前回からの変化
前回(2026-09-18)との比較。
変わったこと(変化・新規)
- F5のBIG-IP APMにOAuthサーバー機能を狙う未修正の脆弱性(CVE-2026-94127)が見つかり、悪用が確認された。前回はシスコ・シトリックス・アクロニスの脆弱性が話題だったが、今回はF5製品が新たに加わった
- チェック・ポイントのSecurity GatewayとSecurity Managementで2件の脆弱性(CVE-2026-85102、CVE-2026-93616)の悪用が新たに発覚し、CISAのKEVに追加された
- 警察庁と国家サイバー統括室が米豪独と共同で、北朝鮮のハッカー集団「WaterPlum」の実態を公表した。前回はアンソロピックによるAI悪用分析だったが、今回は当局による直接のアトリビューション公表という形で国家関与の話題が続いた
前回と同じこと(継続)
- シトリックスNetScalerの認証バイパス(CVE-2026-19490)は前回に続き悪用が観測されており、パッチ未適用環境への注意喚起も継続している
- デジタル庁GSSの不正アクセス事案は、前回公表内容から大きな進展がないまま調査が続いているとみられる
要因の連続性
- 継続要因: 境界防御機器(VPN・ゲートウェイ・ロードバランサー)の脆弱性を突く攻撃が、前回に続き今回も脆弱性動向の中心的な背景要因になっている
- 新規要因: F5・チェック・ポイントという新たなベンダー製品が悪用の対象に加わったこと、当局による北朝鮮グループの公式アトリビューション公表が新たな要因として加わった
- 解消した要因: なし(前回挙げたシスコ・シトリックス・アクロニスの脆弱性は、今回新たな進捗情報が確認できていないため「解消」ではなく「情報未更新」として扱う)
今週の概観
この1週間は、境界防御製品を狙う脆弱性の悪用が相次いだ週だった。F5のBIG-IP APMにOAuth機能を突く未修正の脆弱性が見つかり、パッチ公開と同時に悪用が確認された。チェック・ポイントのSecurity GatewayとSecurity Managementでも2件の脆弱性の悪用が発覚し、いずれもCISAの悪用済み脆弱性カタログ(KEV)に追加された。国内では警察庁と国家サイバー統括室が米豪独と共同で、北朝鮮を背景とするハッカー集団「WaterPlum」の実態を公表した。前回報告したシトリックスNetScalerとデジタル庁GSSの事案は、いずれも大きな進展のないまま継続している。
主な侵害・インシデント
この1週間、国内外を問わず大規模な個人情報漏えいやランサムウェア被害の新規公表は確認されなかった。代わりに、境界防御機器(VPN・ゲートウェイ・ロードバランサー)の脆弱性が相次いで悪用される事態が続いた(詳細は次節)。前回報告したデジタル庁GSSの不正アクセス事案は、当局からの新たな続報が確認できておらず、調査が続いているとみられる(「継続中の案件の進捗」参照)。
重大脆弱性
F5 BIG-IP APM OAuthサーバーのヒープバッファオーバーフロー(CVE-2026-94127)
F5は9月22日、負荷分散・アクセス制御製品「BIG-IP」のアクセスポリシー管理機能「APM(Access Policy Manager)」について、CVSSスコア9.8(バージョン3.1)の脆弱性を公表した。APMをOAuth認可サーバーとして構成している場合、OAuthのUserInfoエンドポイントの処理でヒープ領域(プログラムが動的に確保するメモリ領域)のバッファ長チェックが欠けており、認証なしのリクエストだけでバッファオーバーフローを起こし、機器上で任意のコードを実行できる。F5は公表と同時に、既に悪用が発生していると説明した。対象はBIG-IP 21.1.0、17.5.0〜17.5.1、17.1.0〜17.1.3の各バージョンで、エンジニアリングホットフィックスが提供されている。CISAは同日、悪用済み脆弱性カタログ(KEV、実際に攻撃で使われたことが確認された脆弱性の一覧)に追加し、米連邦機関に9月25日までの対処を求めた。APMをOAuthサーバーとして使う組織はホットフィックス適用か、暫定策として提供されているiRule(トラフィック制御ルール)の適用が急務である(出典: The Hacker News)。
チェック・ポイント Security Gateway/Security Managementの2件の脆弱性(CVE-2026-85102、CVE-2026-93616)
チェック・ポイントの「Security Gateway」「Spark Firewall」(ネットワーク境界に置くファイアウォール・VPN機器)に、VPN接続時の証明書検証が不十分なためリモートから未認証でコードを実行できる脆弱性(CVE-2026-85102、CVSSスコア9.8)が見つかった。パッチは9月9日に公開済みだったが、9月12日ごろから匿名化インフラを経由した大規模な悪用が観測されている。あわせて、管理サーバー「Security Management」のWeb管理機能にパス・トラバーサル(本来アクセスできないディレクトリへ不正に到達する手口)の脆弱性(CVE-2026-93616、CVSSスコア9.8)も見つかり、こちらは7月23日ごろから限定的な標的型攻撃での悪用が確認されていたという。CISAは9月22日、両CVEをKEVに追加した。両製品を使う組織は、未適用であれば直ちにパッチを適用する必要がある(出典: Check Point Blog)。
Arista VeloCloud Orchestratorの脆弱性(CVE-2026-93952)
CISAは9月22日、アリスタ・ネットワークスが提供するSD-WAN(拠点間ネットワークをソフトウェアで制御する技術)管理製品「VeloCloud Orchestrator」の入力検証不備の脆弱性(CVE-2026-93952)もKEVに追加した。上記のF5・チェック・ポイントの2件とあわせて同日に4件が一括登録されており、境界・拠点間ネットワーク機器を狙う攻撃が同時多発的に観測された週だったといえる。該当製品の利用組織はベンダー情報を確認し、必要なパッチを適用することが求められる(出典: CISA)。
国家関与・APT
警察庁と国家サイバー統括室(政府のサイバーセキュリティ政策を統括する組織。2025年7月にNISCから改組)は9月18日、米国・オーストラリア・ドイツの関係機関と共同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」および北朝鮮のIT労働者の活動実態について公表した。複数国の当局が足並みをそろえて同一グループを名指しした点が特徴で、攻撃主体の特定は各国当局の分析にもとづくものである(出典: 警察庁)。
国内の動き
警察庁・国家サイバー統括室によるWaterPlumに関する公表(上記)が今週の国内の主な動きである。デジタル庁GSSの不正アクセス事案については、9月11日の公表以降、当局からの新たな続報は確認できておらず、影響範囲の最終確認や再発防止策の公表は引き続き今後の課題として残っている(出典: piyolog)。
継続中の案件の進捗
- シトリックスNetScalerの認証バイパス(CVE-2026-19490、前回レポートより継続): 8月21日の修正公開後も悪用が続いており、CISAは9月9日にKEVへ追加している。9月に入ってからも攻撃が観測されており、パッチ未適用環境は引き続き注意が必要である(出典: BleepingComputer)
- デジタル庁GSSの不正アクセス事案(前回レポートより継続): 前回(2026-09-18)公表時点から目立った続報がなく、影響範囲の確定や再発防止策の公表は未了のままとなっている
読者への一言: 境界に置くVPN・ゲートウェイ製品は依然として攻撃者の主要な標的になっている。該当製品を使っている場合はベンダーの修正版・ホットフィックスの適用状況を確認し、管理画面など重要な機能には多要素認証(パスワードに加えて別の手段で本人確認する仕組み)を設定することが基本的な対策になる。
