🛡️ Weekly Security Threat Report

現在日付: 2026/05/24

警戒レベル: High

Section 1: 脅威・脆弱性一覧 & トレンド

ニューステーブル

詳細要約

今週の脅威トレンドを俯瞰すると、セキュリティ防衛システムそのものの脆弱性を突く攻撃と、Web管理基盤（CMS）のセキュリティ不備を梃子にしたソーシャルエンジニアリングの巧妙な融合が顕著である 。特に、Microsoft Defender（CVE-2026-41091）やTrend Micro Apex One（CVE-2026-34926）といった、本来防御の要であるべきエンドポイントセキュリティソフトウェアがゼロデイ攻撃の直接の標的となり、ローカルの特権昇格や無効化に悪用されている 。これに加え、DrupalやGhost CMS等のWebサイト基盤におけるSQLインジェクションが相次いで公開・悪用され、管理者APIキーの窃取を通じて「正規のWebサイト」が不正スクリプト配布元（ClickFix等）に改造される事案が多発している 。信頼されたデジタル署名を悪用して検知を逃れるFox Tempestのようなサイバー犯罪インフラの暗躍も含め、従来の『エージェントや署名、正規サイトへの無条件の信頼』を逆手にとる手法へのパラダイムシフトが進んでいる 。

Section 2: Deep Dive into Critical Threats (重要脅威の深掘り)

🚨 Alert 1: Drupal CoreにおけるSQLインジェクションの脆弱性 (CVE-2026-9082)

• 概要 (3行まとめ) 全てのサポート対象バージョンに存在するDrupal Coreの極めて深刻なSQLインジェクション脆弱性が、CISAのKEVカタログに追加された 。攻撃者はデータベース抽象化APIを通じて特別に細工されたリクエストを送信することで、認証不要で特権昇格やリモートコード実行（RCE）を達成できる 。パッチの公開直後から、金融やゲーム業界などのPostgreSQLをバックエンドに採用したサイトへの組織的な偵察行為が急増している 。
• 技術的詳細 本脆弱性は、Drupal 11.3.10、11.2.12、11.1.10、10.6.9、10.5.10、10.4.10、および既にサポート終了となった9.5や8.9を含む全てのサポート対象システムに甚大な影響を与える 。攻撃メカニズムは、Drupalのデータベース抽象化（Database Abstraction）APIにおける入力データの検証・エスケープ不備（CWE-89）に存在する 。攻撃者は、特定の細工されたパラメータをWebリクエストとして送信することにより、データベースエンジンに対して本来想定されていない任意のSQLコマンドを直接インタープリタへ渡すことができる 。特にPostgreSQLデータベースを採用している環境においては、データベースオブジェクトの改ざんや機微データの漏洩だけに留まらず、最終的にシステム内での権限昇格を伴う任意のOSコマンド実行（RCE）に繋がる危険性が極めて高い 。既にImperva社は15,000件以上の個別アタック試行を検知しており、攻撃者が広範に渡る自動スキャンツールを用いて脆弱なサイトの探索を進めている実態が確認されている 。
• 推奨される対策 (Mitigation) 組織のインフラ管理者は、早急に各環境に対応した修正アップデート（Drupal 11.3.10、11.2.12、11.1.10、10.6.9、10.5.10、10.4.10）を直ちに適用しなければならない 。サポート終了済みの旧バージョン（9.5、8.9）を継続利用している場合には、手動でパッチをダウンロードし、検証環境で確認の上適用する必要がある 。 若手技術者が陥りやすい典型的な誤りとして、「Webアプリケーションのパッチを適用しただけで、過去に侵入された形跡の調査を怠る」というポイントが挙げられる。この脆弱性は認証不要で機能するため、パッチを適用するより前にすでに攻撃者が裏口（バックドア）となる管理者アカウントを作成していたり、Webシェルを配置していたりする可能性がある。したがって、単にコードベースを更新するだけでなく、データベース内の不正なユーザーアカウントの有無や、直近のデータベース管理者ログに不審なクエリ実行履歴がないかを必ず遡及的に確認することが求められる。さらに、本番環境へのパッチ適用が即時に行えない場合は、WAFの防御ルールにDrupalのデータベースAPI入力を監視するシグネチャを追加し、暫定的に攻撃を防御することが必須となる。
• 情報源 (https://thehackernews.com/2026/05/drupal-core-sql-injection-bug-actively.html)

🚨 Alert 2: Microsoft Defenderのゼロデイ脆弱性 (CVE-2026-41091 / CVE-2026-45498)

• 概要 (3行まとめ) Windowsシステムの根観を担うMicrosoft Defenderに、野生での悪用が確認された2つの重要なゼロデイ脆弱性が発見された 。CVE-2026-41091はスキャンエンジンにおけるリンク解決処理の脆弱性を突き、ローカルユーザーに最高特権であるSYSTEM権限の奪取を許す 。一方、CVE-2026-45498はアンチマルウェアプラットフォームを強制的にクラッシュさせてサービス拒否（DoS）状態を作り出し、エンドポイントの保護機能を事実上無効化する 。
• 技術的詳細 影響を受ける範囲は広く、Malware Protection Engine バージョン 1.1.26030.3008 以前（CVE-2026-41091）および Microsoft Defender Antimalware Platform バージョン 4.18.26030.3011 以前（CVE-2026-45498）が該当する 。 CVE-2026-41091の攻撃メカニズムは、ファイルアクセス時における不適切なリンク解決（リンクフォロー）の弱点（CWE-59）に起因する 。通常、高権限で動作するスキャンエンジンがファイル走査を行う際、攻撃者が特別に構成した不審なシンボリックリンクやジャンクションを配置しておくことで、エンジンがそれを検証なしに追従して処理を行い、本来低権限ユーザーがアクセスできない特権的なファイル操作をシステムに代行させる。これにより、低権限の攻撃プロセスが最高権限であるSYSTEM特権をローカルで即座に獲得するに至る 。 一方、CVE-2026-45498は、Defenderの内部メモリ処理バグを誘発させ、プロセスを凍結・異常終了させるDoS状態を作り出す 。これにより、他の高度な侵入活動を実行する際に、Defenderによる監視自体をバイパスさせるための「前提の無効化攻撃」として実戦投入されている。
• 推奨される対策 (Mitigation) 本脆弱性はMicrosoft社によって既に修正が公開されており、Malware Protection Engine 1.1.26040.8 および Platform 4.18.26040.7 へのアップグレードで解決される 。 若手技術者が陥りがちな誤解として、「セキュリティ製品はWindows Updateやドメインポリシーで全て全自動で最新に保たれており、個別にバージョンチェックをする必要はない」と思い込むことが挙げられる。しかし、閉域網のインフラ、WSUS（Windows Server Update Services）の設定不備、あるいはウイルス対策プロセスの不具合によって自動更新が途中でハングアップし、古いバージョンが放置されているケースは決して珍しくない。そのため、各サーバーや端末の「Windowsセキュリティ」アプリから「ウイルスと脅威の防止」、「保護の更新」を開いて「更新プログラムのチェック」を手動実行し、バージョン情報の「マルウェア対策クライアントのバージョン」が修正バージョン以上であることを実地検証する必要がある 。特にCISAのBOD 22-01において、連邦機関は2026年6月3日までに更新の確認と対処を行うよう厳命されているため、民間企業においても同様の徹底が不可欠である 。
• 情報源 (https://www.bleepingcomputer.com/news/security/microsoft-warns-of-new-defender-zero-days-exploited-in-attacks/)

🚨 Alert 3: Ghost CMS SQLインジェクションとClickFix攻撃チェーン (CVE-2026-26980)

• 概要 (3行まとめ) Ghost CMSに存在する未認証SQLインジェクション脆弱性（CVE-2026-26980）が大規模に悪用され、多数の公式サイトが汚染された 。攻撃者はデータベースから窃取した管理者APIキーを悪用し、正規のAdmin APIを介して全記事の下部に難読化されたJavaScriptローダーを不正に埋め込む 。この改ざんサイトを閲覧した訪問者に対し、精巧な偽のCloudflare人間検証（ClickFix手法）を実行させ、ローカルPCでマルウェアを強制的にダウンロード・実行させる 。
• 技術的詳細 本攻撃チェーンは、「CMS乗っ取り → ページ汚染 → 二段階クローキングローディング → ソーシャルエンジニアリング（ClickFix/FakeCaptcha） → マルウェア感染」という高度に自動化された多段のフェーズで構築されている 。 第1フェーズとして、攻撃者はパッチ未適用のGhost CMSにSQLインジェクションを実行し、Web表示用のContent API Keyではなく、広範な管理権限を持つ「Admin API Key」を不正取得する 。 第2フェーズでは、取得したAdmin API Keyを使用して正規のAPIエンドポイント（PUT /ghost/api/admin/posts/:id/）にアクセスし、存在する全ての記事を一括編集してローダー用の<script>タグを挿入する 。 第3フェーズでは、挿入されたローダーが実行されると、ブラウザ情報やOS環境を詳細にフィンガープリントして「Adspect」と呼ばれる商用のクローキングサーバーに送信し、訪問者が実際の人間（被害候補）かセキュリティ調査ボットかを識別する 。 第4フェーズにおいて、実際の人間であると判定された訪問者に対し、精巧に模倣されたCloudflareの人間検証画面（FakeCaptcha）をiframeで重ねて表示し、検証のための指示（WIN+Rキーの押下、およびCtrl+Vでのペースト実行）を促す 。このペースト内容には、バックグラウンドでダウンロードした悪意あるアーカイブ（update.zip等）を実行させるPowerShellコマンドが含まれており、結果としてシステムが完全に掌握される 。
• 推奨される対策 (Mitigation) Webサイト管理者は、直ちにGhost CMSを公式の最新パッチ適用バージョンへアップデートしなければならない 。それと同時に、すでに漏洩している可能性があるすべての「Admin API Key」「Content API Key」「アクティブセッション」および「管理者パスワード」を無効化の上、ローテーションを強制適用しなければならない 。 ここで若手のセキュリティエンジニアやWeb担当者が最も間違いやすいポイントは、「Ghost CMSのコントロールパネル（GUI管理画面）のエディタを使って、記事下部の不正なスクリプト記述を目視で消去して完了とする」ことである。攻撃者はAPIを介してバルク（一括）で何百件もの記事を書き換えており、一部の記事のみを目視で手動クリーニングしても、データベース内に見落とした不正なコードや、ローカルストレージ（localStorage）を用いた再感染を誘発するロジックが残留するリスクが極めて高い 。そのため、必ずデータベースのバックエンドに直接アクセスし、攻撃者の特徴的な挿入パターン（「ghost_once_footer_」等）をターゲットにしたSQL削除クエリ（bulk cleanup）を実行し、データベースレベルでの物理的なクリーニングを完了させなければならない 。また、過去30日間のAdmin API呼び出しログを確認し、未知のソースからの一括記事変更アクセス（IoCに合致するIP）がないかを完全に監査する必要がある 。
• 情報源 Qianxin XLab

Section 3: CISO/Manager Summary

• 今週のキーワード: 「トラスト・ウェポナイゼーション（信頼の兵器化）」
• 管理者への提言:

システム環境の安全性を担保するうえで、組織のセキュリティ責任者は従来の「ホワイトリスト」や「セキュリティ製品そのものの完全性」を過信しない、ゼロトラスト思想をエンドポイントの運用に落とし込むことが急務である。

第一に、セキュリティ対策用エージェントやプラットフォームそのものが攻撃の第一標的（ガードドッグ・ターゲット）に選ばれている現実を直視する必要がある 。Microsoft DefenderやTrend Micro Apex Oneといった最重要インフラでゼロデイ脆弱性が悪用された事象は、セキュリティエージェントが時に最大のローカル特権昇格の踏み台になり得ることを示している 。管理者は、単一のウイルス対策機能に完全に依存するのではなく、ネットワークセグメンテーションの徹底や、ログ収集の多重化による振る舞い監視体制を敷き、エージェントが無効化または悪用された場合でも迅速に異常を検知できる多層的な防護策を講じるべきである 。

第二に、信頼されたデジタル証明書や正規のクラウドサービスの悪用に対する、防御設計の見直しが求められる。Microsoft Artifact Signingを悪用して短期的な正規署名付きマルウェアを大量生産していたFox Tempestの事例は、「署名付きプログラム＝安全」というレピュテーション判定の前提を完全に崩壊させた 。インフラ責任者は、コード署名の検証アルゴリズムを導入するだけでなく、たとえ信頼されたベンダーの署名を持つプログラムであっても、その振る舞い（不審な親プロセスからの起動や未知のIP宛ての通信など）に基づいてリアルタイムで監査・ブロックする「アプリケーション実行制御ポリシー」の厳格化を推進しなければならない 。

第三に、Webプレゼンスを維持するためのCMS基盤（DrupalやGhostなど）を、組織の対外的な信頼性を利用した「フィッシングおよびマルウェア配信プラットフォーム」として悪用するキャンペーン（ClickFix）への警戒が不可欠である 。SQLインジェクションを起点とした管理APIキーの窃取は、攻撃者がWebサーバーそのものを破壊するのではなく、コンテンツの一部を精巧に書き換えて正規ユーザーを騙すために用いられる 。CISOはWebサイトの管理を単なるIT運用保守に任せるのではなく、機微なAPI認証キーの徹底した管理と監視、そして脆弱性公開時の即時パッチ適用の自動化スキームを確立し、自社インフラが顧客への二次被害をもたらす攻撃の起点（サプライチェーンの一部）となるリスクを根絶しなければならない 。