概要
今日の注目セキュリティニュースをまとめました。2026年9月9日はMicrosoftのPatch Tuesdayと重なり、過去最多のCVE修正が公表されました。あわせて、MSP向けRMM製品やVPN製品のCVSS 10.0クラスのゼロデイ、MFAを回避するフィッシング基盤、ブロックチェーンを悪用したマルウェア配信など、影響範囲の広いトピックが並んでいます。
主要ニュース
1. Microsoft 2026年9月のPatch Tuesday - 過去最多966件を修正、ゼロデイ2件
- 影響範囲: Windows、Office、SQL Server、Azure、開発者向けツール全般
- 概要: Microsoftが過去最多となる966件（集計方法により973件とする報道もあり）の脆弱性を修正しました。うち113件がCriticalに分類されています。実際に悪用が確認されているゼロデイは2件で、Windows Update StackのCVE-2026-81963と、ALPC（Advanced Local Procedure Call）コンポーネントのCVE-2026-85880です。いずれも権限昇格につながり、SYSTEM権限の奪取が可能とされています。また、Azure AI LanguageのCVE-2026-70352はCVSS 10.0、Windows DNS ServerとRemote Desktop ServicesにもCVSS 9.8のRCEが含まれます。
- 対応策: 悪用確認済みの2件を最優先に、Windows Updateを即時適用してください。件数が膨大なため、まずはインターネット公開資産とドメインコントローラから優先的に適用する運用が現実的です。
- 参考リンク: https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2026-patch-tuesday-fixes-966-flaws-2-zero-days/
2. CISAがKEVカタログに4件を追加（9月8日）
- 影響範囲: Adobe Commerce / Magento、Microsoft Windows、N-able N-central
- 概要: CISAが実際の悪用を根拠に、以下4件をKnown Exploited Vulnerabilities（KEV）カタログへ追加しました。CVE-2026-75650（Adobe Commerce / Magentoのテンプレートエンジンにおける不適切な無害化）、CVE-2026-81963（Windows Link Following）、CVE-2026-85880（Windows ヒープベースバッファオーバーフロー）、CVE-2026-86218（N-able N-central の静的コードインジェクション）。
- 対応策: KEV掲載は「すでに攻撃されている」ことを意味します。米国連邦機関以外でも、KEVを社内のパッチ優先度付けの基準に組み込むことを推奨します。Adobe Commerceについては9月22日までの適用が呼びかけられています。
- 参考リンク: https://www.cisa.gov/news-events/alerts/2026/09/08/cisa-adds-four-known-exploited-vulnerabilities-catalog
3. N-able N-central に CVSS 10.0 の認証不要RCE（CVE-2026-86218）
- 影響範囲: N-able N-central 2026.3.1.14 より前のバージョン（MSPが利用するRMMプラットフォーム）
- 概要: 9月6日に公表されたCVE-2026-86218は、CVSS 10.0の認証不要リモートコード実行脆弱性です。インターネットに公開されたN-centralインスタンスに対し、低い攻撃複雑度で任意コード実行が可能とされます。Huntressがゼロデイの可能性を指摘し、認証バイパスにつながるCVE-2026-86206およびCVE-2026-86207も同時に修正されました。Shadowserverによると約1,500台のN-centralサーバがインターネットに露出しています。なお、悪用状況についてはN-ableの公式見解とインシデント通知の間で記述に食い違いが見られます。
- 対応策: N-central 2026.3 Hotfix 4 以降へ直ちに更新し、管理コンソールのインターネット直接公開を避けてください。RMMは侵害されると配下の全顧客環境に波及するため、侵害有無の調査も並行して実施すべきです。
- 参考リンク: https://www.bleepingcomputer.com/news/security/n-able-patches-max-severity-n-central-flaw-amid-ongoing-attacks/
4. SonicWall SMA 1000 のゼロデイ2件が実際の攻撃で悪用（CVE-2026-83548 / CVE-2026-83549）
- 影響範囲: SonicWall SMA 1000シリーズ（モデル6210、7210、8200v）
- 概要: CVE-2026-83548は認証前に悪用可能なSSRF（CVSS 10.0）、CVE-2026-83549はOSコマンドインジェクションで、両者を連鎖させることで認証不要のリモートコード実行が成立します。SonicWallは実際の攻撃での悪用を確認しており、両CVEはCISAのKEVにも登録済みです。SMA 100シリーズおよびSonicWallファイアウォールのSSL VPN機能は影響を受けません。
- 対応策: Hotfix 12.4.3-03526 または 12.5.0-02952 以降を適用してください。SMA 1000は昨年12月以来3度目の悪用済みゼロデイとなるため、パッチ適用に加えてログ調査による侵害痕跡（IoC）確認を推奨します。
- 参考リンク: https://www.securityweek.com/sonicwall-warns-of-two-sma1000-zero-days-exploited-in-attacks/
5. フィッシング基盤「BigBear 2.0」がMFAを回避し258組織を侵害
- 影響範囲: Microsoft 365利用組織
- 概要: CloudSEKの調査により、Phishing-as-a-Serviceフレームワーク「BigBear 2.0」が258組織でMFA回避を伴う侵害に成功し、5,000件超のMicrosoft 365資格情報を窃取していたことが判明しました。Evilginx2ベースのAiTM（中間者）プロキシでセッションCookieごと窃取するほか、独自JavaScriptによりFIDO2/WebAuthnを無効化して弱い認証方式へ誘導します。さらに69カ国のレジデンシャルプロキシを被害者の所在地に合わせて使い分け、Microsoft側の異常検知を回避していました。
- 対応策: SMSやプッシュ通知ベースのMFAはAiTMで回避されます。フィッシング耐性のあるFIDO2キーやパスキーの必須化、条件付きアクセスによるデバイス準拠チェック、トークン保護（Token Protection）の有効化を検討してください。異常なサインインセッションの失効も有効です。
- 参考リンク: https://www.bleepingcomputer.com/news/security/bigbear-microsoft-365-phishing-service-bypassed-mfa-at-258-organizations/
6. 5,400超の改ざんサイトがブロックチェーン上のClickFixペイロードを配信
- 影響範囲: WordPress / PrestaShop で構築されたWebサイト、およびその閲覧者（Windows端末）
- 概要: 5,400以上の改ざんサイトに、BNB Smart Chainのスマートコントラクトから次段ペイロードを取得するスクリプトが注入されていました。この「EtherHiding」と呼ばれる手法は、悪意あるコードをブロックチェーン上に置くことでテイクダウンを困難にします。閲覧者にはCAPTCHA偽装の画面が表示され、Windowsの「ファイル名を指定して実行」にPowerShellコマンドを貼り付けさせるClickFix型のソーシャルエンジニアリングで感染に至ります。被害は2,200組織以上に及び、単一のコントラクト書き換えで配信内容を変更できる点が特徴です。
- 対応策: サイト運営者はCMSとプラグインの更新、管理者資格情報の棚卸し、注入スクリプトの有無の確認を。利用者側は「Win+R でコマンドを貼り付けてください」という指示は例外なく攻撃と判断してください。組織ではPowerShellの実行ログ取得とRunダイアログ経由の実行監視が有効です。
- 参考リンク: https://www.bleepingcomputer.com/news/security/over-5-400-hacked-sites-serve-clickfix-payloads-stored-on-the-blockchain/
7. Trezorの情報漏えい、委託先経由で81,000人規模に拡大
- 影響範囲: 2019年11月〜2021年8月にTrezor製品を注文した顧客（うち米国67,000人が追加判明）
- 概要: 8月13日に約14,000人と公表されていた漏えいが、物流委託先ShipMonkでの侵害により合計81,000人規模へ拡大しました。漏えい項目は氏名、メールアドレス、電話番号、配送先住所、注文番号です。侵害の起点はサードパーティ分析基盤Metabaseの重大なSQLインジェクションのゼロデイで、管理者権限を奪取されました。ShipMonkが契約上の要件に反してデータを削除していなかったことが被害拡大の要因とされています。Trezor自身のシステムやデバイスは侵害されていません。
- 対応策: 該当者はフィッシングメールや偽の電話・郵便に厳重注意を。暗号資産ハードウェアウォレットの購入者情報は物理的な脅迫リスクにも直結します。企業側の教訓としては、委託先のデータ保持期間の実効的な監査が重要です。
- 参考リンク: https://www.bleepingcomputer.com/news/security/trezor-data-breach-impact-now-reaches-81-000-customers/
8. npmサプライチェーン攻撃の継続 - 自己増殖ワーム「Shai-Hulud」
- 影響範囲: npmパッケージを利用する全開発組織、CI/CD環境
- 概要: メンテナアカウントを狙った標的型フィッシングを起点に、npmパッケージへ悪意あるコードが混入する攻撃が続いています。ペイロードのひとつであるShai-Huludワームは、クラウドの認証トークンを窃取し、シークレットスキャンツールを展開して、別のアカウントへ自己増殖します。約800パッケージへの波及が報告され、2026年には120万件規模の悪性npmパッケージが観測されています。暗号資産を窃取するためにWeb APIをフックする亜種も確認されています。
-
対応策:
npm ciによるロックファイル固定、--ignore-scriptsの活用、依存関係の自動更新の一時停止と差分レビュー、CI環境のトークン権限の最小化と短命化を推奨します。漏えいが疑われる場合はnpm/GitHubトークンとクラウド資格情報を全面ローテーションしてください。 - 参考リンク: https://unit42.paloaltonetworks.com/monitoring-npm-supply-chain-attacks/
9. Adobe Commerce / Magento の重大脆弱性（CVE-2026-75650）が悪用中
- 影響範囲: Adobe Commerce および Magento を利用するECサイト
- 概要: テンプレートエンジンにおける不適切な無害化に起因する重大な脆弱性で、任意コード実行につながる可能性があります。実際の悪用が確認されたためCISAのKEVに追加され、9月22日までの修正適用が呼びかけられています。ECプラットフォームの脆弱性はカード情報を狙うWebスキマー設置に直結しやすく、優先度は高いと言えます。
- 対応策: Adobeの提供するパッチを速やかに適用し、チェックアウト画面のJavaScript改ざん有無、管理者アカウントの不審な追加、ファイルの更新日時を確認してください。
- 参考リンク: https://www.cisa.gov/news-events/alerts/2026/09/08/cisa-adds-four-known-exploited-vulnerabilities-catalog
まとめ
本日の傾向は3点に整理できます。第1に、境界防御製品と運用管理製品（SonicWall SMA、N-able N-central）でCVSS 10.0クラスのゼロデイが相次いでおり、「守るための製品」が最短の侵入経路になっています。第2に、Trezorの事例やnpmの事例が示すように、被害の起点が自社ではなく委託先・依存パッケージという構図が定着しつつあります。第3に、BigBear 2.0やClickFixのように、技術的対策を人の操作で迂回させる手口が高度化しており、MFA導入済みでも安心はできません。まずはKEV掲載CVEの棚卸しと、フィッシング耐性のある認証方式への移行から着手することをおすすめします。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。