Weekly Security Threat Report（2026/3/1）

🛡️ Weekly Security Threat Report

現在日付: 2026/03/01

警戒レベル: High

Section 1: 脅威・脆弱性一覧 & トレンド

本セクションでは、2026年2月下旬から3月1日現在にかけて新たに確認された、または悪用が急増している重大なサイバー脅威および脆弱性の動向を概観する。実環境での悪用（Exploited in the wild）が確認され、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「悪用が確認された脆弱性カタログ（KEV）」に登録された事案をはじめ、事業継続に直接的な打撃を与え得る重大なインシデントを優先して抽出している。

1. ニューステーブル

CategoryTopic (脆弱性/事件名)SeverityStatusURL
NetworkCisco SD-WAN 認証回避・権限昇格ゼロデイ (CVE-2026-20127, CVE-2022-20775)Critical (CVSS: 10.0)悪用確認済 (パッチあり)(https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html)
ApplianceSoliton Systems FileZen OSコマンドインジェクション (CVE-2026-25108)High (CVSS: 8.7)悪用確認済 (パッチあり)(https://securityaffairs.com/188473/hacking/u-s-cisa-adds-a-flaw-in-soliton-systems-k-k-filezen-to-its-known-exploited-vulnerabilities-catalog.html)
MDMIvanti EPMM リモートコード実行ゼロデイ (CVE-2026-1281, CVE-2026-1340)Critical (CVSS: 9.8)悪用確認済 (パッチあり)(https://www.cybersecuritydive.com/news/critical-flaws-ivanti-epmm-exploitation/811228/)
OSMicrosoft Windows RDP 特権昇格ゼロデイ (CVE-2026-21533)High悪用確認済 (パッチあり)(https://www.sentinelone.com/vulnerability-database/cve-2026-21533/)
WebmailRoundcube Webmail デシリアライゼーションRCE (CVE-2025-49113)Critical (CVSS: 9.9)悪用確認済 (パッチあり)(https://www.runzero.com/blog/roundcube-webmail/)
NetworkD-Link DSLルーター コマンドインジェクション (CVE-2025-4549, 4550)Critical悪用確認済 (パッチあり)CM Alliance
OS/MobileApple iOS/macOS メモリ破損ゼロデイ (2026年初の悪用事例)High悪用確認済 (パッチあり)(https://cyberscoop.com/vulncheck-exploited-vulnerabilities-report-2025/)
Cloud/AIMicrosoft 365 Copilot 情報漏洩バグ (DLPバイパスによる機密メール要約)Medium悪用なし (パッチ対応中)(https://www.llrx.com/2026/02/pete-recommends-weekly-highlights-on-cyber-security-issues-february-21-2026/)

2. 詳細要約

直近1週間のサイバー空間における攻撃トレンドを分析すると、組織のネットワーク境界を構成するエッジデバイスや管理アプライアンスに対するゼロデイ攻撃が劇的な増加傾向を示していることが明白である。特に、Cisco SD-WANシステム、Ivantiのモバイルデバイス管理（MDM）、および国内で広範に導入されているSoliton FileZenといった製品群が標的となり、国家支援型が疑われる高度な脅威アクターによって長期間にわたる潜伏やデータ窃取が行われている状況が観測された 。これらの製品は、従来型のエンドポイント検知・対応（EDR）エージェントを直接導入することが困難な「セキュリティの死角」となっており、攻撃者に永続的なアクセス経路（セーフヘイブン）を提供してしまっている。また、中東地域における米国およびイスラエルによる対イラン軍事作戦の激化という重大な地政学的インシデントが発生しており、これに対する報復として、世界の重要インフラに対する国家規模の破壊的サイバー攻撃や大規模なDDoS攻撃が展開されるリスクが極めて高い水準に達している 。組織は直ちにインシデント発生を前提とした非常警戒態勢（Shields Up）へと移行し、境界防御の再点検と侵害前提のハンティングを並行して実施することが求められる。

Section 2: Deep Dive into Critical Threats (重要脅威の深掘り)

本セクションでは、Section 1で抽出した脅威の中から、企業および政府機関のITインフラに対する実務的影響が極めて大きく、インフラ担当者およびセキュリティエンジニアによる即時対応が不可欠な3つのトピックを選出し、その攻撃メカニズムと具体的な軽減策を技術的観点から深掘りする。

🚨 Alert 1: Cisco SD-WANシステムにおける3年越しのゼロデイ連鎖悪用 (CVE-2026-20127 / CVE-2022-20775)

  • 概要 (3行まとめ):Cisco Catalyst SD-WANの管理コンポーネントにおいて、完全な認証回避を許すCVSS 10.0の致命的なゼロデイ脆弱性が発覚した。本脆弱性は少なくとも2023年から高度な脅威アクターによって密かに悪用されており、意図的なダウングレード攻撃と古い脆弱性を連鎖させることで永続的なルート権限を維持する巧妙な手口が確認されている。米国CISAは連邦機関に対して24時間以内の異例の緊急パッチ適用指令を発出しており、民間企業においても同等の対応が急務である。
  • 技術的詳細: 本インシデントの核心は、ソフトウェア定義型広域網（SD-WAN）の頭脳となるCisco Catalyst SD-WAN Controller（旧vSmart）およびCatalyst SD-WAN Manager（旧vManage）におけるピアリング認証メカニズムの致命的な実装不備にある。この脆弱性（CVE-2026-20127）は、未認証のリモート攻撃者が特別に細工したAPIリクエストを送信するだけで認証プロセスを完全にバイパスし、内部の高権限非rootユーザーとしてシステムにログインすることを可能にする 。脅威インテリジェンス部門（Cisco Talos）および多国籍情報機関（CISA, NSA, オーストラリアASD等）の共同調査により、「UAT-8616」として追跡されている高度に洗練されたサイバー脅威アクターが、このゼロデイ脆弱性を初期侵入ベクターとして悪用していたことが判明した 。この攻撃の最も特筆すべき技術的特徴は、侵入後の水平展開と権限昇格プロセスにおける「意図的なダウングレード攻撃」の採用である。攻撃者は初期アクセスを確立した後、SD-WANシステムのソフトウェアバージョンを過去の特定のバージョンへと強制的にダウングレードさせる。この操作の目的は、過去にパッチが適用されて塞がれたはずの既知の特権昇格脆弱性（CVE-2022-20775）をシステム上に意図的に再発現させることにある 。この古い脆弱性を悪用してroot権限を完全に掌握した攻撃者は、永続化のためのバックドアを設置した後、再びソフトウェアを元の最新バージョンへとリストアし、ログファイルの改ざんや消去を行うことで、約3年間（2023年〜）にわたりその存在を完全に隠蔽し続けていた 。
関連CVE番号CVSSスコア脆弱性の種類攻撃フェーズにおける役割
CVE-2026-2012710.0 (Critical)認証回避 (Authentication Bypass)初期侵入（未認証からの高権限非rootアクセス獲得）
CVE-2022-20775該当なし(過去分)権限昇格 (Privilege Escalation)意図的ダウングレード後のroot権限完全掌握

🚨 Alert 2: 欧州政府機関を襲う Ivanti EPMM コードインジェクション・ゼロデイ (CVE-2026-1281 / CVE-2026-1340)

  • 概要 (3行まとめ):広く利用されているモバイルデバイス管理（MDM）ソリューション「Ivanti Endpoint Manager Mobile（EPMM）」において、未認証でのリモートコード実行（RCE）を可能とする極めて深刻な脆弱性（CVSS 9.8）が確認された。ノルウェー政府、欧州委員会、オランダのデータ保護機関などが相次いでこの脆弱性を突いた標的型攻撃の被害に遭い、数万人規模の職員の個人情報が漏洩している。ベンダーは侵害を受けたシステムのクリーンアップは不可能としており、アプライアンスの完全な再構築を推奨している。
  • 技術的詳細: CVE-2026-1281およびCVE-2026-1340は、Ivanti EPMM（オンプレミス版）に内在する不適切なコード生成の欠陥（CWE-94）である 。この脆弱性は、未認証のリモート攻撃者が特定の機能エンドポイントに対して悪意のあるBashコマンドを含有させた特殊なHTTP GETリクエストを送信することで、対象のアプライアンス上で任意のOSコマンドを最高権限で実行することを可能にする 。脆弱性が存在する具体的なエンドポイントは、「In-House Application Distribution」機能（/mifs/c/appstore/fob/）および「Android File Transfer Configuration」機能（/mifs/c/aftstore/fob/）であることがセキュリティ研究者によって特定されている 。MDMサーバーは、組織内の全モバイルデバイスに対する完全な制御権限（プロビジョニング、ワイプ、ポリシー適用）を保持しているだけでなく、Active Directoryや内部のセキュアリソースと深く統合されている。そのため、MDMサーバーが掌握されることは、組織全体の認証基盤とデータ境界が完全に崩壊することを意味する。 実際に、この脆弱性は不特定多数を狙うワーム型攻撃ではなく、特定の国家機関や重要インフラ組織を標的とした高度なAPT（Advanced Persistent Threat）キャンペーンにおいてゼロデイとして兵器化された。オランダのデータ保護機関（AP）や、フィンランドの国家情報通信技術提供機関であるValtoriでは、この脆弱性を通じて最大5万人規模の政府職員の氏名、ビジネスメールアドレス、電話番号などの業務データに不正アクセスされたことが公式に確認されている 。また、欧州委員会（European Commission）の内部インフラにおいても侵害の痕跡が検出されており、事態は国際的な広がりを見せている 。Rapid7のアナリストは、2023年にノルウェーの政府セキュリティおよびサービス組織（DSS）を標的とした攻撃手口との類似性を指摘しており、同一または関連する国家支援型アクターの関与が疑われている 。
侵害が確認された主な機関発覚時期影響範囲と状況
オランダ・データ保護機関 (AP)2026年1月末職員の氏名、メール、電話番号等の業務データへの不正アクセス
フィンランド・Valtori2026年1月末最大5万人の政府職員の連絡先情報が流出の危機
欧州委員会 (EC)2026年2月モバイルデバイス管理基盤に侵害の痕跡（9時間以内に封じ込め）
  • 推奨される対策 (Mitigation): 本脆弱性に対するCISAの対応要求期限はわずか3日間と極めて短く設定されており、事態の切迫度を示している 。 第一に、Ivantiが提供するセキュリティパッチを適用し、脆弱なエンドポイントへのアクセスを遮断することが急務である 。 しかし、最も重要なのは侵害後の対応手順である。Ivantiの公式見解によれば、もしApacheのアクセスログ等から悪用の試みや実際の侵害が確認された場合、システムのクリーンアップ（マルウェアの駆除など）を試みてはならないと強く警告されている 。攻撃者が深部にフックを仕掛けている可能性が高いため、アプライアンスを完全にインターネットから切断した上で初期化し、既知の安全なバックアップからリストアするか、完全に新しいインスタンスを構築してデータを移行する「スクラップ＆ビルド」のアプローチが必須となる 。 さらに、認証情報の保護措置として、EPMMのローカルアカウント、LDAPおよびKDCサービスアカウント、その他連携する全ての内外サービスアカウントのパスワードを強制リセットし、EPMMが使用しているパブリック証明書を失効・再発行するプロセスを漏れなく実行する必要がある 。
  • 情報源:(https://www.cybersecuritydive.com/news/critical-flaws-ivanti-epmm-exploitation/811228/),(https://www.securityweek.com/ivanti-patches-exploited-epmm-zero-days/),(https://thehackernews.com/2026/02/dutch-authorities-confirm-ivanti-zero.html,(https://www.securityweek.com/ivanti-patches-exploited-epmm-zero-days/),(https://thehackernews.com/2026/02/dutch-authorities-confirm-ivanti-zero.html,(https://thehackernews.com/2026/02/dutch-authorities-confirm-ivanti-zero.html)))

🚨 Alert 3: Soliton Systems FileZen におけるOSコマンドインジェクションの実環境悪用 (CVE-2026-25108)

  • 概要 (3行まとめ):国内の官公庁や大企業で広範に導入されている純国産セキュアファイル転送システム「Soliton Systems K.K. FileZen」において、任意のOSコマンドが実行可能となる脆弱性（CVSS 8.7）がCISA KEVに登録された。本脆弱性は、セキュリティを強化するための「ウイルスチェックオプション」が有効化されている環境において発現するという皮肉な設計上の欠陥を突いている。国内のランサムウェアインシデントにおける初期侵入経路として悪用された疑いが持たれており、徹底した認証基盤の浄化が求められる。
  • 技術的詳細: CVE-2026-25108は、CWE-78（OSコマンドインジェクション）に分類される深刻な脆弱性である 。この脆弱性は、無条件で発現するわけではなく、攻撃を成立させるためには環境に依存する2つの重要な前提条件が存在する。第一の条件は、FileZenのセキュリティ機能である「ウイルスチェック機能（BitDefenderベース）」がシステム上で有効化されていることである。第二の条件は、攻撃者が有効な一般ユーザー権限のログインアカウントを保持していることである 。これらの条件が満たされた環境において、攻撃者がログイン後の特定のWeb画面（Post-Logon Screen）の入力フィールドに対して、巧妙に細工したHTTPリクエストを送信すると、入力値のサニタイズ処理をバイパスし、システム背後のOSシェルに対して任意のコマンドをインジェクションすることが可能になる 。結果として、攻撃者はファイル転送システムの制御を完全に奪取し、内部ネットワークへの足掛かりを構築することができる。ベンダーであるソリトンシステムズ社は、本脆弱性を悪用したことによる実被害の報告を少なくとも1件以上受領していると異例の公表を行っている 。同時期にJPCERT/CCからの注意喚起が行われ、さらに国内の著名なホテルチェーン（Washington Hotelなど）におけるランサムウェア被害が報告されていることから、セキュリティコミュニティの分析では、本脆弱性が国内組織を標的としたランサムウェア攻撃グループによる初期侵入ベクターとして積極的に兵器化された可能性が高いと推測されている（ただし、CISA KEV上ではランサムウェアとの直接的な関連性は現時点では”Unknown”と慎重な評価に留まっている） 。
対象製品影響を受けるバージョン修正済みバージョン
FileZen (V4系)V4.2.1 〜 V4.2.8V5.0.11 以降へのアップグレードが必要
FileZen (V5系)V5.0.0 〜 V5.0.10V5.0.11

Section 3: CISO/Manager Summary

今週のキーワード: 「エッジインフラの脆弱性露呈と恐喝エコノミーの構造変容」

今週の脅威インテリジェンスは、防御の最前線であるはずのネットワークアプライアンス自体が組織最大の弱点となっている不都合な真実と、サイバー犯罪の経済モデルが劇的なパラダイムシフトを迎えている状況を明確に浮き彫りにしている。さらに、中東における武力衝突というマクロな地政学的危機がサイバー空間における国家支援型攻撃の脅威レベルを未知の領域へと押し上げている。組織のセキュリティ責任者（CISO）は、従来の境界防御モデルとランサムウェア対応戦略を根本から見直し、よりレジリエントなアーキテクチャへの移行を急ぐ必要がある。

管理者への提言 (Strategic Recommendations)

1. 「恐喝エコノミー」の構造変化に対するインシデント対応の再考 最新のサイバー保険金請求データを分析したResilience社の「2025年サイバーリスクレポート」は、脅威アクターの戦術的進化を裏付ける衝撃的な事実を提示している。ランサムウェアによる「データの暗号化」を伴う従来の攻撃手法から、暗号化を一切行わず「データの窃取・暴露による恐喝（Data theft-only extortion）」のみを目的とするインシデントが、年間全体の57%（後半には65%）を占めるまでに急増しているのである 。これは、各企業においてイミュータブル（不変）バックアップ等の復旧戦略が普及した結果、攻撃者が暗号化という手間と検知リスクを省き、純粋なデータ窃取へと戦術をシフトさせたことを意味する。

さらに、情報窃取型マルウェア（Infostealer）によって収集された20億件以上のクレデンシャルが、これらの恐喝攻撃における「初期侵入ブローカー（IAB）」として機能し、攻撃の起点となっていることがデータから明らかになっている 。また、Interlockなどの脅威グループは、窃取したデータの中から標的企業の「サイバー保険証券」をピンポイントで探し出し、保険の支払限度額に合わせた精緻な身代金要求を行うことで利益を最大化する手法を採用している 。経営層は、「バックアップが完全だから身代金要求には屈しない」という従来のBCP対策だけでは不十分であることを認識しなければならない。Infostealerによる社内エンドポイントでの認証情報漏洩を「クリティカルな早期警告シグナル」として捉え、データ流出そのものを防ぐためのアイデンティティ管理（ゼロトラストアーキテクチャへの移行、コンテキストベースの多要素認証）の強化へと予算を再配分する必要がある。

2. DevSecOpsにおける技術的負債とサードパーティ依存のリスク管理 アプリケーション環境における脆弱性の蔓延も、CISOが直視すべき深刻な課題である。Datadogの「State of DevSecOps 2026」レポートによれば、現代のクラウドおよびアプリケーション環境の87%において、悪用可能な脆弱性が少なくとも1つは存在しており、全サービスの40%に影響を与えているという驚異的な数値が示されている 。特に、Javaを利用するサービスの59%、.NETを利用するサービスの47%が脆弱性を抱えたまま稼働している 。

より深刻なのは、サポート終了（EOL）を迎えたランタイムやサードパーティ製ライブラリへの過度な依存である。全サービスの10%がEOLバージョンのランタイムで稼働しており、これらのサービスはサポート対象の環境と比較して脆弱性発生率が50%も高い 。また、使用されているライブラリの依存関係は、最新バージョンから平均278日（Java環境に至っては492日）も遅行していることが判明した 。GitHub Actionsを利用する組織の80%がサードパーティ製のアクションをハッシュのピン留め（SHA pinning）なしで使用しており、サプライチェーン攻撃による自動アップデートを通じたマルウェア感染の危機に常に晒されている 。管理者は、CI/CDパイプラインにおける依存関係の可視化ツール（SBOMの導入）を必須とし、EOL製品の迅速なリプレースメントとコミットハッシュによる厳格なバージョン管理を開発部門に対して義務付けるポリシーを制定すべきである。

3. レガシー・エッジアプライアンスの「死角」解消に向けた戦略的刷新 今週報告されたCisco SD-WAN（3年越しの悪用発覚）、Ivanti EPMM、Soliton FileZen、そしてD-LinkやZyxelのレガシーネットワーク機器に対する相次ぐゼロデイ攻撃は、標準的なEDRエージェントが導入できない「ブラックボックス化されたアプライアンス」が攻撃者にとって最も安全な活動拠点となっている事実を示している 。CISAが追跡しているZyxelの悪用済み脆弱性だけでも12件に上り、約12万台のデバイスがパッチ未適用のままインターネットに公開されている 。 多くのベンダーは古いモデルのサポートを打ち切っており、これらの機器は物理的にネットワーク境界に存在し続ける限り、恒久的な侵入経路として機能する。CISOは、組織内のすべてのアプライアンス機器（VPNルーター、MDMサーバー、セキュアファイル転送システム等）のインベントリを再構築し、アーキテクチャのモダナイゼーション（SASEやSSE等のクラウドネイティブなセキュリティ境界への移行）を推進することで、物理的なエッジデバイスに依存するレガシーな境界防御からの脱却を図るべきである。

4. 中東における地政学的危機とサイバー空間への波及リスク（Shields Upの徹底） 2026年2月末、米国およびイスラエルによるイランに対する大規模な軍事・空爆作戦が展開され、イラン最高指導部に対する斬首作戦（Decapitation strikes）や軍事施設への攻撃が実行された。これに対しイラン側も即座に報復攻撃を開始し、国連安全保障理事会が緊急会合を召集するなど、中東情勢は極めてコントロール困難な危機的状況へと突入している 。米国務省は世界中の米国市民に対するセキュリティ警告（Worldwide Caution）を発出した 。 サイバーインテリジェンスの歴史的観点から見れば、このような物理的な軍事衝突や国家間の極度な緊張は、数日から数週間の遅れをもって、国家支援型ハッカー（State-sponsored APTs）によるサイバー空間での報復作戦のトリガーとなることが定石である。イラン系の脅威アクターは過去にも、中東および欧米の重要インフラに対する破壊的なワイパー（Wiper）マルウェアの展開、金融セクターに対する大規模なDDoS攻撃、そしてサプライチェーンを通じた影響力工作を実行してきた実績を持つ。 したがって、すべての重要インフラ事業者（電力、通信、金融、交通）および多国籍展開を行うエンタープライズ企業は、第三国からの無差別な波及攻撃を想定し、サイバー防衛態勢を直ちに「非常警戒レベル（Shields Up）」へと引き上げるべきである。具体的には、外部からの不審なスキャン活動の監視しきい値の引き下げ、地理的IPブロックルール（Geo-IP Filtering）の厳格化、クリティカルインフラストラクチャに対するネットワーク分離の再確認、およびオフライン環境に保管された不変バックアップの完全性テストを即日実施することが強く推奨される。地政学的リスクはもはや物理空間に留まらず、組織のネットワーク防御戦略の中核に据えるべき最優先課題である。

コメント

タイトルとURLをコピーしました