CitrixやFortinet製品のゼロデイ脆弱性が相次ぎ発覚、主要サイバー犯罪グループの容疑者逮捕も

要点

• CitrixがNetScaler ADCおよびGatewayにおいて標的型ゼロデイ攻撃で悪用されている高深刻度の脆弱性（CVE-2026-88779）に対するセキュリティ更新を公開した。

• 米CISAが、認証なしで任意ファイルの書き込みが可能なFortinet FortiMailの深刻なゼロデイ脆弱性（CVE-2026-104286）の悪用を警告した。

• 脅威グループ「ShinyHunters」に関与したとされる容疑者2名がオランダおよびヨルダンで逮捕された。

• 国際的な法執行作戦により、ランサムウェア組織「KillSec」のリーダーとみられる16歳の少年を含む複数人が拘束され、110TB以上のデータが押収された。

• The Hacker Newsが2026年10月5日に公開したセキュリティ動向のまとめによると、企業向けネットワーク製品におけるゼロデイ脆弱性の悪用が複数報告されるとともに、国際的な法執行機関によるサイバー犯罪組織の摘発が進展していることが明らかになった。CitrixやFortinetの製品で実際に悪用が確認された脆弱性への迅速な対応が求められる一方、著名な恐喝グループやランサムウェア組織の主要メンバーが相次いで拘束されている。

Citrix NetScalerのゼロデイ脆弱性に修正プログラムが提供

Citrixは、同社のネットワーク製品である「NetScaler ADC」および「NetScaler Gateway」に存在する高深刻度の脆弱性（CVE-2026-88779）を修正するセキュリティ更新プログラムをリリースした。この脆弱性の共通脆弱性評価システム（CVSS）スコアは10点満点中8.7と評価されている。

Citrixの説明によると、CVE-2026-88779はメモリオーバーフローの欠陥であり、特定の展開条件下においてサービス妨害（DoS：過剰な負荷や不正処理によりサービスを停止させる攻撃）を引き起こす可能性があるという。影響を受けるのは、該当するサポート対象バージョンを実行しているユーザー管理下の環境で、必要な事前条件を満たしている場合となる。具体的には、NetScaler ADCまたはNetScaler Gatewayが、認証連携規格であるSAMLのサービスプロバイダー（SP）またはアイデンティティプロバイダー（IdP）として構成されている場合に悪用が可能になるとされている。同社はこの欠陥がすでに標的型ゼロデイ攻撃の一環として悪用されていることを認めている。

Fortinet FortiMailに任意ファイル書き込みが可能な重大な欠陥

米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、Fortinetの電子メールセキュリティ製品「FortiMail」に存在する重大な脆弱性が実際の攻撃で悪用されているとして注意喚起を行った。

この脆弱性は「CVE-2026-104286」として管理されており、CVSSスコアは9.8と極めて高い危険度を示している。Fortinetの発表によれば、認証を受けていない外部の攻撃者が細工したHTTPまたはHTTPSリクエストを送信することにより、下位システム上に任意のファイルを書き込める状態になる恐れがあるという。認証なしで遠隔からファイル書き込みが行われるリスクがあるため、深刻な脅威として扱われている。

恐喝グループ「ShinyHunters」のメンバー2名が拘束

法執行機関は、金銭の窃取や情報漏洩を伴うデジタル恐喝を行ってきた脅威グループ「ShinyHunters」に関連する容疑者2名を逮捕した。

拘束されたうちの1人はオランダ・アムステルダムに住む24歳の男性で、Pepijn van der Stap氏と目されている。もう1人はSaif al-Din Khader氏で、先週ヨルダン当局によって身柄を確保されたと伝えられている。ShinyHuntersは近年、ランサムウェア組織「Cl0p」が運営するダークネットサイトの乗っ取りや、米連邦捜査局（FBI）の採用情報サイト「apply.fbijobs.gov」への不正アクセス事件に関与したことで広く知られていた。

ランサムウェア組織「KillSec」のリーダーとされる16歳の少年を逮捕

スペイン警察は、ランサムウェアグループ「KillSec」（別名：Kill Security Ransomware Group）のリーダーと目される16歳の少年を拘束した。

欧州刑事警察機構（Europol）が発表した「Operation KillSwitch」と呼ばれる国際共同捜査では、ギリシャ、ルーマニア、スペイン、英国の4カ国で合計3名の容疑者が暫定逮捕され、8件の家宅捜索が実施された。逮捕されたグループ関係者の1人であるFouad Eltibrizi氏は英国で身柄を拘束され、現在は米国への身柄引き渡しを待っている状況だという。

当局は2026年9月30日にKillSecのデータ漏洩サイト（リークサイト）を差し押さえ、110テラバイトを下回らない規模のデータを確保することに成功した。2024年の出現以来、同グループは約1,000件の攻撃を実行し、そのうち少なくとも半数が成功に至ったと推定されている。

Europolの発表によると、グループはソフトウェアの脆弱性やクラウドストレージを中心としたアクセス管理の甘い接続ポイントを悪用して組織の内部システムに侵入していた。侵入後は機密データを自らの管理下にあるインフラへ複製し、ダークウェブ上のリークサイトで被害組織を名指しした上で、身代金が支払われなければデータを公開すると脅迫する手口を用いていた。

脅威インテリジェンス企業Group-IBの調査では、同グループによって公開された被害組織274件のうち、大半が米国、インド、ブラジルの組織であった。さらにGroup-IBは、同グループがデータを脅迫に使うだけでなく、単一企業のデータセットを5,000ドル、グローバル保険会社から奪ったと主張するデータには50万ドルの価格をつけて直接販売していた事実を指摘しており、ランサムウェア運用者であると同時にデータブローカーとしても活動していた実態を明らかにしている。