米CISA、悪用が確認されたArtifactoryやScreenConnect、RouterOSなどの脆弱性5件をカタログに追加

要点

• 米CISAが、JFrog Artifactory、ConnectWise ScreenConnect、MikroTik RouterOSに存在する計5件の脆弱性をKEVカタログに追加した。
• JFrog Artifactoryの脆弱性は、複数の不具合を組み合わせた管理者権限の奪取やバックドア設置に悪用されている。
• ConnectWise ScreenConnectでは、リモートセッションを介して不正なスクリプトを配布・実行する攻撃が確認された。
• MikroTik RouterOSでは、未認証でデバイスを乗っ取る「MikroTrick」と呼ばれる攻撃チェーンが報告されている。
• 米国の連邦文民行政機関に対し、各脆弱性へのパッチ適用期限がそれぞれ設定された。

---

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月、実際の攻撃で悪用が確認されたとして、JFrog Artifactory、ConnectWise ScreenConnect、MikroTik RouterOSの脆弱性計5件を「既知の悪用された脆弱性（KEV）」カタログに追加した。KEVカタログは、CISAが実際にサイバー攻撃で悪用されていると確認した脆弱性を収集・公開しているリストである。

今回の追加対象となったソフトウェアは、開発基盤、リモートサポートツール、ネットワーク機器と多岐にわたり、認証バイパスや権限昇格を通じてシステムの完全な制御を奪われるリスクが指摘されている。

KEVカタログに追加された5件の脆弱性

新たに対象となった脆弱性と、脆弱性の深刻度を評価する共通指標であるCVSSスコアの内訳は以下の通りである。

• CVE-2026-42016（CVSSスコア 8.1）：JFrog Artifactoryにおける不適切な認可の脆弱性。トークンの適用範囲（スコープ）ではなく署名や発行者の検証のみが行われる設計上の不備に起因し、権限昇格を許す恐れがある。
• CVE-2026-42018（CVSSスコア 7.5）：JFrog Artifactoryにおける不適切な認証の脆弱性。匿名アクセスを無効化している環境であっても、未認証の呼び出しに対して内部の匿名ユーザートークンを返却してしまい、機微なリソースが漏洩する可能性がある。
• CVE-2026-84869（CVSSスコア 9.9）：ConnectWise ScreenConnectにおける不適切な特権管理および認可の欠如。アクティブなリモートセッション中に、事前の認可や接続先ホスト側の確認なしでファイルの転送・実行が行われる危険性がある。
• CVE-2026-67277（CVSSスコア 8.8）：MikroTik RouterOSの「btest」サービスにおける重要機能の認証欠如。カーネルメモリの漏洩やサービス妨害（DoS）状態を引き起こす恐れがある。
• CVE-2026-86060（CVSSスコア 9.2）：MikroTik RouterOSにおけるコマンド引数区切り文字の不適切な処理。信頼されたRouterOSのポリシーマスクを改ざんされ、権限昇格に至る可能性がある。

JFrog Artifactory：複数の欠陥を連鎖させた不正アクセスの手口

JFrog Artifactoryの脆弱性を巡っては、攻撃者が2件の欠陥に加え、今月上旬にKEVへ追加されていた別の重要脆弱性「CVE-2026-82329」（CVSSスコア 9.8）を組み合わせた攻撃を展開していたことが判明している。2026年8月15日から9月8日にかけて、セルフホスト型（自社運用型）のサーバーを狙って管理者権限を奪い、バックドアを仕掛ける動きが観測されていたという。

米Google傘下のセキュリティ企業Wizは、攻撃者がこれらの脆弱性を連鎖（チェーン）させることで認証を回避し、権限を昇格させて対象インスタンスの完全な管理者権限を取得していると報告している。侵入後の活動としては、永続的な管理者アカウントの不正作成、コード実行を可能にする悪意あるGroovyプラグインの導入、さらにはアクセスを維持するためのRust言語製バックドアの設置などが確認されたとしている。

ConnectWise ScreenConnect：クライアント側を狙ったスクリプト配布

ConnectWise ScreenConnectの脆弱性「CVE-2026-84869」に関しては、セキュリティ企業Huntressが記録した3件のインシデントにおいて悪用が確認されている。同社によると、攻撃者はScreenConnectを悪用し、新たに接続されたシステムに対して悪意あるVBScript（Visual Basic Script）ファイルを配布していたという。

開発元のConnectWiseはこの問題について、サーバー本体への影響はなく、ScreenConnectクライアント側において「特定の条件下で、アクティブなリモートセッションを介して認可やホストの確認なしにファイルが転送・実行される恐れがある状態」と説明している。Huntressは、昇格された権限での実行を含むリスクがあるとし、利用組織に対してバージョン26.6.5への早急なアップデートを呼びかけている。

MikroTik RouterOS：「MikroTrick」による機器乗っ取り

MikroTik RouterOSに関連する2件の脆弱性（CVE-2026-67277およびCVE-2026-86060）の追加は、ポーランドのサイバーセキュリティ機関CERT Polskaによる調査報告を受けたものである。

CERT Polskaは、身元不明の脅威アクターがこれら2つの脆弱性を連鎖させ、事前の認証なしに脆弱なルーター機器の制御権を奪取している状況を確認したと発表している。同機関はこの一連のエクスプロイトチェーン（脆弱性を組み合わせた攻撃手法）を「MikroTrick」と命名している。

連邦行政機関に対する修正対応の期限

CISAは、米国の連邦文民行政機関（FCEB）に対してこれらの脆弱性への対処を義務付けており、製品ごとに以下の修正期日を定めている。

• MikroTik RouterOSの脆弱性（2件）：2026年9月13日まで
• ConnectWise ScreenConnectの脆弱性（1件）：2026年9月14日まで
• JFrog Artifactoryの脆弱性（2件）：2026年9月25日まで

すでに実際の悪用事例が複数報告されていることから、連邦機関のみならず該当製品を運用する組織全般において迅速な現状確認と対策が求められる状況となっている。