🛡️ Weekly Security Threat Report

ヘッダー情報

• 現在日付: 2026/06/07
• 警戒レベル: High

Section 1: 脅威・脆弱性一覧 & トレンド

1. ニューステーブル

Category	Topic (脆弱性/事件名)	Severity (Critical/High)	Status (悪用あり/パッチあり)	URL
Infrastructure	Windows Server Netlogon リモートコード実行の脆弱性 (CVE-2026-41089)	Critical (CVSS 9.8)	Exploited in wild (悪用確認済) / パッチあり	(https://www.bleepingcomputer.com/news/microsoft/critical-windows-netlogon-remote-code-execution-flaw-now-exploited-in-attacks/)
Cloud / Network	Cisco Unified Communications Manager SSRFの脆弱性 (CVE-2026-20230)	Critical (Cisco SIR Critical / CVSS 8.6)	PoC公開済 / パッチ・回避策あり	(https://thehackernews.com/2026/06/cisco-patches-cve-2026-20230-in-unified.html)
Mobile OS	Android Framework における特権昇格の脆弱性 (CVE-2025-48595)	High (CVSS 8.4)	Exploited in wild (悪用確認済) / パッチあり	(https://thehackernews.com/2026/06/google-june-2026-android-update-patches.html)
Endpoint Security	TrendAI Apex One における相対パストラバーサルの脆弱性 (CVE-2026-34926)	High	Exploited in wild (悪用確認済) / パッチあり	(https://www.jpcert.or.jp/english/at/2026/at260014.html)
Infrastructure	Cisco Catalyst SD-WAN Manager におけるコマンドインジェクションの脆弱性	High	一部悪用あり / パッチ予定・回避策なし	Cisco
Cyber Incident	Nostrum Corporation に対するランサムウェア攻撃事案	High	侵害発生（二重脅迫）	(https://www.dexpose.io/the-gentlemen-target-japans-nostrum-corporation-in-ransomware-attack/)
Cyber Incident	Medical PAY に対するランサムウェア攻撃事案	High	侵害発生（二重脅迫）	(https://www.dexpose.io/killsec-ransomware-attack-on-medical-pay-in-japan/)

2. 詳細要約

2026年6月現在、高度な脅威アクターによるエンタープライズインフラおよび重要エンドポイントを標的にした能動的攻撃が極めて活発化している 。特に、Active Directory環境の根本的な支配権を未認証で奪取可能となるWindows Netlogonの脆弱性（CVE-2026-41089）が野生で広く悪用されていることが確認され、グローバル規模で緊急パッチ適用が呼びかけられている 。これに追随するように、Ciscoの統合音声インフラ（CVE-2026-20230）やCatalyst SD-WANの管理プレーン、TrendAI Apex One等のエンドポイント防御システムなど、組織の防御境界の最重要コンポーネントにおける「特権昇格」や「コード実行」を狙う攻撃キャンペーンが顕在化している 。さらに、スマートデバイスを標的にしたスパイウェア攻撃として、Android OSのFrameworkに存在するゼロデイ脆弱性（CVE-2025-48595）の悪用も確認されており、エンドポイントの種類を問わない全方位的な侵害活動が展開されている 。国内においても、技術系ベンダーであるNostrum Corporationや医療系組織であるMedical PAYに対する二重脅迫型ランサムウェア攻撃が次々に表面化しており、初期侵入経路の迅速な遮断とAD環境をはじめとする内部セグメントの強靭化が不可欠な状況である 。

Section 2: Deep Dive into Critical Threats (重要脅威の深掘り)

🚨 Alert 1: Windows Server Netlogon リモートコード実行の脆弱性 (CVE-2026-41089)

概要 (3行まとめ) Windows ServerのNetlogonサービスに内在するスタックベースのバッファオーバーフローの脆弱性であり、攻撃者はネットワーク経由でActive Directoryドメインコントローラーへの侵入を果たすことができる 。 未認証かつユーザーの介入なしにドメイン環境における最高特権であるSYSTEM権限をリモートから奪取可能であるため、極めて攻撃の容易性が高い 。 ベルギーサイバーセキュリティセンター（CCB）による警戒情報の発表を皮切りに、野生におけるアクティブな悪用事例と実証コード（PoC）の拡散が同時に確認されている 。

技術的詳細 本脆弱性（CVE-2026-41089、CVSS v3.1スコア9.8、CWE-121）は、Microsoft Windows Netlogon Remote Protocol (MS-NRPC) のパケットハンドリングロジックに起因する 。影響範囲は、Active Directoryドメインコントローラーとして機能しているWindows Server 2012から最新のWindows Server 2025までの全サポート対象バージョンにおよぶ 。 この不具合は、Netlogon RPCメッセージから解析されたデータサイズ情報に対して、入力値検証を怠ったままスタック領域上の固定バッファにコピー処理を行うことで発生する 。攻撃者が細工したRPCパケットをドメインコントローラーのTCPポート445、あるいはNetlogon RPCエンドポイント（\PIPE\NETLOGON）に対して直接送信すると、スタックメモリ上の戻りアドレスが上書きされ、攻撃者が仕込んだ任意のシェルコードが実行される仕組みとなっている 。このプロセスは認証を必要としないため、攻撃者は一息にSYSTEM特権を掌握し、Active Directoryに紐付く全てのドメイン参加済みクライアントやリソースに対して lateral movement（横方向の侵害拡大）を開始できる極めて破壊的な性質を持つ 。

推奨される対策 (Mitigation) 最優先アクションとして、Microsoftが2026年5月のパッチチューズデーで公開した累積セキュリティ更新プログラムを、組織内の全てのドメインコントローラーへ即時に適用することが必要である 。一部のコントローラーにのみパッチを適用して残りを放置する「部分適用状態」は、未対策のドメインコントローラーを踏み台にドメインが完全妥協するリスクを孕むため、同一メンテナンスウインドウ内で網羅的に展開することが推奨される 。 パッチ適用までの暫定のセキュリティ確保策として、ファイアウォールを用いて信頼できない外部セグメントからドメインコントローラーへのSMB（TCP 445）およびNetlogon RPC通信を徹底的に遮断するアクセス制限を設定する必要がある 。また、監視チームは、ドメインコントローラーにおける「lsass.exe」またはNetlogonサービスの不審なクラッシュ（イベントID 1000等）、およびlsass.exeプロセスからcmd.exeやpowershell.exeなどの異常な子プロセスが起動している兆候をSIEMの検知ルールとして即時実装すべきである 。なお、Microsoftの公式サポートから外れているレガシーOS（Windows Server 2012 / 2012 R2等）を未だ運用せざるを得ない一部の環境に対しては、0patchなどのプラットフォームが提供しているマイクロパッチの展開を代替案として検討する必要がある 。

情報源 (https://www.bleepingcomputer.com/news/microsoft/critical-windows-netlogon-remote-code-execution-flaw-now-exploited-in-attacks/) /(https://orca.security/resources/blog/netlogon-rce-cve-2026-41089/)

🚨 Alert 2: Cisco Unified Communications Manager における SSRF および権限昇格の脆弱性 (CVE-2026-20230)

概要 (3行まとめ) Ciscoの音声統合管理サーバー（Unified CM）において、未認証のリモートの攻撃者が細工したHTTPリクエストを送信することでサーバー側リクエスト偽装（SSRF）を実行できる欠陥である 。 SSRFを悪用して下層OS内に任意のファイルを書き込むことで、最終的にサーバーの最高特権である「root」権限へと段階的に昇格される恐れがある 。 公衆に動作可能な実証コード（PoC）が露出しており、悪用へのハードルが極めて下がっていることから、ベンダーはCVSS値以上にリスクを警戒している 。

技術的詳細 本脆弱性（CVE-2026-20230、CVSS v3.1スコア8.6、CWE-918）は、Cisco Unified Communications Manager（Unified CM）および同Session Management Edition（Unified CM SME）における、特定のHTTPリクエストハンドラに対する不適切な入力値検証が原因である 。 攻撃プロセスは、攻撃者が特権を持たない状態から、特別に偽装したHTTPリクエストを対象機器に送信することから始まる 。入力値の妥当性確認が行われないため、システムプロセスは攻撃者によって指定された外部ソースからデータを読み込み、それをOSの制限されたシステムディレクトリ内にファイルとしてそのまま書き込んでしまう 。CVSSスコアでは、この最初の「完全性の侵害（ファイル書き込み）」までが判定対象とされたためスコアが8.6に留まっているが、OS上に任意のファイルを埋め込める性質を利用し、攻撃者は容易にOSのroot特権にまで権限昇格を果たすことができる 。この極めて深刻なポスト・エクスプロイテーション（侵入後の活動）を想定し、Ciscoは本アドバイザリに対して最高レベルの「SIR Critical（最重要警戒）」を指定している 。なお、本攻撃手法が成立するのは、標準構成では無効化されている「WebDialer」サービスが稼働中である環境に限定される 。

推奨される対策 (Mitigation) 根本解決には、Ciscoからリリースされている脆弱性修正パッチへのアップデートを完了しなければならない 。リリース14系統を運用している組織は、最新の「14SU6」へのアップグレードが必要となる 。一方で、リリース15系統については、包括的なサービスアップデートである「15SU5」のリリースが2026年9月まで予定されていないため、管理者はそれまでの暫定防衛策として提供されている個別パッチである「COPパッチ」を速やかに手動適用しなければならない 。 パッチ適用までのタイムラグが生じる場合の即時緊急対策として、WebDialerサービス自体を明示的に無効化することを強く推奨する 。管理者コンソール（Cisco Unified CM Administration）から「Cisco Unified Serviceability」に切り替え、Tools > Control Center – Feature Services を確認し、「Cisco WebDialer Web Service」のステータスが「Started（稼働中）」となっている場合は、直ちに Tools > Service Activation 画面からチェックを外してサービスを停止・無効化し、攻撃の露出面を排除する必要がある 。

情報源 (https://thehackernews.com/2026/06/cisco-patches-cve-2026-20230-in-unified.html) /(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-ssrf-cXPnHcW)

🚨 Alert 3: Android Framework における特権昇格のゼロデイ脆弱性 (CVE-2025-48595)

概要 (3行まとめ) Android OSのFrameworkコンポーネントに存在する、ユーザーインタラクション（同意や操作）を全く必要としない高深刻度のローカル特権昇格（LoPE）の脆弱性である 。 システムの複数箇所に存在する「整数オーバーフロー」をトリガーにして動作するため、攻撃者はバックグラウンドでシステムコード実行を完了できる 。 商業用スパイウェアベンダーや特定の国家支援型脅威アクターによるターゲットを絞った野生でのゼロデイ悪用が確認されており、米CISAのKEVカタログにも追加されている 。

技術的詳細 本脆弱性（CVE-2025-48595、CVSSスコア8.4）は、Android OS 14、15、16、および 16 QPR2（Quarterly Platform Release 2）の広範囲なデバイス環境に壊滅的な影響を及ぼす 。不具合の技術的根拠は、Frameworkコンポーネントにおけるデータ処理メソッド内の整数オーバーフロー（Integer Overflow）に起因する 。 ローカルに存在する悪意あるアプリ（またはフィッシング等で侵入した不正なプロセス）は、特定のFramework APIを呼び出す際に極端に大きな数値パラメータを受け渡すことで、データポインタの計算を意図的に狂わせる 。これにより、メモリ管理領域を破壊して本来必要なアクセスセキュリティ制御をバイパスし、追加の認証要求や「はい / いいえ」のクリック同意を求めるプロセスを経ることなく、バックグラウンドにおいてローカルSYSTEMまたはFramework権限でのコード実行を可能にする 。このゼロデイ脆弱性は、痕跡を残しにくく非常に高いステルス性を担保できるため、主に特定重要人物をターゲットとした商業用高級スパイウェアのペイロード送り込みステップの重要な中間フェーズとして武器化されている 。

推奨される対策 (Mitigation) 組織で管理・配布されているモバイル端末、および個人所有端末を業務接続させている環境（BYOD）においては、Googleが2026年6月のアンドロイドセキュリティ弾としてリリースした最新のファームウェアパッチを全デバイスに確実に配信しなければならない 。本脆弱性の対策は、「2026-06-01」および「2026-06-05」のセキュリティパッチレベルのいずれかを適用することで完了する 。 特に「2026-06-05」パッチレベルは、SoCベンダー各社（Imagination Technologies、MediaTek、Qualcomm、Unisoc等）のプロプライエタリなカーネル・サードパーティ製ドライバの修正もバンドルされているため、管理者はこちらの統合パッケージの導入を優先すべきである 。MDM（モバイルデバイス管理）ツールを運用している部門においては、端末全体のパッチ適用ステータスを監視し、2026年6月度パッチを満たさない端末の社内ADリソース・SaaSアプリケーションへのアクセス資格を自動的にサスペンド（一時停止）するコンプライアンスポリシーを適用して強硬なデバイス隔離を実施する必要がある 。

情報源 (https://thehackernews.com/2026/06/google-june-2026-android-update-patches.html) /(https://www.bleepingcomputer.com/news/security/cisa-warns-of-active-attacks-exploiting-android-linux-bugs/)

Section 3: CISO/Manager Summary

今週のキーワード

未認証特権昇格の即時遮断とADアイデンティティの要塞化

管理者への提言

2026年6月現在のセキュリティインシデントおよび脆弱性の急増傾向は、単なる「単体サーバーの侵害」を超え、組織のインフラ全体の認証・特権機構を掌握しようとする戦略的アプローチである点にCISOは留意する必要がある 。これに伴い、以下の3項目にわたるリスク管理を徹底しなければならない。

第一に、ドメイン環境（Active Directory）に致命的な脅威をもたらす「Windows Server Netlogonの脆弱性（CVE-2026-41089）」に対する確実な対応計画の立案である 。ADドメインコントローラーがSYSTEM権限を掌握された瞬間、社内PC、ファイルサーバー、その他SSO連携している全システムが実質的に侵入者の支配下となる 。Microsoftが公開している2026年5月の更新プログラムの速やかな適用はもちろんのこと、すでにサポートが切れているが止むを得ず延命中のWindows Server 2012等のレガシー環境に対する「0patch」の適用や、DCが設置されているセグメントへのRPCフィルタリング通信制限など、ネットワーク側での封じ込めを実行に移す体制が急務である 。

第二に、境界防御製品の過信をやめ、内部コラボレーション機器やエンドポイント管理製品を「最脆弱ポイント」として再評価することである 。Cisco Unified CMのSSRF（CVE-2026-20230）やTrendAI Apex One（CVE-2026-34926）は、攻撃者に「最高権限での侵入起点」を与えるため、パッチ適用の自動化、不要なサービス（WebDialerサービス等）の即時無効化を厳密にチェックするルーティンが必要である 。

第三に、日本国内のNostrum CorporationやMedical PAYを狙ったランサムウェアグループ（The Gentlemen、KillSec等）の動きからも明らかな通り、現在のランサムウェアはデータの暗号化だけでなく、「機微情報の事前窃取と公開をチラつかせる交渉術（二重脅迫）」が基本シナリオとなっている 。これに対抗するため、万一特権管理者アカウントが侵害された場合であっても確実に保全され、改ざんや削除を許さない「不変（Immutable）オフラインバックアップ」の設計をバックアップポリシーへと直ちに組み込む必要がある 。

以下の表は、組織の資産管理者および実務担当エンジニアが直ちに優先付けして実施すべき戦術的・戦略的アクションのまとめである。

対策優先度	対象システム環境	想定される脅威・影響範囲	組織が直ちにとるべき防衛アクション
最高優先 (Immediate)	Active Directory ドメインコントローラー	未認証リモートコード実行（RCE）による、ドメイン環境全体の完全妥協 。	全てのドメインコントローラーに対する2026年5月累積更新プログラムの一括適用。適用困難な場合はRPC/SMB通信を特定ドメインメンバーからのみにファイアウォールで徹底制限 。
高優先 (High)	コラボレーションシステム（Cisco UCM/SME等）	外部からの不正ファイル配置、および下層OSのroot特権への昇格 。	14系統は「14SU6」、15系統は暫定「COPパッチ」を即時適用。不要であれば「WebDialer」機能の完全無効化ポリシーを設定 。
高優先 (High)	エンドポイント管理システム（TrendAI Apex One等）	相対パストラバーサル等によるセキュリティ配信プラットフォームの掌握 。	オンプレミス環境管理コンソールの即時パッチ適用。クラウド移行状況の確認およびエージェントの自動アップデートテストの実施 。
中優先 (Medium)	組織内配布およびBYOD用Android端末	バックグラウンドでの特権昇格、商業用スパイウェアを通じたデータ盗聴 。	MDMを用いた2026年6月パッチレベル（2026-06-01 / 2026-06-05）適用の強制化、コンプライアンス未達端末のアクセス拒否、信頼できないアプリソースのブロック 。
中優先 (Medium)	サポート終了済みレガシーOS（Server 2012等）	パッチ提供対象外に伴うNetlogon等の致命的脆弱性の残存 。	マイクロパッチ配信プラットフォーム（0patch等）のサブスクリプション購入、または該当サーバーの物理・仮想セグメントの完全隔離、ADからの脱退検討 。