CISA、Cisco・Citrix・Fortinetの脆弱性を悪用確認リストに追加　米連邦機関へパッチ適用を命令

要点

• 米CISAが、Cisco、Citrix、Fortinetの各製品で実際に悪用が確認された3件の脆弱性をカタログに追加した。

• 米国の連邦文民行政府（FCEB）機関に対し、2026年9月12日までの修正パッチ適用を義務付けている。

• 対象には、最高深刻度「CVSS 10.0」と評価されたCisco製品の認証回避欠陥が含まれる。

• Fortinet製品の脆弱性では、多機能マルウェア「PivotC2」への感染被害が170台以上で確認されている。

• Citrix製品の脆弱性に対しても、ハニーポット環境で多数の攻撃試行が観測されている。

• 米国土安全保障省サイバーセキュリティ・社会基盤安全保障庁（CISA）は2026年9月9日、Cisco、Citrix、Fortinetの各ネットワーク製品に存在する3件の脆弱性を「悪用が確認された脆弱性（KEV）」カタログに追加した。これに伴い、米連邦文民行政府（FCEB）の対象機関に対し、2026年9月12日までに修正パッチを適用するよう義務付けている。いずれの欠陥もすでに実際のサイバー攻撃において悪用が確認されているという。

Cisco：最大深刻度「CVSS 10.0」の認証回避脆弱性

今回カタログに追加された脆弱性のうち、最も深刻度が高いのがCiscoのファイアウォール管理ソフトウェアに関する欠陥（CVE-2026-20079）だ。共通脆弱性評価システム（CVSS：脆弱性の深刻度を数値化する指標）のスコアは最高値となる10.0と評価されている。

この脆弱性は「Cisco Secure Firewall Management Center（FMC）」のWebインターフェースに存在し、認証を受けていないリモートの攻撃者が認証を回避してスクリプトファイルを実行し、OSのroot権限（最高管理者権限）を取得できる恐れがある。Ciscoはセキュリティアドバイザリを更新し、2026年8月にこの脆弱性を標的とした活発な悪用試行を認識したと発表したが、詳細な情報は開示していない。

Cisco製機器をめぐっては、近年攻撃者の標的となる傾向が続いている。サイバーセキュリティ企業Sygniaが先月公開したレポートによると、中国に関連するサイバースパイ集団「Fire Ant」が「Cisco IOS XR」ルータへの不正アクセスを行い、カスタムマルウェアを導入して高価値ネットワークへの侵入や情報収集を行っていた事例が確認されている。同社は「機器が単なる中継装置からデータ収集プラットフォームへと変貌し、信頼されたネットワークトラフィックを監視する拠点として悪用された」と報告している。

Citrix：NetScaler製品における認証回避の欠陥

2件目は、Citrixのネットワーク機器「NetScaler ADC」および「NetScaler Gateway」に存在する認証回避の脆弱性（CVE-2026-19490、CVSSスコア 9.3）である。

この欠陥は、対象機器がAAA（認証・認可・課金）仮想サーバー、または各種ゲートウェイ（SSL VPN、ICA Proxy、CVPN、RDP Proxy）として構成されている場合に影響を受ける。セキュリティ企業Previdianのハニーポット（攻撃者の活動を観察するためのおとりシステム）環境では、2026年9月3日以降で計56回の悪用試行が観測されたという。特に9月8日の単日だけで36回もの試行が記録されており、攻撃者による探索が活発化している状況が示されている。

Fortinet：設定窃取や遠隔操作を行う「PivotC2」の感染事例

3件目は、Fortinetの「FortiOS」「FortiSwitchManager」「FortiSASE」に存在するヒープベースのバッファオーバーフロー（メモリ領域の許容量を超えてデータが書き込まれる不具合）の脆弱性（CVE-2025-25249、CVSSスコア 7.3）だ。細工されたリクエストを送信することで、未認証のリモート攻撃者が任意のコードやコマンドを実行できる状態になる。

セキュリティ企業SOCRadarの報告によると、この欠陥を悪用して「PivotC2」と呼ばれるNode.js製のリモートアクセストロイの木馬（RAT：外部から不正に遠隔操作を行うマルウェア）を送り込む攻撃キャンペーンが展開されている。このキャンペーンでは3,000件以上のIPアドレスが標的となり、すでに178台のデバイスでPivotC2への感染が確認された。被害の大半は米国内に集中しており、金銭的利益を目的としたロシア語圏の脅威アクターによる犯行と評価されている。活発な悪用を示す最初の痕跡は2026年7月に遡るという。

観測された攻撃手順では、まずエクスプロイトバイナリを含むシェルスクリプトを用いて脆弱なFortiGate機器にリバースシェル（標的機器側から攻撃者側へ通信を確立する仕組み）を生成し、Node.js経由で1行のJavaScriptコマンドを実行する。その後、ダウンロードされた暗号化ペイロードが復号・実行されてPivotC2が展開される仕組みとなっている。

展開されたPivotC2は、外部のC2サーバー（遠隔操作用の指令サーバー）に対して持続的な暗号化通信（TLS）を確立する。その機能は多岐にわたり、対話型シェル、ファイル転送、SOCKS5やHTTPプロキシによるトンネリング、ポートフォワーディング、IPアドレス範囲（CIDR）のスキャンに加え、FortiGate機器固有の設定情報の収集や認証情報の復号機能まで備えている。さらに、初回感染時に事前に定義されたコマンド群を自動で実行する「自動モード（auto-mode）」フラグも搭載されているという。

境界機器を狙う脅威と推奨される対応

SOCRadarは、十分な監視体制やログ記録機能が備わっていない外部公開された境界機器（ネットワーク境界に設置されたアプライアンス製品）を狙い、攻撃者が侵入の足がかりを得るために継続的なスキャンを行っている実態が改めて浮き彫りになったと指摘している。同社はFortinet製品を運用する組織に対し、インターネットからの直接アクセスの制限、侵害指標（IoC）の確認、認証情報の更新、最新パッチの適用を推奨している。