Kiteworks、9時間の予防的システム停止中に重大な脆弱性を発見・修正

要点

• 米Kiteworksは、差し迫ったサイバー攻撃の脅威情報を受けて実施した9時間の予防的システム停止中に、未知の重大な脆弱性を発見し修正した。

• 脆弱性は全顧客基盤の1％未満でのみ有効化されていた特定機能に限定され、他製品への影響や実際の悪用は確認されていない。

• 停止期間中に連邦情報機関と連携してパッチを適用し、全環境への追加保護層も導入された。

• 2026年9月27日に停止勧告は解除され、顧客に稼働再開が案内されている。

• ファイル共有プラットフォームを提供する米Kiteworks（旧Accellion）は2026年9月、差し迫ったサイバー攻撃の兆候を受けて実施した9時間の予防的システム停止中に、重大な脆弱性を特定して修正したと発表した。連邦情報機関と連携して週末に行われたこの対応により修正が完了し、全環境に新たな防御層が追加されたという。

脅威情報の受領と9時間の予防的停止

Kiteworksが今回の異例の対応に踏み切った背景には、外部機関からのサイバー攻撃に関する情報提供があった。同社は差し迫った攻撃の可能性を示すインテリジェンス（脅威情報）を受領したことを受け、顧客に対して本番システムを9時間にわたりオフラインにするよう要請。同時に、自社ホスト環境についても停止措置を講じた。

この措置はシステム侵害への事後対応ではなく、被害を未然に防ぐための予防的措置であることが強調されている。

停止期間中に発見された重大な脆弱性

システムを停止させた週末の間、Kiteworksは米連邦情報機関と連携してシステムの点検を進めた。その調査活動の過程で、これまで知られていなかった重大な脆弱性が新たに発見された。

同社の声明によると、特定された脆弱性は全顧客基盤の1％未満でしか有効化されていない特定機能に限定されていた。また、他のKiteworks製品への影響はなく、現時点で悪意ある第三者によって実際に悪用された証拠も確認されていないという。

修正パッチの適用と全環境への防御強化

欠陥の特定を受け、Kiteworksはシステム停止の時間枠内に修正プログラムの開発と展開を完了させた。さらに潜在的なリスクを包括的に排除するため、該当機能の修正にとどまらず、すべての環境に対して追加の保護レイヤー（防御層）を適用したと報告している。

この対応が完了し、監視下で異常が観測されなかったことから、2026年9月27日をもって停止要請は正式に解除された。顧客にはシステムの稼働再開が案内されている。

利便性より確実性を優先——CISOが語る決断の背景

顧客に対して本番システムの停止を求める要請は、ベンダーにとって重い判断となる。Kiteworksの最高情報セキュリティ責任者（CISO）であるフランク・バロニス（Frank Balonis）氏は、今回の決定について次のように述べている。

「顧客に本番システムをオフラインにするよう求めるのは、決して軽々しい決断ではありません。しかし確実性と利便性の二者択一を迫られた際、顧客データで賭けをするつもりはありませんでした。その判断があったからこそ今回の対応が可能になりました。顧客データを守るためなら、明日でも同じ判断を下すでしょう」

脆弱性の詳細と公開情報の現状

修正された脆弱性に関して、Kiteworks側は技術的な詳細や具体的な悪用手口については公表していない。また、脆弱性識別番号であるCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）番号も現時点では割り当てられていない。

The Hacker Newsは、同社に対して公式セキュリティアドバイザリの公開予定やCVE IDの割り当て計画について問い合わせを行っているとしている。