Security News Daily

修正不可能なApple脆弱性とCISA緊急警告の集中：Fortinet・Splunk大規模脅威

Apple A12/A13チップのハードウェアレベル修正不可能な脆弱性、86,644台のFortinetデバイスを襲うFortiBleed、認証不要RCEのSplunk脆弱性など、CISAが緊急警告を発令した重大インシデントの詳細と対策を解説

緊急脆弱性CISA警告ハードウェアセキュリティランサムウェアデータ漏洩

今日のハイライト

2026年6月20日は、ハードウェアレベルの修正不可能な脆弱性から大規模な政府機関緊急パッチ指示まで、多層的かつ深刻なセキュリティインシデントが集中した日です。特にAppleのSecureROM脆弱性はデバイスの信頼根幹を損なう永続的な脅威であり、CISAが週末対応を要求したSplunkとFortinetの脆弱性は、エンタープライズインフラの即座の保護を迫る緊急性を持っています。

1. 修正不可能なApple SecureROM脆弱性「usbliter8」

重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

Paradigm Shiftの研究者が、Apple A12およびA13チップのSecureROM（ブートROM）内で任意コード実行を達成するエクスプロイト「usbliter8」を公開しました。このコードは製造時にシリコンに焼き付けられており、ソフトウェアアップデートでは修正不可能です。iPhone XS/XR/11シリーズなど、数百万台のデバイスのブートチェーン信頼の根幹が永続的に損なわれる重大なハードウェア脆弱性です。

考察

  • 実務対策: まず物理的セキュリティの徹底が必須です。USB経由のDFUモードアクセスを防ぐため、デバイスを物理的に保護し、不明なUSBデバイスの接続を厳禁にしてください。MDM（Mobile Device Management）でのデバイス状態監視を強化し、ジャイルブレイクの痕跡検知ルールを追加検討します。長期的には、機密性の高い業務では該当チップを搭載したデバイスの段階的な交換・廃棄も視野に入れるべきでしょう。

  • 技術的背景: SecureROMはデバイス起動時に最初に実行される不変のコードであり、チェックメイト（checkm8）以来の重大なブートROM脆弱性です。ハードウェアベースのeFuse技術によりパッチ適用が物理的に不可能なため、攻撃者は永久にブートチェーンを制御でき、セキュアブートやハードウェア暗号化の回避が可能になります。

  • 業界トレンド: IoT/モバイルデバイスの長期サポート限界が浮き彫りになりました。5年以上前のデバイスが現役で運用される企業環境では、ハードウェアセキュリティの「技術的負債」が顕在化し、サプライチェーン全体の信頼モデル見直しが迫られます。

参照元

2. CISA緊急警告：86,644台のFortinetデバイスがFortiBleed被害

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

CISA（米国サイバーセキュリティ・インフラストラクチャ安全保障庁）がFortinet顧客に緊急警告を発令しました。FortiBleedと呼ばれる攻撃キャンペーンにより、インターネットに公開されたFortiGateファイアウォールおよびVPNの約半数に相当する86,644台が標的となっています。認証情報の漏洩と既存の侵害リスクが確認されており、即座の対応が必須です。

考察

  • 実務対策: まず該当デバイスのファームウェアを最新版に緊急更新し、すべての管理アカウントのパスワードとSSL VPN証明書を強制リセットしてください。インターネットに公開されたVPNの見直しを行い、可能であればZTNA（Zero Trust Network Access）への移行を検討します。CISAのBinding Operational Directive（BOD）に基づく対応が連邦機関に求められていますが、民間企業も同水準の緊急対応が望ましいです。

  • 技術的背景: FortinetのSSL VPN機能は過去から攻撃者に狙われてきた脆弱な攻撃面です。今回のキャンペーンでは、デバイスから平文の認証情報を抽出する手法が用いられており、初期アクセスブローカー（IAB）が取得した認証情報を暗号通貨で売買するエコシステムと連動している可能性があります。

  • 業界トレンド: エッジネットワークデバイスの集中攻撃が常態化しています。特に国家支援攻撃者やランサムウェア集団が、VPNやファイアウォームを「柔らかい標的」として狙う傾向が強まっており、パッチ管理のサイクルが攻撃者の武器化スピードに追いついていない現状が浮き彫りになっています。

参照元

3. CISAが日曜日までのパッチ適用を指令：Splunk認証不要RCE脆弱性

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: BleepingComputer

概要

CISAは連邦機関に対し、Splunk Enterpriseの重大な脆弱性（CVE-2026-20253）に対するパッチを日曜日（6月22日）までに適用するよう緊急指令（BOD 26-04）を発出しました。この脆弱性はPostgreSQL sidecarサービスの認証欠如により、認証不要で任意のファイル作成・切り詰めが可能となり、最終的にリモートコード実行（RCE）に悪用される危険性があります。Shadowserverの調査では、インターネットに公開されたSplunkインスタンスが1,400台以上（北米952台、欧州223台）存在することが確認されています。

考察

  • 実務対策: 即座のパッチ適用（10.2.4以降、10.0.7以降）が最優先です。パッチ適用までの間は、PostgreSQL sidecarサービスを無効化することで攻撃表面を削減できます（ただしEdge ProcessorやOpAmp機能が停止する副作用に注意）。管理コンソールのインターネット公開を直ちに停止し、VPN経由のアクセスに限定してください。

  • 技術的背景: サイドカーサービスはメインアプリケーションとは別プロセスで動作するため、認証メカニズムの実装が漏れやすい典型的なアーキテクチャ的脆弱点です。ファイル作成→権限昇格→RCEという攻撃チェーンは、WatchTowrがPoCコードを公開したことで、スクリプトキディーでも再現可能な水準に達しています。

  • 業界トレンド: SolarWinds事件以来、監視インフラ（SIEM/SOAR）自体が標的化する傾向が強まっています。セキュリティ監視システムが侵害されると「監視する者が監視されない」状態となり、長期間にわたる侵害の気付きが遅れる最悪のシナリオが発生します。監視システムの隔離と多層防御の重要性が再認識されています。

参照元

4. The Gentlemen RaaS：400プロセスを標的とするEDRキラー框架「GentleKiller」

重要度: 🟠 High (8/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

The Gentlemenというランサムウェア・アズ・ア・サービス（RaaS）が、GentleKillerと呼ばれる高度なEDR（エンドポイント検出応答）キラー框架をアフィリエイトに配布しています。このツール群は400のセキュリティプロセスを標的とし、暗号化実行前に体系的に防御策を無力化します。従来のEDRキラーが特定の製品を対象とするのに対し、包括的なプロセスリストを網羅している点が特徴です。

考察

  • 実務対策: EDR製品のタンパリング検知（Tamper Detection）機能を最大限に有効化し、EDRプロセスの異常終了やドライバーの停止をアラートするルールを強化してください。EDRに依存しすぎず、ネットワークベースの異常検知（NDR）や、オフライン・不変バックアップによる最終防衛ラインを確保することが重要です。特に特权アカウントの保護とJust-In-Timeアクセス制御を強化し、EDR無効化後の横展開を遅延させます。

  • 技術的背景: GentleKillerはBring Your Own Vulnerable Driver（BYOVD）技術を用い、脆弱な署名付きドライバーを悪用してカーネルレベルでEDRを停止します。400プロセスという網羅性は、市販のEDR製品だけでなく企業独自のセキュリティツールも標的にする意図を示唆し、防御回避（Defense Evasion）の商品化が進んだことを示しています。

  • 業界トレンド: RaaSの専門化が極まっており、初期アクセス、防御回避、暗号化、交渉の各フェーズで専門家が分担する「産業化」が進行しています。EDRキラーの「フレームワーク化」は、技術的熟練度の低い攻撃者でも高度な攻撃を実行可能にし、防御側の検知ルールの陳腐化を加速させます。

参照元

5. テキサス州政府：300万人分の運転免許情報が流出

重要度: 🟠 High (8/10) | カテゴリ: データ漏洩 | ソース: BleepingComputer

概要

テキサス州公園野生生物局（TPWD）が、ライセンスシステムのベンダーに対する侵害を公表しました。これにより300万人以上（3,087,721人）の狩猟・釣り免許顧客の個人情報が流出しました。流出したデータには運転免許情報、パスポート番号、メールアドレス、電話番号、住所が含まれますが、SSNや金融情報は影響を受けていないとされています。

考察

  • 実務対策: まずサードパーティリスク管理（TPRM）プログラムを見直し、政府機関・公共機関と同様の厳格なセキュリティ基準をベンダー契約に盛り込む必要があります。影響を受けた可能性のある個人には、1年間の無料クレジット監視サービス提供に加え、クレジット凍結（Credit Freeze）の実施を強く推奨してください。フィッシング詐欺への警戒を呼びかけ、運転免許番号を用いた身分証明詐欺の監視を強化します。

  • 技術的背景: 政府機関は外部ベンダーに業務を委託することが多く、そのセキュリティは委託先の最弱リンクに依存します。運転免許番号やパスポート番号は変更不可能な識別子であるため、流出後の影響は半永久的に続き、合成身分（Synthetic Identity）詐欺や、より精巧なソーシャルエンジニアリングの材料として悪用されます。

  • 業界トレンド: 公共部門におけるサプライチェーン攻撃が急増しています。政府機関のセキュリティ予算と、ベンダーの実際のセキュリティ水準の間に断絶があり、市民のプライバシーがそのリスクを被る構造が問題となっています。Zero Trustアーキテクチャの政府導入が進む中、外部委託先の「信頼しない」徹底が課題です。

参照元

まとめ

2026年6月20日のニュースは、ハードウェアの永続的脆弱性（Apple）、エッジインフラの大規模侵害（Fortinet）、監視システムの標的化（Splunk）という、防御側の根幹を揺るがす多層的な脅威を示しています。CISAの緊急対応（BOD）が2件連続で発令されたことは、これらの脆弱性が国家レベルのセキュリティリスクを抱えていることを示唆しています。

今後の注視ポイントとしては、Appleデバイスの物理的セキュリティ管理、Fortinet/Splunkのパッチ適用率の推移、そしてGentleKiller型EDRキラーへの対策強化が挙げられます。特に、セキュリティ監視インフラ自身の保護と、サプライチェーン・ベンダーリスクの再評価は、即座に着手すべき優先課題です。

参照元