Security News Daily

Cisco緊急ゼロデイとChrome過去最多パッチ、自己拡散型ワームまで—多層的脅威が集中

Cisco SD-WANの未修正ゼロデイ（CVE-2026-20245）が悪用され、Chromeは429件の脆弱性を一斉修正。npmエコシステムでは自己拡散型ワームが出現し、米国のガソリンスタンドタンク監視システム900台以上がインターネットに露出。中国APTは新マルウェアで18ヶ月以上潜伏する高度な攻撃を展開。

ゼロデイ脆弱性サプライチェーン攻撃重要インフラAPTSD-WAN

今日のハイライト

本日のセキュリティニュースは、企業インフラの中核を突く未修正ゼロデイから、数十億人に影響するブラウザの記録的パッチ、さらには開発者エコシステムを自律的に感染する新型ワームまで、多層的かつ高度化した脅威が集中しています。特にCisco SD-WAN Managerのroot権限昇格脆弱性はパッチ未提供であり、一方で中国APTグループは18ヶ月以上の長期潜伏と再侵害を成功させるなど、防御側の検出・対応能力が厳しく問われる事態が続出しています。

1. Cisco SD-WAN Manager 未修正ゼロデイ（CVE-2026-20245）

概要

CiscoはCatalyst SD-WAN Manager（旧vManage）において、既に攻撃で悪用されている高危険度のゼロデイ脆弱性（CVE-2026-20245）を警告しました。本脆弱性はユーザー入力の検証不備により、ローカル攻撃者が低特権からroot権限への昇格を可能にします。現在パッチは提供されておらず、On-Prem、Cloud-Pro、FedRAMPを含む全デプロイメントタイプに影響します。

考察

  • 即座の対策: 現状ではパッチが存在しないため、CiscoはまずCVE-2026-20182（5月14日修正済みの認証バイパス）への迅速なアップグレードを強く推奨しています。本ゼロデイの悪用には「netadmin」権限が必要であり、これはCVE-2026-20182やCVE-2026-20127（情報漏洩）とのチェーン攻撃で取得されるケースが確認されているためです。/var/log/scripts.logでの不審なテナント設定アップロード（vconfd_script_upload_tenant_list.shの異常呼び出し）の監視を直ちに開始すべきです。

  • 攻撃手法の分析: Mandiant（Google Cloud）による報告から、本脆弱性は国家レベルの脅威アクターによる標的型攻撃で悪用されている可能性が高いです。vManageは最大6,000台のSD-WANエッジデバイスを一元管理する中枢システムであり、root権限を奪取されると設定変更をエッジデバイスに強制配信（push）されるリスクがあります。これはネットワークセグメンテーションの完全な崩壊を意味します。

  • 業界トレンド: 2026年に入ってCisco SD-WAN関連で7件目のゼロデイが確認されるなど、エッジネットワーク管理システムが高度な脅威アクターの主要な標的となっています。SD-WANの採用拡大に伴い、管理画面への特権アクセス管理と多要素認証の徹底が急務です。

参照元

2. Chrome 149：過去最多の429脆弱性修正

概要

GoogleはChrome 149の安定版リリースにおいて、過去最多となる429件のセキュリティ脆弱性を修正しました。うち100件以上が重大（Critical）または高（High）深刻度であり、主にuse-after-freeと信頼できない入力の検証不備が含まれます。最も深刻なCVE-2026-10881（CVSS 9.6）はANGLEグラフィックスエンジンのout-of-bounds読み書きにより、細工されたHTMLページでサンドボックス脱出とOS上でのコード実行を可能にします。

考察

  • 実務対策: 全エンドポイントでの即座のブラウザ更新（Linux: 149.0.7827.53、Windows/macOS: 149.0.7827.53/54）が必須です。特にANGLE（Almost Native Graphics Layer Engine）はWebGL実装の中核であり、グラフィックススタックの脆弱性はサンドボックス境界を容易に越えるため、エンタープライズ環境ではサイト分離（Site Isolation）の強化設定と併せて対応すべきです。

  • 技術的背景: 脆弱性の急増（2025年の総修正数を既に上回るペース）には、AIを活用したファジング（Fuzzing）や静的解析の普及が大きく寄与しています。Googleは4月にバグバウンティ報酬を引き下げており、自動化による低コストでの脆弱性発見が常態化していることを示唆しています。CVE-2026-10881に対する$97,000の高額報酬は、サンドボックス脱出の実現可能性と影響範囲の大きさを反映しています。

  • トレンドとの関連: ブラウザは依然として最も広く攻撃される攻撃面であり、特use-after-freeの多発はメモリ安全性の課題を浮き彫りにしています。Rustなどの安全な言語への段階的移行（Chromiumの「Rust in Chromium」プロジェクト）が急務であることを示す結果と言えるでしょう。

参照元

3. npmエコシステムへの自己拡散型ワーム攻撃（IronWorm/Miasma）

概要

npmレジストリを標的としたソフトウェアサプライチェーン攻撃が発生し、50以上の正規パッケージの悪意あるバージョンがRust製の情報窃取マルウェア「IronWorm」と、自律的に伝播する能力を持つ「Miasma」ワームを配布しています。これらは開発者環境に侵入し、さらに他のパッケージに感染を広げる自己拡散型の特徴を持ちます。

考察

  • 実務対策: 依存関係の凍結（lock fileの厳格な管理）と、CI/CDパイプラインにおける「install」スクリプトの無効化またはサンドボックス化が有効です。特にMiasmaワームは、感染した開発者マシンから新たなパッケージの公開を試みる可能性があるため、組織内のnpm認証トークンの定期的なローテーションと最小権限化（publish権限の厳格な制限）を直ちに実施すべきです。

  • 攻撃手法の技術的背景: Rust製マルウェアの採用は、従来のJavaScript/TypeScript製マルウェアと比較して検出困難性（ネイティブコードとして動作するため静的解析が困難）と実行速度（速い情報窃取）を両立させる狙いがあると考えられます。自己拡散型ワームの出現は、従来の「特定の標的を狙った悪意あるパッケージ」から「エコシステム全体を感染させる生物学的脅威」への進化を示唆し、極めて危険な先行事例となります。

  • 業界トレンド: 2024年以降、npmやPyPIにおけるサプライチェーン攻撃は「typosquatting（タイポ乗っ取り）」から「正規パッケージの乗っ取り（アカウント侵害）」や「依存関係の混乱（dependency confusion）」へと移行しています。今回のように既存の正規パッケージの新バージョンが悪用されるケースは、バージョン管理と署名検証の重要性を再認識させます。

参照元

4. 米国のガソリンスタンドタンク計測システム（ATG）900台以上がインターネット露出

概要

CISA、FBI、NSA、エネルギー省などの米政府機関が共同勧告を発出。燃料や化学薬品の貯蔵タンクを監視する自動タンク計測システム（ATG）900台以上がインターネットに露出し、継続的な攻撃を受けていることを警告しました。攻撃者はハードコードされた認証情報やSQLインジェクションなどを悪用し、システム設定の変更やアラートの無効化を行っています。

考察

  • 実務対策: 重要インフラを運用する組織は、ATGシステムへのインターネット直接接続を直ちに遮断し、VPNやファイアwall ACLを介した制御されたアクセスに移行する必要があります。デフォルトパスワードの強制変更、多要素認証の導入、およびファームウェアの最新化が必須です。特にShadowserverの報告にあるポート10001/tcpへの露出状況を確認し、不要な外部アクセスを閉じることが急務です。

  • 攻撃の動機と影響: 5月のCNN報道によると、イランの国家支援ハッカーがこれらのシステムに侵入した疑いがあります。ATGへの攻撃は、燃料供給網の監視機能を麻痺させ、漏洩検知アラートを無効化することで環境災害や供給停止を引き起こす可能性があります。これは経済的混乱を目的とした「破壊的攻撃（disruptive attack）」の準備段階と解釈できます。

  • OTセキュリティの課題: 工業制御システム（ICS）のインターネット露出は長年の課題ですが、ガソリンスタンドという身近な重要インフラが対象になったことで、OTセキュリティの脆弱性が現実の社会インフラリスクとして顕在化しています。ITとOTの境界を曖昧にせず、ネットワーク分離とプロトコルゲートウェイの導入が求められます。

参照元

5. 中国APT（UNC5221）の新マルウェア「Plenet」「AgentPSD」

概要

中国の諜報活動グループUNC5221（別名VerdantBamboo）が、Microsoft 365環境への長期アクセスを維持するために新種のマルウェア「Plenet」と「AgentPSD」を展開していることが判明しました。同グループはBrickstormバックドア（Go言語からRustへ進化）を使用し、少なくとも18ヶ月間検出されずにネットワーク内に潜伏していました。

考察

  • 実務対策: M365環境では「Conditional Accessポリシー」の厳格化と、SSL VPN経由のアクセスに対するデバイスコンプライアンスチェックの導入が有効です。特に本ケースでは、侵害された管理サービス提供者（MSP）経由で再侵害が行われたため、サードパーティーアクセスの監視と、MSP自身のセキュリティ監査が不可欠です。Egnyte Storage SyncやSynology NAS、pfSenseファイアウォールなど、境界デバイスとストレージシステムの監視ログを統合して分析すべきです。

  • 攻撃者の高度な手法: 18ヶ月以上の潜伏と、修復後の再侵害（re-compromise）は、攻撃者がネットワークの完全な「ブループリント（設計図）」を掌握し、複数の永続化メカニズム（BrickstormのBSD変種など）を展開していたことを示唆します。MSPへの侵入は「サプライチェーン攻撃」の一種であり、単一の顧客だけでなく複数組織に横展開されるリスクがあります。

  • 戦略的含意: UNC5221は2023年以降、エッジデバイスのゼロデイを悪用しており、今回のM365標的化は「クラウドワークロードへの移行」を追跡する高度な脅威アクターの適応を示しています。Brickstormの言語移行（Go→Rust）は、検出回避と性能向上を図る攻撃者の技術的進化を反映しており、単純なIOC（ハッシュ値）による検出では不十分なことを示唆しています。挙動検知（Behavioral Detection）とエンドポイント検出応答（EDR）の導入が必須です。

参照元

まとめ

本日のニュースは、**「修正不可能なゼロデイ（Cisco）」「記録的な脆弱性数（Chrome）」「自律的に拡散するサプライチェーン脅威（npm）」「物理インフラへの直接攻撃（ATG）」「長期潜伏と再侵害の高度APT」**という、防御側のあらゆるレイヤーを同時に試す多角的な攻撃キャンペーンが活発化していることを示しています。

特に注目すべきは、Cisco SD-WANのような「ネットワークの神経中枢」が未修正のまま悪用されている点と、中国APTがMSPを介した再侵害を成功させた点です。これらは「一度侵害されたシステムは完全に信用できない」というゼロトラスト原則の徹底と、修復後の徹底的なフォレンジック調査（侵害の「深さ」と「広さ」の両面を確認）の重要性を再認識させます。

今後の注視ポイントとしては、Ciscoのパッチリリース（CVE-2026-20245対応）、npmエコシステムにおける自己拡散型ワームの感染範囲の拡大、および米国重要インフラに対するイラン関連グループの攻撃エスカレーション（報復攻撃の可能性）が挙げられます。防御側は、個別の脆弱性対応に加えて、これらの脅威が連鎖した場合の「複合的シナリオ」に対するレジリエンス強化を急ぐべきです。

参照元