概要
今日の注目セキュリティニュースをまとめました。
今週は「パッチが出た直後に攻撃が始まる」傾向がさらに鮮明になっています。Cisco Secure Email Gateway のゼロデイ、CVSS 10.0 の GitLab 任意ファイル読み取り、過去最多 974 件を修正した Microsoft の月例パッチなど、境界に置かれた機器・開発基盤を狙う事例が目立ちました。加えて、攻撃側が AI エージェントを使って探索・悪用を自動化する動きも複数の報告で確認されています。
主要ニュース
1. Cisco Secure Email Gateway にゼロデイ（CVE-2026-76461, CVSS 9.8）、実環境で悪用
- 影響範囲: Cisco Secure Email Gateway（AsyncOS、物理/仮想アプライアンス双方、設定に関わらず影響）。Secure Email and Web Manager および Secure Web Appliance は影響を受けません。
- 概要: メール解析ロジックの入力検証不備により、細工したメールを送りつけるだけで未認証のリモート攻撃者が任意の SQL 文を実行でき、最終的に OS 上で root 権限のコマンド実行に至ります。すでに実環境での悪用が確認されており、CISA は KEV カタログに追加、米連邦政府機関に 2026年9月17日までの適用を義務付けました。
-
対応策: 回避策はなく、修正版への更新が唯一の対策です。15.5 以前は 15.5.5-0141、16.0 系は 16.0.4-302、16.5 系は 16.5.0-780 へアップデートしてください。攻撃者が痕跡を消す可能性があるため、
mail_logs内のCOPY ... TO PROGRAM文に加え、ファイアウォールなど外部のログも併せて確認することが推奨されています。 - 参考リンク: https://thehackernews.com/2026/09/cisco-secure-email-gateway-flaw.html
2. GitLab に CVSS 10.0 の未認証ファイル読み取り（CVE-2026-85706）、公開直後からスキャン
- 影響範囲: GitLab CE/EE 18.7〜19.1.8 未満、19.2〜19.2.6 未満、19.3〜19.3.2 未満（self-managed）。
- 概要: commits API のパス制限不備と認証適用漏れにより、未認証ユーザーがサーバー上の任意ファイルを読み取れます。公開プロジェクトが 1 つ存在するだけで成立する点が厄介です。watchTowr は 2026年9月11日 06:00 UTC からの探索を観測しており、ログや設定ファイルから認証情報を抜き出す動き、続く週末には設定ファイルや SSH 設定のダンプが確認されました。CISA も同日 KEV に追加しています。同時に Duo Chat 経由の安全でないデシリアライズ（CVE-2026-87719, CVSS 9.9）も修正されました。
-
対応策: 19.1.8 / 19.2.6 / 19.3.2 へ直ちにアップデート。即時対応が難しい場合は公開アクセスを制限し、commits API に対する
file.Pathパラメータを含む不審なリクエストがログにないか確認してください。 - 参考リンク: https://thehackernews.com/2026/09/gitlab-cvss-10-file-read-flaw-draws-in.html
3. Microsoft 月例パッチが過去最多の 974 件、うち 2 件はゼロデイ悪用
- 影響範囲: Windows（723 件）、Office（111 件）、SQL Server（62 件）、開発ツール（22 件）など Microsoft 製品全般。
- 概要: 2026年9月の Patch Tuesday で 974 件（Microsoft 以外の 25 CVE を含めると計 999 件）が修正され、うち 110 件超が緊急（Critical）でした。実際に悪用が確認されたのは、Windows ALPC のヒープバッファオーバーフロー CVE-2026-85880（CVSS 7.8）と、Windows Update Stack のリンク解決不備 CVE-2026-81963（CVSS 7.8）の 2 件で、いずれもローカルでの SYSTEM 権限昇格につながります。CVE-2026-85880 は低権限 AppContainer からのサンドボックス脱出に利用可能とされます。ほかに Windows DNS Server（CVE-2026-69730）、リモートデスクトップサービス（CVE-2026-69525）、DHCP Server（CVE-2026-72979）などの CVSS 9.8 の RCE も修正されています。
- 対応策: 件数が膨大なため、まず KEV 登録済みの 2 件（期限は 2026年9月22日）を最優先で適用し、次にインターネットに露出している DNS・RDP・DHCP など CVSS 9.8 の RCE を優先してください。すべてを一律に扱わず、自組織で実際に到達可能な資産を基準に優先度を付けることが重要です。
- 参考リンク: https://thehackernews.com/2026/09/microsoft-patches-record-974-flaws.html
4. Chrome V8 のゼロデイ（CVE-2026-87491）が悪用、Windows と連鎖する攻撃キットも
- 影響範囲: Google Chrome 153.0.8010.36 より前のバージョン、および Edge / Brave / Opera / Vivaldi などの Chromium 系ブラウザ。
- 概要: JavaScript/WASM エンジン V8 の境界外書き込みにより、細工した HTML ページを開くだけでサンドボックス内での任意コード実行が可能になります。2026年9月9日の更新（計 230 件修正）で対処されましたが、すでに実環境での悪用が確認され、CISA は同日 KEV に追加（連邦機関の期限は 9月23日）。今年 7 件目の Chrome ゼロデイ悪用事例です。さらに Proofpoint は、本脆弱性と CVE-2026-85046、Windows ALPC の CVE-2026-85880 を連鎖させる「BlueMoon」エクスプロイトキットを確認しており、中国系とみられる 3 つを含む計 4 つのスパイ活動クラスタが同時期に利用していました。
- 対応策: 「ヘルプ > Google Chrome について」から 153.0.8010.36（Windows/macOS は .37 も可）以降へ更新し、ブラウザを再起動してください。Chromium 系ブラウザも各ベンダーの更新が出次第適用を。ブラウザ単体ではなく Windows 側のパッチ（項目 3）も併せて当てることで、連鎖攻撃を断てます。
- 参考リンク: https://thehackernews.com/2026/09/chrome-v8-zero-day-exploited-in-wild.html
5. JFrog Artifactory の脆弱性連鎖で管理者権限を奪取、バックドア設置
- 影響範囲: セルフホスト版 JFrog Artifactory。CVE-2026-42018 は 7.111.20 / 7.117.27 / 7.125.19 / 7.133.28 / 7.146.8 より前、CVE-2026-42016 は 7.133.11 より前。別系統の CVE-2026-82329（CVSS 9.8）は 7.161 系までの 6 ブランチが対象（クラウド版は影響なし）。
- 概要: Wiz は 2026年8月15日〜9月8日にかけて、匿名アクセスを無効化していても内部匿名トークンを取得できる CVE-2026-42018 と、そのトークンを管理者スコープのトークンに交換できる CVE-2026-42016 を連鎖させる攻撃を観測しました。攻撃者は数分で不正な管理者アカウントを作成し、悪意ある Groovy プラグインを導入、Rust 製バックドアを設置して C2 通信を行っていました。未認証で管理者を迂回できる CVE-2026-82329 は 9月2日だけで約 40 万 6,000 件の悪用試行が記録されています。
- 対応策: 各ブランチの修正版へアップグレード。重要なのは、パッチを当てても既に作成済みの不正な管理者アカウントや流出した join key は無効化されない点です。外部公開していたサーバーは侵害前提で扱い、join key のローテーション、2026年8月28日以降に発行されたトークンの失効、管理者アカウントの棚卸しを実施してください。ソフトウェアサプライチェーンの中核を担う成果物リポジトリが狙われている点は特に重く受け止めるべきです。
- 参考リンク: https://thehackernews.com/2026/09/attackers-chain-jfrog-artifactory-flaws.html
6. Cisco FMC の脆弱性悪用から Qilin ランサムウェア展開へ
- 影響範囲: Cisco Secure Firewall Management Center（FMC）。
- 概要: Cisco Talos は、修正済みの 2 件—Web インターフェースの認証バイパス CVE-2026-20079（CVSS 10.0、未認証でのスクリプト実行から root 取得が可能）と、低権限アカウントでのログインを許す CVE-2026-20316（CVSS 5.3）—を悪用する 3 つの攻撃クラスタを報告しました。UAT-12197 は JSP Web シェルで認証情報を収集、UAT-11823 は両脆弱性を組み合わせてロシア Sandworm に関連する Cyclops Blink の亜種を投入、UAT-11988 は CVE-2026-20316 を初期侵入経路として環境寄生（LotL）手法で横展開し、最終的に Qilin ランサムウェアを展開しました。
- 対応策: 両 CVE のホットフィックスを直ちに適用してください。FMC の管理インターフェースをインターネットに露出させない、管理系セグメントを分離するといった構成面の見直しも有効です。CVE-2026-20079 は KEV 登録済み（連邦機関の期限は 9月12日）で、CVE-2026-20316 は 7月末に登録されています。
- 参考リンク: https://thehackernews.com/2026/09/cisco-fmc-flaws-exploited-to-steal.html
7. PaperCut のゼロデイ悪用、48 カ国 395 組織が侵害 — AI エージェントを大量投入
- 影響範囲: PaperCut NG/MF（印刷管理サーバー）。
- 概要: 認証バイパスと任意コード実行を組み合わせる CVE-2026-81578 / CVE-2026-82078 が実環境で悪用されています。GreyNoise と Blackpoint Cyber によれば、ロシア語話者とみられる攻撃者が単一 IP（45.142.193.132）から OpenAI Codex ハーネスと DeepSeek モデルによる数百の AI エージェントを走らせ、48 カ国 395 組織以上を侵害。特に米国の教育機関に集中しており、ロシア・中国など 28 カ国は意図的に回避していました。watchTowr は侵害後にメモリ上のみで動作する Godzilla Web シェルや suo5 HTTP プロキシが投入される様子も観測しています。
- 対応策: PaperCut は 2026年9月10日に緊急パッチを置き換える通常メンテナンスリリース（26.0.5 / 25.0.13 / 24.1.10）を公開しました。緊急パッチ適用済みの環境でも、リグレッション修正と追加のハードニングが含まれるこれらのバージョンへ移行してください。ディスクに痕跡が残らない実装のため、パッチ適用だけでなくサービス再起動とネットワークログの確認も必要です。
- 参考リンク: https://thehackernews.com/2026/09/papercut-replaces-emergency-patches.html
8. 公開された Vite 開発サーバーを狙う大規模スキャン、クラウド認証情報が流出
-
影響範囲: インターネットに露出した Vite 開発サーバー（
--host/server.hostで外部公開している環境）。CVE-2026-39364（CVSS 8.2）。 -
概要: F5 Labs によると、2026年8月に
/@fs/エンドポイントへ?rawや?import&rawといったクエリパラメータを付与してserver.fs.denyの制限を回避する攻撃が大規模に観測されました。本来ブロックされるはずの.envや証明書ファイルが HTTP 200 で返され、AWS/Azure の認証情報、Terraform や Serverless の state ファイル、/etc/passwdなどが窃取されています。リクエストは Googlebot・ClaudeBot・GPTBot などのクローラーを騙る User-Agent や偽造した X-Forwarded-For ヘッダーで IP 許可リストを回避していました。 -
対応策: 2026年4月公開の Vite 修正版を適用したうえで、開発サーバーを外部公開しないことが根本的な対策です。CI/CD やステージング環境でうっかり
--hostを付けたまま起動していないか確認し、露出していた場合はクラウド認証情報のローテーションを実施してください。 - 参考リンク: https://thehackernews.com/2026/09/mass-scanning-campaign-exploits-vite.html
9. LiteSpeed Web Server Enterprise の権限昇格、共有ホスティングで root 到達の恐れ
- 影響範囲: LiteSpeed Web Server Enterprise 6.3.7 より前のバージョン（共有ホスティング環境）。OpenLiteSpeed については言及なし。
- 概要: cPanel が 2026年9月14日に公開した勧告によると、低権限の共有ホスティングアカウントが CloudLinux の CageFS を含む分離機構を回避し、他の顧客のサイトやサーバー自体へアクセス・改変でき、root 権限に到達し得るとされています。CVE 番号と CVSS スコアは未割り当てで、技術的詳細は非公開、9月15日時点で悪用は確認されていません。2026年5月以降、LiteSpeed/cPanel 関連では 3 件目の権限昇格問題です（先行 2 件の CVE-2026-48172、CVE-2026-54420 は実際に悪用されました）。
-
対応策: LiteSpeed が 9月11日に公開した 6.3.7 へ更新してください。自動更新の反映が遅れているため、
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7を手動実行することが推奨されています。回避策は提示されていません。 - 参考リンク: https://thehackernews.com/2026/09/litespeed-enterprise-flaw-could-let-one.html
10. Check Point の VPN 証明書処理に CVSS 9.8 の脆弱性 2 件
- 影響範囲: Check Point Quantum Security Gateway / Security Management。R82.10（Jumbo Hotfix Take 43 以下）、R82（Take 125 以下）、R81.20（Take 165 以下）。
- 概要: 2026年9月9日、Check Point は自社で発見した 2 件を公表しました。CVE-2026-85102（CVSS 9.8）は VPN ネゴシエーション時の証明書信頼検証の不備、CVE-2026-85103（CVSS 9.8）は VPN 証明書の ASN.1 構造デコード時のヒープバッファオーバーフローで、いずれも未認証のリモートコード実行につながる可能性があります。現時点で悪用は確認されていません。
- 対応策: Live Patch（R81.20 / R82.00 / R82.10 では自動適用）を有効にするか、最新の Jumbo Hotfix を適用してください。なお R81.10 利用者からはパッチが提供されていないとの報告があり、ベンダー提示の緩和策（VPN の implied rules 無効化）も具体性に欠けるとの指摘があります。境界機器は攻撃者にとって最優先の標的であり、公表から悪用までの猶予は短いと想定して動くべきです。
- 参考リンク: https://thehackernews.com/2026/09/check-point-discloses-two-98-rated-vpn.html
まとめ
今回取り上げた 10 件のうち、実に 7 件がすでに実環境で悪用されており、公開から KEV 登録・悪用開始までの間隔は数日以内にまで縮まっています。特に、GitLab・JFrog Artifactory・Vite・PaperCut といった「開発者や社内業務が日常的に触れる基盤」が標的になっている点は注目すべき変化です。境界機器（Cisco、Check Point）とあわせ、インターネットに露出している資産の棚卸しを改めて行う価値があります。
もう一つの通底するテーマは攻撃側の AI 活用です。PaperCut 事例で数百の AI エージェントが投入されていたように、N-day のエクスプロイト化と大規模スキャンが自動化されつつあります。「パッチが公開されてから適用するまでの数日」というこれまで暗黙に許容されてきた猶予は、もはや前提にできません。まずは KEV 登録済みかつ自組織で外部から到達可能な資産から、優先度を付けて潰していくことをおすすめします。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。