Google Chromeの悪用済みゼロデイ修正やMikroTikルーター乗っ取りなど、主要セキュリティ動向が判明

要点

• GoogleがV8エンジンの型混同の欠陥を突くゼロデイ脆弱性（CVE-2026-85046）を含むChrome向け修正を配信した。

• N-ableの統合管理プラットフォーム「N-central」にCVSS 10.0の重大な脆弱性などが判明し、パッチが提供された。

• MikroTik RouterOSを標的とした「MikroTrick」と呼ばれるゼロデイ悪用攻撃が観測され、ルーター乗っ取りのリスクが浮上している。

• MagentoおよびAdobe Commerceの未パッチ脆弱性「StyleSmuggler」を悪用し、ECサイトへバックドアを設置する攻撃が発生した。

• サイバーセキュリティ専門メディアのThe Hacker Newsは、直近1週間に確認された主要なセキュリティ動向や脅威情報をまとめたレポートを公開した。報告によると、Google Chromeで今年6件目となる悪用済みゼロデイ脆弱性への対処が行われたほか、ルーターやECプラットフォーム、統合管理ツールなどを狙った深刻な攻撃事例が相次いで確認されている。

Google Chromeで悪用済みの型混同脆弱性を修正、今年6件目のゼロデイ対応

Googleは、計12件のセキュリティ脆弱性に対処するGoogle Chromeのアップデートをリリースした。今回の更新には、すでに実際のサイバー攻撃（野生下）で悪用されている高深刻度のゼロデイ脆弱性（修正パッチ提供前に悪用される脆弱性）が含まれている。

対象となった脆弱性は「CVE-2026-85046」（CVSSスコア: 8.8）として追跡されているもので、ChromeのJavaScriptおよびWebAssemblyエンジンである「V8」に存在する型混同（Type Confusion：プログラムがメモリ上のデータ型を誤認して処理する不具合）のバグである。CVE.orgの解説によると、バージョン「152.0.7977.82」より前のGoogle Chromeにおいて、遠隔の攻撃者が細工されたHTMLページを経由し、サンドボックス内で任意のコードを実行できる状態にあったという。

この脆弱性は、セキュリティ研究者のSalvatore Gulizia（別名Serotav）氏が2026年8月4日に発見してGoogleへ報告した。Googleは本脆弱性を突くエクスプロイトが実際に存在することを認めたものの、攻撃の性質や背後にいる攻撃者に関する詳細は公表していない。今回の対応により、Googleが2026年初頭から修正した悪用確認済みのChromeゼロデイ脆弱性は累計6件に達した。

N-ableの「N-central」に最大深刻度の脆弱性、侵害の兆候も報告

統合管理プラットフォームを提供するN-ableは、自社製品「N-central」に存在する重大な脆弱性に対処するためのホットフィックスを公開した。

修正対象には、認証制御を回避してプラットフォームへのフルアクセスを許す恐れのある2件の脆弱性（CVE-2026-86206およびCVE-2026-86207）が含まれる。さらに、認証前の状態からN-centralサーバー上で遠隔コード実行を可能にする最大深刻度（CVSSスコア: 10.0）の脆弱性「CVE-2026-86218」も同時に修正された。N-able側は「現時点でこれらの脆弱性が本番環境で悪用された確認はないが、パッチが未適用のシステムにはリスクが残る」と説明している。

一方で、セキュリティ企業のHuntressは異なる見解を示している。同社は9月4日、パッチが完全に適用されていた顧客のN-central本番環境で侵害が確認されたことを受けて調査を開始した。その結果、攻撃者がCVE-2026-86206またはCVE-2026-86207を悪用した可能性が高い兆候を観測したとしている。Huntressは、機器上で直接確認できる過去のログが限られているため、侵入に使用された特定の手法を断定することや、他の脆弱性が使われた可能性を完全に排除することはできないと述べている。

MikroTik RouterOSを狙う攻撃チェーン「MikroTrick」

ポーランドのコンピュータ緊急対応チームであるCERT Polskaは、MikroTik社のルーターOS「RouterOS」に存在する2つのゼロデイ脆弱性が、攻撃者によって活発に悪用されているとして警告を発した。

「MikroTrick」と名付けられたこのエクスプロイトチェーンは、SSHプロトコルによるリモートアクセスを有効にしている機器において、未認証の攻撃者がデバイスの完全な制御権を奪取できる危険性を持つ。調査では計6件の脆弱性（CVE-2026-67276、CVE-2026-67277、CVE-2026-67278、CVE-2026-67279、CVE-2026-67281、CVE-2026-86060）が特定されている。

このうちMikroTrickチェーンには「CVE-2026-67276」と「CVE-2026-86060」（いずれもCVSSスコア: 9.2）が関与しており、攻撃者に認証の回避と権限昇格を可能にさせるという。これらの問題は、RouterOSのバージョン「6.49.21（Long-term）」「7.23.4（Long-term）」「7.24.2（Stable）」で修正された。CERT Polskaによると、「ops」というアカウントの作成を伴う侵入成功事例はIPアドレス「82.192.72.4」から発生しており、少なくとも9月2日から観測されている。また、IPアドレス「103.102.31.18」からも一連のチェーンを悪用しようとする試みが確認されたと説明している。

MagentoとAdobe Commerceを標的とする「StyleSmuggler」攻撃とメール偽装の手口

オンラインストア向けプラットフォームの「Magento」および「Adobe Commerce」において、未修正のゼロデイ脆弱性を突いてバックドア（不正アクセスのための侵入口）を設置する攻撃が発生していることが明らかになった。

セキュリティ企業のSansecによると、「StyleSmuggler」と命名されたこの手法は、未認証の攻撃者にリモートコード実行（遠隔から不正なプログラムを実行すること）を許可するもので、2026年9月4日から攻撃が始まった。Sansecは「StyleSmugglerはMagentoのテンプレートシステムに不正なコードを注入する。スタイル（styles）プロパティを利用することで、既存のセキュリティ保護策を回避している」と説明している。

このほか同週には、メールの画像非表示設定をすり抜けるためにテキスト文字だけでスキャン可能なQRコードを描画する手口や、信頼されたソフトウェアソースから認証情報を盗み出すコードが配信された事例、ネットワーク管理プロトコルを通じてログイン前に内部情報が漏洩する問題など、多様な手法を用いた脅威が報告されている。