多要素認証（MFA）をバイパスし、認証情報の窃取を完了させます。
考察
MFAバイパスの新たなベクトル：SMSベースの2FAは既に「SIMスワップ」や「リアルタイムフィッシング」で脆弱とされていますが、今回のPhone Link悪用は、PC側からスマートフォンの通知を直接読み取るという新たな手法です。これは「プッシュ通知による承認」や「SMSコード入力」といったMFA手法を、エンドポイントが侵害された時点で無力化します。
エンドポイント統合のリスク管理：Phone Linkのようなデバイス間連携機能は利便性を高めますが、攻撃 surface を拡大させます。特に企業端末で個人スマートフォンを連携させている場合、個人デバイスの感染が企業環境に波及するリスクがあります。機密性の高いアクセスには、ハードウェアセキュリティキー（FIDO2/WebAuthn）や、別チャネル（専用デバイス）での認証を要求するポリシーの採用を検討すべきです。
参照元
5. VoidStealerによるGoogle Chrome暗号化保護（ABE）バイパス
概要
情報窃取型マルウェア「VoidStealer」が、Google Chromeの「App-Bound Encryption（ABE）」保護メカニズムを迂回する新たな手法を発見したと報告されました。ABEは、Chromeに保存されたパスワードを、ブラウザプロセスのみが復号できるように保護する技術ですが、VoidStealerはこれを突破し、保存された認証情報の窃取を可能にしています。
考察
ブラウザ保存パスワードの保護とその限界：Googleは近年、情報窃取マルウェア（Stealer）対策としてABEを強化してきましたが、今回のバイパスは「攻撃者の適応速度」の速さを示しています。ブラウザにパスワードを保存することのリスクは継続的に高まっており、特に企業環境ではブラウザのパスワードマネージャー使用を禁止し、専用のエンタープライズパスワードマネージャー（暗号化キーがユーザー/企業管理下にあるもの）への移行を推奨する必要があります。
マルウェアの商業化と拡散リスク：VoidStealerのようなStealerマルウェアは、暗号資産ウォレットやSaaS認証情報を標的とし、MaaS（Malware as a Service）として販売される傾向があります。Chrome ABEのバイパス手法が公開・流通すれば、世界中の犯罪者に利用される可能性があり、影響範囲は極めて広範になります。エンドポイント検出（EDR）でのブラウザメモリアクセスの異常監視と、資格情報の定期的なリセットが有効な対策となります。
参照元
まとめ
本日のニュースは、**「信頼されるインフラの悪用」と「認証バイパスの高度化」**という2つの大きなトレンドを示しています。Palo Altoのファイアウォール脆弱性は境界防御の絶対的信用を揺るがし、Daemon Toolsの公式サイト改竄はサプライチェーンの信頼を、TeamsやPhone Linkの悪用は社内コミュニケーションの信頼を、それぞれ崩壊させます。
同時に、MFAやChrome ABEといった「最後の砦」とされる保護メカニズムが、PhenoプラグインやVoidStealerによって次々と突破されようとしています。これは、単一の防御技術への依存の限界を示しており、ゼロトラストアーキテクチャ（常に検証、最小権限、多層防御）の徹底が唯一の解となります。
今後の注視ポイントとしては、Palo Alto脆弱性の悪用がランサムウェア集団に広がるか、Daemon Tools攻撃の第2段階ペイロードの詳細、そしてChrome ABEバイパス手法の他のStealerマルウェアへの横展開（ポートング）の3点が挙げられます。特に5月28日までのCISA対応期限を迎えるPalo Alto脆弱性の対応状況は、日本の組織においても緊急の優先事項となるでしょう。
参照元
- Palo Alto PAN-OS Flaw Under Active Exploitation Enables Remote Code Execution →
- Government, Scientific Entities Hit via Daemon Tools Supply Chain Attack →
- MuddyWater Uses Microsoft Teams to Steal Credentials in False Flag Ransomware Attack →
- Windows Phone Link Exploited by CloudZ RAT to Steal Credentials and OTPs →
- Yet Another Way to Bypass Google Chrome's Encryption Protection →