Microsoft史上最多622件のパッチとゼロデイ集中、ロシアAPTによる重要インフラ攻撃
Microsoftが史上最多の622件の脆弱性を修正するPatch Tuesdayを実施し、2件のゼロデイが既に悪用されている。SonicWall、SharePoint、ShareFileでもゼロデイまたは積極的な悪用が確認され、米国と同盟国はロシアの国家支援APTによる重要インフラ向けルーター攻撃について共同警告を発した。
今日のハイライト
2026年7月15日、Microsoft史上最多の622件の脆弱性修正を含むPatch Tuesdayが実施され、うち2件は既に悪用されているゼロデイ脆弱性だった。さらにSonicWall、SharePoint、ShareFileでもゼロデイまたは積極的な悪用が確認され、同日米国と11カ国の同盟国はロシアの国家支援APTによる重要インフラ向けルーター攻撃について共同警告を発した。エッジデバイスから内部基盤まで、多層的な脅威が同時に表面化した一日となっている。
1. Microsoft史上最多の622件の脆弱性修正、2件のゼロデイを含む
重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News
概要
Microsoftが史上最大規模のPatch Tuesdayを実施し、622件の独自CVEに対するセキュリティ更新をリリースした。前月の約200件を大きく上回る記録的なリリースであり、そのうち2件は既に攻撃でアクティブに悪用されているゼロデイ脆弱性を含む。対象はWindows、Active Directory、Officeなど、世界中の組織で広く利用される製品群に及ぶ。
考察
- 影響を受ける組織が取るべき具体的対策: まず2件のゼロデイに対するパッチを最優先で適用する。622件すべてを即座に適用するのは現実的ではないため、RCEや権限昇格、既知の悪用がある脆弱性をCVSSだけでなくCISA KEVカタログやMicrosoftのエクスプロイテッド情報と照合して優位順位を決定すべき。WSUS、SCCM、Intuneでの展開後、再起動の有無とインストールの成功を自動検証する仕組みを回す。
- 攻撃手法の技術的背景や攻撃者の動機: 622件という爆発的な数は、Microsoft製品の攻撃面の拡大とコードベースの複雑化を示唆している。攻撃者はパッチリリース直後にリバースエンジニアリングを行い、パッチ差分からN-dayの悪用コードを開発する。今回の2件のゼロデイは、すでに攻撃者が攻撃インフラを持っていたことを意味し、おそらく高度な脅威アクターまたは広く流通するエクスプロイトキットに組み込まれている。
- 業界トレンドとの関連性: 月次の脆弱性修正件数の増加傾向は継続しており、AI支援によるコードレビューと脆弱性発見がその一端を担っている可能性もある。一方で、ゼロデイの悪用が常態化していることから、ゼロトラストとセグメンテーション、そしてEDRによる可視化が、パッチ適用までの猶予期間を確保するための必須レイヤーとなっている。
参照元
2. SonicWall SMA1000に2件のゼロデイ、CISAもKEVカタログに追加
重要度: 🔴 Critical (9/10) | カテゴリ: ゼロデイ | ソース: BleepingComputer
概要
SonicWallがSMA1000アプライアンスの2件のゼロデイ脆弱性（CVE-2026-15409、CVE-2026-15410）について緊急警告を発した。両脆弱性は既に実際の攻撃で悪用されており、CISAもKnown Exploited Vulnerabilities（KEV）カタログに追加。同社は顧客に対して、新たにリリースされたセキュリティ更新の即座適用を強く求めている。
考察
- 影響を受ける組織が取るべき具体的対策: SMA1000をインターネットに公開している組織は、直ちにパッチを適用するか、一時的にアクセスを制限する。パッチ適用後も管理画面へのIP制限、多要素認証（MFA）の強制、VPNアクセス元のGeoIPフィルタリングを見直す。CISA KEVに登録されたため、連邦政府関連組織には24時間以内の対応が求められる可能性もある。
- 攻撃手法の技術的背景や攻撃者の動機: リモートアクセスVPNアプライアンスは、ネットワーク境界における「王冠」であり、認証バイパスやRCEが取得できれば、攻撃者は内部ネットワークに信頼された接続として侵入できる。SonicWallは過去にも重大な脆弱性が複数確認されており、ランサムウェアグループ（例：LockBit、Akira）が初期アクセスとしてこうしたエッジデバイスを好んで標的にする。
- 業界トレンドとの関連性: エッジデバイスのゼロデイは、2024-2025年のIvanti、Citrix、Fortinet、Palo Altoの事例と同様に、企業VPNの「信頼された入口」としてのリスクを再認識させる。境界防御の完全な信頼は不可能であり、エッジデバイス自身のEDR相当のログ監視と異常検知が必要。
参照元
3. 米国と同盟国がロシアAPTの重要インフラルーター攻撃を共同警告
重要度: 🔴 Critical (9/10) | カテゴリ: 国家支援攻撃 | ソース: SecurityWeek
概要
米国、英国、オーストラリア、カナダなど11カ国の政府機関が共同勧告を発表し、ロシア連邦保安局（FSB）Center 16に関連するAPTグループ（Berserk Bear、Energetic Bear、Dragonflyなど）が、通信、防衛産業基盤、エネルギー、金融、政府、保健などの重要インフラセクターのルーターを標的にしていると警告した。攻撃者はSNMP set-requestsを悪用して設定ファイルを窃取し、Ciscoデバイスの既知の脆弱性（CVE-2008-4128、CVE-2018-0171）も利用している。TTPの一部は中国のSalt Typhoonと重複するものもある。
考察
- 影響を受ける組織が取るべき具体的対策: まずCisco Smart Installを全デバイスで無効化し、SNMPv1/v2を直ちに停止してSNMPv3（暗号化あり）に移行する。ネットワーク機器の管理インターフェースにユニークな強力なパスワードを設定し、安全に保存する。エッジファイアウォールで外部からのSNMPおよびTFTPポートを遮断し、ローカルアカウントでのログインを監視・アラートする。NSAが発表したSNMP悪用リスク低減に関する勧告も参照すべき。
- 攻撃手法の技術的背景や攻撃者の動機: ルーターなどのネットワーク機器は、長期間パッチが適用されず、設定ファイルからはネットワークトポロジーや認証情報が漏洩する。SNMPは監視に必須だが、v1/v2はコミュニティストリングが平文であり、set-requestで設定を書き換えたり、TFTPで外部に転送させたりできる。FSBの戦略的目標は、紛争時の重要インフラの破壊や平時の長期潜伏による情報収集にある。
- 業界トレンドとの関連性: 地政学的緊張の高まりに伴い、重要インフラを標的とする国家支援APTの活動が活発化している。特に、中国のSalt TyphoonとロシアのFSBグループのTTPが重複している点は、国家間での手法の共有や独立した収束かは不明だが、防御側としては「国境を越えた」共通の脅威として対処する必要がある。ネットワーク機器のセキュリティは長年見過ごされがちだが、いまや国家間攻防の最前線となっている。
参照元
4. CISAがSharePoint Serverの積極的な悪用を確認、ハードニングを強く推奨
重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: CISA Alerts
概要
CISAが、SharePoint Serverの3件の脆弱性（CVE-2026-32201、CVE-2026-45659、CVE-2026-56164）がオンプレミス環境で積極的に悪用されていることを確認した。全サポート対象バージョン（Subscription Edition、2019、2016）に影響し、リモートコード実行（RCE）とIISマシンキーの窃取、デシリアライゼーションを利用した永続化やマルウェア展開が可能となる。CISAはAMSI（Antimalware Scan Interface）統合の有効化や、特定のDefender検知ルールへの警戒を求めている。
考察
- 影響を受ける組織が取るべき具体的対策: まずMicrosoftの最新パッチを適用し、インストールの成功を検証する。各SharePoint WebアプリケーションでAMSI統合を有効化し、Request Body Scan Modeを「Full Mode」に設定する。CISAが示したAMSI検知パターン（Exploit:Script/SuspSignoutReqBody.Aなど）とMicrosoft Defender AntivirusのBackdoor:MSIL/LeakFang.A!dhaをSIEM/SOARで積極的に監視する。IISマシンキーをローテーションする前に、キー窃取ツールなどの侵入アーティファクトを除去して再窃取を防ぐ。
- 攻撃手法の技術的背景や攻撃者の動機: SharePointは企業の文書管理の中核であり、機密文書が集中する。IISマシンキー窃取は、ASP.NETのViewState攻撃や既存のwebshellを永続化するために利用される。デシリアライゼーションは.NETアプリケーションの定番攻撃ベクターであり、攻撃者がコード実行から権限維持、横展開まで一気に行うための足がかりとなる。オンプレミスのSharePointはクラウドと比較して更新頻度が低く、攻撃者にとって格好の標的となりやすい。
- 業界トレンドとの関連性: CISAがパッチ適用だけでなく、AMSI統合まで具体的に言及しているのは、標準的なセキュリティ機能を「実際に有効化していない」組織が多い現状を反映している。セキュリティ製品の導入だけでなく、OSやミドルウェアに組み込まれたネイティブ防御機能の設定・運用が、実効的な防御の分かれ目となっている。
参照元
5. Progress ShareFile Storage Zoneにゼロデイ、緊急停止措置を実施
重要度: 🟠 High (8/10) | カテゴリ: ゼロデイ | ソース: BleepingComputer
概要
Progress Softwareが、企業向けファイル共有ソリューションShareFileのStorage Zone Controllerに存在する深刻なゼロデイ脆弱性を確認した。同社はこの脆弱性を理由にStorage Zoneサービスを緊急停止しており、セキュリティ更新をリリースした上で、顧客に対してパッチの即座適用を促している。ファイル共有基盤のゼロデイは、機密データの漏洩や改ざんに直結する重大なリスクを孕む。
考察
- 影響を受ける組織が取るべき具体的対策: Storage Zone Controllerを利用している場合、サービス再開前に必ずセキュリティ更新を適用する。停止期間中のファイル共有の代替手段を確保し、再開後はアクセスログとファイル整合性を監査する。ShareFileの管理画面やStorage Zone Controllerがインターネットに露出していないか、また内部からのアクセス制御が適切かを再確認する。
- 攻撃手法の技術的背景や攻撃者の動機: Storage Zone Controllerはオンプレミスストレージ環境を管理するコンポーネントであり、ゼロデイが緊急停止に至るほどの深刻事態ということは、認証バイパス、RCE、または保存データへの不正アクセスの可能性が高い。ファイル共有サービスは、標的組織から機密文書を一括窃取するために攻撃者が最も狙う基盤の一つである。特にM&A資料、知的財産、顧客データが格納される。
- 業界トレンドとの関連性: Progress（旧Ipswitch）やMOVEit、Citrix ShareFileなど、エンタープライズ向けのファイル転送・共有ソフトウェアがここ数年連続して重大な脆弱性に見舞われている。これは「データの集中」と「公開サービスとしての性質」が攻撃者にとって高いROIを生むためであり、サプライチェーンの上流部分を攻撃する動きとして今後も続く。こうした特殊な業務アプリは、汎用OSやWebサーバーのパッチ管理とは別のライフサイクル管理が必要。
参照元
まとめ
2026年7月15日は、Microsoft史上最多の622件のパッチと複数のゼロデイ、そしてロシアの国家支援APTによる重要インフラ攻撃という、多層的かつ国家的規模の脅威が同時に表面化した日である。共通して言えるのは、エッジデバイス（SonicWall、ShareFile、SharePoint）から内部基盤（Microsoft製品、ネットワークルーター）まで、あらゆるレイヤーが標的になっているという現実。
今後の注視ポイントとしては、まずPatch Tuesdayの622件のうち、今後数週間で実際の悪用が確認される追加の脆弱性（特にRCEや権限昇格）が出てくる可能性が高いこと。次に、ロシアAPTのルーター攻撃が、単なる偵察から実際の破壊活動に移行するタイミングである。最後に、CISAが推奨するAMSI統合やネットワーク機器のSNMPv3移行など、「標準機能を正しく設定する」基本的なハードニングが、高度な脅威に対する実効的な防波堤となることを、組織のリーダーシップレベルで再認識する必要がある。パッチ管理の「量」と防御戦略の「質」の両方を、いま一度見直す好機と言えるだろう。