さて、受信トレイに通知が届いた。CISAの、お馴染みの火曜日、既知の悪用された脆弱性（KEV）カタログへの追加だ。これは単なるリストではない。デジタルサイレン、 sysadmin 全員への赤信号だ。今回は、ConnectWise ScreenConnectと、驚くほどしぶといMicrosoft Windowsの欠陥が標的だ。もしどちらかを動かしているなら、極めて真剣に注意を払うべきだろう。
ConnectWise ScreenConnectの該当するCVEはCVE-2024-1708（CVSSスコアは8.4と juicy だ）で、これはパス・トラバーサル脆弱性だ。デジタルな秘密の通路のようなものだと考えてほしい。攻撃者は特別な認証情報なしに、セキュリティチェックをすり抜けて、リモートコード実行につながる可能性がある。これは、あなたのシステム上でコマンドを実行したり、お宝を盗んだり、あるいは単に重要なインフラをめちゃくちゃにしたりできることを意味する。ConnectWiseは2月に修正プログラムをリリースしたが、KEVへの掲載は、この特定裏口がこじ開けられ、使われていることを示唆している。
次に、Microsoft Windows ShellのCVE-2026-32202だ。CVSSスコアは4.3。4.3と聞くと低いかもしれないが、数字に惑わされてはいけない。これは「保護メカニズムの失敗」を意味する——つまり、警備員が職務中に居眠りし、許可されていない攻撃者がネットワーク上でなりすましを成功させることを許すのだ。さらに驚くべきは？この脆弱性は2026年4月にパッチ適用された…これは、少なくとも、興味深い時間的異常だ。おそらく2024年か2025年のパッチ日を誤記したものだろうが、事実として：これは稼働しており、悪用されている。
このWindowsのバグは、以前の欠陥CVE-2026-21510に対する不完全なパッチに起因するため、特に厄介だ。このようなダンスは初めてではない——性急な修正、執拗な敵、そして他の脆弱性と並んでゼロデイが悪用される。Akamaiは、2025年後半からウクライナとEU諸国を標的とした、悪名高いロシアのハッキンググループAPT28に関連する可能性のあるサプライチェーン攻撃を指摘している。これは見せかけの国家機関の芝居ではない。これは、1つの侵害されたサーバーずつ、地政学的な安定に影響を与えることなのだ。
本当に恐ろしいのは、これらが孤立した事件ではないことだ。ConnectWiseの脆弱性CVE-2024-1708は、しばしば別の重大なバグCVE-2024-1709（認証バイパスのための恐ろしい10.0 CVSSスコア）と連鎖される。長年にわたり、複数の脅威アクターがこれらを組み合わせてきた。今月、Microsoft自身が、Storm-1175として知られる中国拠点の攻撃者によるこれらの攻撃の特定のクラスターを、Medusaランサムウェアを展開していると関連付けた。ランサムウェア。多くの侵入の最終目的はそれだ——単なる妨害ではなく、露骨な恐喝だ。
単なるパッチ以上の意味を持つ理由
CISAのKEVカタログは単なる推奨リストではない。連邦政府の民間執行機関にとっての義務だ。彼らは2026年5月12日までにこれらのパッチを適用する必要がある。しかし、これは政府のネットワークをはるかに超える。ConnectWise ScreenConnectは広く使用されているリモートアクセスツールだ。これが侵害されれば、攻撃者は潜在的に数千もの企業、MSP、そしてその顧客のシステムに直接アクセスできるようになる。サプライチェーンセキュリティへの影響は計り知れない。以前にも見てきた：1つの弱いリンク、1つの侵害されたRMMツール、そしてエコシステム全体が侵害される。
これは、単一の製品の固有のセキュリティの低さの問題ではない。それは、攻撃がどのようにオーケストレーションされるかの根本的なアーキテクチャシフトに関するものだ。攻撃者は単一の脆弱性を見つけるだけではない。攻撃チェーンを構築しているのだ。彼らは複雑なデジタル環境を通過する最も簡単な経路を探しており、多くの場合、その経路は日常業務で頼りにしているツールを通る。KEVリストは、脆弱性が悪用されるかどうかの問題ではなく、より大きく、より洗練された操作における次の足がかりにいつなるかの問題になりつつある。
CISAは2024年2月22日にKEVカタログにCVE-2024-1709を追加した。連邦政府の民間執行機関（FCEB）は、ネットワークを保護するために2026年5月12日までに必要な修正を適用する必要がある。
連邦機関にとっての迫り来る2026年の期限は、パッチがリリースされても、その適用が常に即時的または普遍的であるとは限らないという厳然たるリマインダーだ。そして現在の脅威状況では、数日間の遅延でさえ壊滅的になりうる。ましてや数ヶ月や数年となればなおさらだ。ここで得られるアーキテクチャ上の教訓は明白だ：パッチを当てて忘れるわけにはいかない。継続的な監視、脅威ハンティング、そしてこれらの個々の欠陥が危険な全体像にどのように縫い合わされるかを理解するためのプロアクティブなアプローチが必要だ。
🧬 関連インサイト
- もっと読む： ハッカー、フィルターをすり抜けるためにコードワードを絵文字に置き換え
- もっと読む： ShareFileバックドア、Androidルートキット、FBIの警告：今週のThreatsDay Bulletinを紐解く
よくある質問
KEVカタログとは具体的に何ですか？ KEVカタログは、悪意のあるアクターによって活発に悪用されていることが確認された脆弱性をリストアップするものです。その目的は、これらの既知の脅威に対するパッチ適用を優先することです。
これらの脆弱性の影響を受けますか？ ConnectWise ScreenConnectまたはMicrosoft Windowsを使用しており、最新のパッチを適用していない場合、リスクがあります。連邦機関には期限がありますが、すべての組織はこれらの修正を直ちに優先すべきです。
これはゼロデイ脆弱性ですか？ CVE-2024-1708自体はゼロデイではないかもしれませんが、KEVリストに掲載されているということは、悪用されていることを意味します。CVE-2026-32202は、以前の脆弱性に対する不完全なパッチに続く悪用に関連付けられており、複雑な攻撃チェーンを示唆しています。「ゼロデイ」という言葉は、ベンダーが知らない脆弱性を指すことがよくありますが、KEVリストは、実際に悪用されていることが知られている脆弱性を示しています。
