前回からの変化
前回レポートなし(比較対象なし)
今週の概観
この1週間は、日本の行政機関を舞台にした不正アクセス事案と、ネットワーク境界機器の深刻な脆弱性の悪用が目立った。デジタル庁が運用する政府共通基盤「ガバメントソリューションサービス(GSS)」で、VPN機器の脆弱性を突かれた不正アクセスにより職員らの個人情報が漏えいした可能性が公表された。海外ではシスコ、シトリックス、アクロニスの製品が相次いでCISAの悪用済み脆弱性カタログ(KEV)に追加され、境界防御製品を狙う攻撃の継続が浮き彫りになった。また生成AIを悪用したサイバー攻撃の実態を伝えるアンソロピックの報告書も注目を集めた。
主な侵害・インシデント
デジタル庁 GSSへの不正アクセス(個人情報24.6万件漏えいの可能性)
デジタル庁は9月11日、政府共通のデジタル基盤「ガバメントソリューションサービス(GSS)」に対する不正アクセスがあり、職員や事業者ら約24.6万件の個人情報が漏えいした可能性があると公表した。内訳は氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件など。マイナンバーや金融機関口座情報、年金番号は含まれていないとしている。
経緯として、2026年6月25日に保守運用担当者のアカウントを通じた大量ファイルアクセスを検知して調査を開始し、7月9日に第三者がネットワーク接続機器(VPN、社外との通信を暗号化してつなぐ仕組み)の既知の脆弱性を悪用して侵入していたことが判明。同日中に当該アカウントを停止し、侵害機器と外部との通信を遮断して不正アクセスを止めたという。発覚から公表まで2か月以上かかった点や、既知の脆弱性を放置していた経緯について、なぜ防げなかったのかという指摘も出ている(出典: ITmedia ビジネスオンライン)。対応としては、該当VPN機器の脆弱性パッチ適用状況の総点検と、保守用アカウントへの多要素認証(パスワードに加えて別の手段で本人確認する仕組み)の徹底が急務となる(出典: セキュリティ対策Lab)。
重大脆弱性
シスコ Identity Services Engine 認証バイパス(CVE-2026-76460)
深刻度を示すCVSSスコアが満点の10.0と評価された、シスコの認証・アクセス制御基盤「Identity Services Engine(ISE)」の脆弱性。APIの認証チェックに不備があり、攻撃者が特殊な通信を1回送るだけで管理画面の認証を回避し、root権限(機器を完全に制御できる最高権限)を奪える。シスコは9月16日に修正版を公開し、TACサポート対応の過程で悪用を確認したと説明。CISAも同日、悪用済み脆弱性カタログ(KEV、実際に攻撃で使われたことが確認された脆弱性の一覧)に追加した。対象製品を使う組織は速やかな更新が求められる(出典: Cisco Security Advisory)。
シトリックス NetScaler 認証バイパス(CVE-2026-19490)
NetScaler ADCおよびNetScaler Gatewayに存在する認証バイパスの脆弱性で、CVSSスコアは9.3。VPN接続などのゲートウェイ機能を設定している場合、認証情報なしで遠隔から認証を回避されるおそれがある。8月21日に修正版が公開済みだが、9月に入ってから実際の悪用の試みが観測され、CISAは9月9日にKEVへ追加した。パッチ未適用の環境は早急な更新が必要である(出典: Help Net Security)。
アクロニス Backup 権限不備(CVE-2026-87886)
cPanelやPlesk向けのアクロニスBackupプラグインに、初期設定のファイル権限が過剰に緩いという欠陥(CVSSスコア7.8)。すでに限定的な権限を持つ攻撃者が、この不備を突いてサーバー上でより強い権限を得られる。標的型攻撃での悪用が確認され、CISAは9月16日にKEVへ追加した(出典: Help Net Security)。
Windows月例更新の悪用済みゼロデイ(CVE-2026-85880/CVE-2026-81963)
マイクロソフトは9月8日、973件の脆弱性を修正する月例セキュリティ更新(Patch Tuesday)を公開した。このうち2件は、パッチ公開前から悪用が確認されていたゼロデイ脆弱性(修正が間に合う前から攻撃者に使われていた脆弱性)で、いずれもCVSSスコア7.8。CVE-2026-85880はプロセス間通信の仕組み(ALPC)の欠陥で、低権限のアプリからシステム最高権限への昇格を許す。CVE-2026-81963はWindows Updateの仕組みにおける欠陥で、権限のあるユーザーがさらに高い権限を得るのに使われる。JPCERT/CCも同月、この更新プログラムへの注意喚起を出している(出典: JPCERT/CC)。
国家関与・APT
アンソロピックは9月11日、生成AI「Claude」の悪用実態をまとめた脅威インテリジェンスレポートを公開した。同社の分析によると、データ漏えい事件で知られる犯罪グループ「ShinyHunters」の関連クラスターが、公開されたAndroidアプリ約180万本から認証情報を大量に探索する作業にClaudeを利用していたほか、盗んだAI用APIキーを使ってSaaS事業者に侵入し、その先の顧客企業約200社分のデータを窃取した事例も含まれるという。レポートでは犯罪グループに加え、国家の関与が疑われるハッカー集団によるClaude悪用の事例も報告されており、生成AIが偵察や認証情報収集の効率化に使われる傾向が指摘されている。攻撃主体の特定はアンソロピック側の分析にもとづくものであり、特定国家による攻撃と断定するものではない(出典: ITmedia NEWS)。
国内の動き
デジタル庁は今回の不正アクセスを受け、第三者を交えた調査体制のもとで侵入経路や影響範囲の精査を続けている。政府機関がVPN機器の既知の脆弱性を突かれた形であり、行政システム全般での資産管理とパッチ適用の徹底が課題として指摘されている。JPCERT/CCは9月9日、マイクロソフトの月例セキュリティ更新に関する注意喚起を発行し、悪用済みのゼロデイを含む更新の速やかな適用を呼びかけた(出典: JPCERT/CC)。
継続中の案件の進捗
- シトリックスNetScalerの認証バイパス(CVE-2026-19490)は8月21日の修正公開後も悪用の試みが続いており、9月に入ってKEV登録に至った。パッチ未適用環境は引き続き注意が必要である
- デジタル庁GSSの不正アクセス事案は、侵害の起点となった保守運用アカウントの停止措置は7月9日に完了済みだが、影響範囲の最終確認や再発防止策の公表は今後の課題として残っている
読者への一言: 境界に置くVPNやゲートウェイ製品は攻撃者の主要な侵入経路になり続けている。該当製品を使っている場合はベンダーの修正版適用状況を確認し、保守・管理用アカウントには多要素認証を設定することが基本的な対策になる。
