概要
今日の注目セキュリティニュースをまとめました。2026年9月1日〜2日にかけては、エッジ機器のゼロデイ悪用と開発基盤（アーティファクトリポジトリ・AI基盤・ソフトウェア更新経路）を狙ったサプライチェーン攻撃が同時多発的に報じられています。CISAのKEVカタログにも新たに7件が追加されました。
主要ニュース
1. SonicWall SMA1000 に2件のゼロデイ、実攻撃で悪用（CVSS 10.0 を含む）
- 影響範囲: SonicWall SMA1000シリーズ（モデル 6210 / 7210 / 8200v）。SonicWallファイアウォールのSSL-VPNおよびSMA100シリーズは影響なし
- 概要: SonicWallは9月2日、SMA1000のゼロデイ2件を公表しました。CVE-2026-83548（CVSS 10.0）はAppliance Work Place インターフェースの認証前SSRF、CVE-2026-83549（CVSS 7.8）はAppliance Management Console（AMC）のOSコマンドインジェクションです。両者を連鎖させることで未認証のリモートコード実行が可能で、ベンダーは実際の悪用を確認済みとしています。
- 対応策: ホットフィックス 12.4.3-03526 / 12.5.0-02952 以降へ即時アップデート。管理コンソールのインターネット公開を停止し、侵害有無を調査してください（ベンダー公開のIoCは現時点でありません）。
- 参考リンク: https://www.securityweek.com/sonicwall-warns-of-two-sma1000-zero-days-exploited-in-attacks/
2. JFrog Artifactory の認証バイパス（CVE-2026-82329）が公開数日で実悪用
- 影響範囲: JFrog Artifactory（修正版 7.161.20 未満）
- 概要: CVSS 9.8の認証バイパスの脆弱性で、悪用されると管理者トークンを生成され、Artifactory への管理者アクセスにつながります。watchTowr によれば9月1日時点で攻撃者による武器化が始まっており、8月28日のパッチ公開からわずか数日という極めて短い期間で実攻撃へ移行しました。アーティファクトリポジトリはビルド成果物の配布点であり、侵害はそのままソフトウェアサプライチェーン汚染に直結します。
- 対応策: Artifactory 7.161.20 以降へ即時アップグレード。加えて、発行済みアクセストークン・APIキーの棚卸しとローテーション、管理者アカウントの追加・権限変更の監査ログ確認を推奨します。
- 参考リンク: https://thehackernews.com/2026/09/attackers-exploit-critical-jfrog.html
3. PaperCut NG/MF のゼロデイ、偵察から「実侵入」フェーズへ
- 影響範囲: PaperCut NG / MF の全バージョン（印刷管理サーバ）
- 概要: 8月27日に公表された CVE-2026-81578（認証バイパス）と CVE-2026-82078（認証前RCE、CVSS 9.4）の悪用が、スキャン・偵察から実際のハンズオンキーボード侵入へエスカレートしています。緊急パッチは初版が回避されたため2度差し替えられ、9月1日には3版目がリリースされました。初版・2版目のパッチ適用だけでは保護が不完全な点に注意が必要です。ShadowServerによればインターネット公開インスタンスは1,000台超、CISAは連邦機関に9月14日までの対処を指示しています。
- 対応策: 最新の緊急パッチ（3版目）を適用。旧パッチ適用済みの環境も必ず再適用してください。PaperCut管理画面のインターネット公開を停止し、侵害調査を実施することを強く推奨します。
- 参考リンク: https://www.securityweek.com/papercut-exploitation-escalates-to-active-intrusions/
4. BGPハイジャックにより Virtualizor に不正な更新パッケージが配信
- 影響範囲: Softaculous Virtualizor（VPS管理コントロールパネル）利用サーバ全般
- 概要: 2026年8月28日20:57 UTC頃から30日にかけて、AS62390（NexonHost）がHetznerのアドレス空間（Softaculousのシステムを含む）をより長いプレフィックスで広告するBGPハイジャックが発生しました。攻撃者はハイジャック経路経由でLet's Encryptのドメイン検証を通過させ、技術的に正当なTLS証明書を取得。警告なしで偽の更新サーバへ誘導し、更新チェックを行った一部インスタンスへ悪意あるパッケージを配信しました。当時のアップデートクライアントはパッケージの署名検証を行っていませんでした。
- 対応策: 全Virtualizorサーバを調査対象とみなし、ベンダー公開のIoCで確認。クライアントエリアのパスワードリセット、APIキー再生成、アカウント操作履歴の確認を実施し、緩和ツールを含む v3.2.9.9 へ更新してください。
- 参考リンク: https://www.securityweek.com/malicious-virtualizor-update-served-via-bgp-hijacking/
5. AIローコード基盤 Langflow の未認証RCE（CVE-2026-0768）を悪用開始
- 影響範囲: Langflow バージョン 1.4.2 以前の全リリース
- 概要: CVSS 9.8のRCEで、カスタムコンポーネントエディタのコードバリデータにおいてユーザー入力文字列が適切に検証されないため、未認証の攻撃者がroot権限で任意のPythonコードを実行できます。VulnCheckは、主にロシア発の環境変数・シークレットキー・SSHアクセスの探索を観測し、英国のカナリアへ360件超の悪用試行を確認したと報告しました。同社によれば2026年に入りLangflowの被悪用脆弱性は11件増加しており、AIスタックが明確な攻撃対象になっています。
- 対応策: Langflow を最新版へアップデート。インターネットへの直接公開を避け、認証・ネットワーク制限を必須化。すでに公開していた環境ではAPIキーや資格情報の漏洩を前提としたローテーションを行ってください。
- 参考リンク: https://www.securityweek.com/hackers-start-exploiting-critical-langflow-vulnerability/
6. CISAがKEVカタログに7件を追加（2026年9月2日）
- 影響範囲: Sangoma Switchvox、Starlette、Kestra OSS、LiteLLM、JFrog Artifactory、SonicWall SMA1000
- 概要: CISAは実際の悪用の証拠に基づき、以下7件をKnown Exploited Vulnerabilities（KEV）カタログへ追加しました：CVE-2026-9586（Sangoma Switchvox / SQLインジェクション）、CVE-2026-48710（Starlette / HTTPリクエストスマグリング）、CVE-2026-49869（Kestra OSS / OSコマンドインジェクション）、CVE-2026-59822（BerriAI LiteLLM / 不適切な認証）、CVE-2026-82329（JFrog Artifactory）、CVE-2026-83548 および CVE-2026-83549（SonicWall SMA1000）。
- 対応策: KEV掲載は「実際に攻撃されている」ことを意味します。自組織の資産インベントリと突き合わせ、優先的にパッチ適用してください。特にStarlette（FastAPIの基盤）は依存関係として組み込まれているケースが多く、SBOMでの確認を推奨します。
- 参考リンク: https://www.cisa.gov/news-events/alerts/2026/09/02/cisa-adds-seven-known-exploited-vulnerabilities-catalog
7. Cleo Harmony の権限昇格（CVE-2026-84115）に公開エクスプロイトが出回る
- 影響範囲: Cleo Harmony 5.8.1.10 以前の全ビルド
-
概要: CVSS 8.3の権限昇格の脆弱性で、
/api/connectionsエンドポイントに紐づくJWTリフレッシュトークン処理に問題があります。細工したBearerトークンを送ることで、本来付与されないはずの権限をリモートから取得可能です。動作する公開エクスプロイトがすでに流通しています。Cleo製品はファイル転送用途で機密データを扱うことが多く、過去にも大規模な悪用キャンペーンの標的となってきました。 -
対応策: ベンダー提供の修正版へ更新。更新までの暫定策としてアクセス元IPの制限、
/api/connectionsへの異常なリクエストの監視、リフレッシュトークンの無効化を検討してください。 - 参考リンク: https://www.securityweek.com/exploit-published-for-fresh-cleo-harmony-vulnerability/
8. マンチェスター空港グループの侵害、870万人分のデータが公開される
- 影響範囲: Manchester Airports Group（MAG）傘下3空港の駐車場・ラウンジ・Fast Track予約者、および空港内Wi-Fi利用者
- 概要: MAGは8月27日に侵害を公表。データ恐喝グループ FulcrumSec が犯行を主張し、86GB・870万人分とされるデータを、身代金支払い拒否を受けてオンラインへ公開しました。含まれる情報はメールアドレス、電話番号、郵便番号、車両登録番号、今後の予約情報などで、2026年内の渡航予定に関するレコードが約20万件含まれるとされています。同グループは「公開されていたWebサイトのキーによって侵害が容易だった」と主張しています。
- 対応策: 該当空港の利用者はフィッシングに警戒を（渡航予定情報を悪用した標的型詐欺が想定されます）。企業側の教訓としては、フロントエンドに露出したAPIキー・シークレットの棚卸しと、Secret Scanningの導入が有効です。
- 参考リンク: https://www.securityweek.com/extortion-group-claims-manchester-airports-group-data-breach/
9. Chrome・Firefox が多数の脆弱性を修正（Chrome 152 で26件）
- 影響範囲: Google Chrome、Mozilla Firefox / Firefox ESR / Thunderbird
- 概要: GoogleはChrome 152で26件の脆弱性を修正し、うち2件はCriticalなuse-after-freeです（Shared Tab Groupsの CVE-2026-84353、WebGLの CVE-2026-84352）。ほかに高深刻度9件（use-after-free、不適切な認可、情報漏洩、入力検証不備、未初期化リソース、バッファオーバーフロー）を含みます。Mozillaも Firefox ESR 115.40 / 140.15 / 153.2、Thunderbird 155 / 140.15 / 153.2 をリリースしました。いずれも実悪用の報告はありません。
- 対応策: Chrome は 152.0.7977.75/.76（Windows・macOS）、152.0.7977.75（Linux）へ更新。ブラウザを再起動して更新を確定させてください。組織では管理ポリシーによる強制更新の設定を推奨します。
- 参考リンク: https://www.securityweek.com/chrome-and-firefox-updates-patch-dozens-of-vulnerabilities/
まとめ
今回のトピックで際立つのは、公開から実悪用までの時間の短さです。JFrog Artifactory は修正公開からわずか数日、PaperCut は緊急パッチが2度も回避されました。「パッチを当てた」ことと「守られている」ことは同義ではなく、パッチのバージョンまで確認する運用が求められます。
もう一つの軸は、攻撃対象がアプリケーションからその供給経路そのものへ移っている点です。Artifactory（成果物リポジトリ）、Virtualizor（更新配信経路とBGP/TLS）、LiteLLM や Langflow（AI基盤）と、狙われているのは開発・運用のインフラ層です。とりわけVirtualizorの事例は、TLS証明書の有効性がネットワーク経路の正当性を保証しないことを示しており、パッケージ署名の検証という基本の重要性を改めて突きつけています。まずは自組織のKEV該当資産の洗い出しから着手することをおすすめします。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。