米CISA、悪用が確認された脆弱性カタログにCitrixやLinuxなど6件を追加

要点

• 米CISAが、実際のサイバー攻撃で悪用された証拠を確認したとして、KEVカタログに新たに6件の脆弱性を追加した。

• 対象にはCitrix NetScaler、Linuxカーネル、Microsoft SQL Server、Red Hatのツール群、AjaxProが含まれる。

• Citrixの脆弱性ではWebシェルの設置や日本を含む10地域からの攻撃が確認され、4件の脆弱性は中国の攻撃グループ「UAT-10147」の標的活動に関連している。

• CISAは米連邦文民機関に対策を指示するとともに、AIによる攻撃の自動化やメモリ安全性への対策を促す最新分析レポートを公表した。

• 米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月26日、現実に悪用が確認されたセキュリティ欠陥を登録する「既知の悪用された脆弱性（KEV：Known Exploited Vulnerabilities）」カタログに、新たに6件の脆弱性を追加したと発表した。

• 対象にはCitrix NetScaler ADC／GatewayやLinuxカーネル、Microsoft SQL Serverといった広く使われている製品の欠陥が含まれており、活発な悪用の証拠が確認されたためとしている。CISAは米国の連邦文民機関に対し、最短で同年8月29日までの修正対応を求めている。

新たに追加された6件の脆弱性と概要

今回KEVカタログに追加された脆弱性は、データベース、OSカーネル、ネットワーク機器、Web開発フレームワークなど多岐にわたる。各脆弱性の詳細は以下の通りである。

• CVE-2019-1068（Microsoft SQL Server）：データベースエンジンサービスアカウントの権限で任意のコードを実行される恐れがあるリモートコード実行（外部から不正なプログラムを遠隔実行させる攻撃）の脆弱性。
• CVE-2026-8452（Citrix NetScaler ADCおよびNetScaler Gateway）：メモリバッファの境界制限が不適切なことにより、サービス妨害（DoS）を引き起こされる恐れがある脆弱性。
• CVE-2022-0995（Linux Kernel）：メモリの境界外書き込みが発生する欠陥。ローカルの利用者が特権アクセスを取得したり、システム上でサービス妨害を引き起こしたりする可能性がある。
• CVE-2015-5287（Red Hat Automatic Bug Reporting Tool / ABRT）：予測可能なファイル名に対するシンボリックリンク攻撃を通じて、特定の権限を持つローカルユーザーが特権を取得できる特権昇格の脆弱性。
• CVE-2015-3246（Red Hat libuser）：複数の処理が競合することで意図しない動作が生じるレースコンディション（競合状態）の脆弱性。認証されたローカルユーザーが「/etc/passwd」ファイルを破損させ、サービス妨害や特権昇格を引き起こす恐れがある。
• CVE-2021-23758（Ajax.NET Professional / AjaxPro）：信頼できないデータを復元してしまうデシリアライゼーションの脆弱性。任意の.NETクラスを経由してリモートコード実行が行われる危険性がある。

Citrix製品を狙う攻撃手口と世界各地での観測実態

セキュリティ企業のDefused CyberおよびPrevidian（旧KEVIntel）は、Citrix製品に存在する「CVE-2026-8452」を標的とした活発な攻撃活動について警告を発している。

Previdianが公開した情報によると、攻撃者は脆弱性を突いて侵入した後、「x.php」や「z.php」と名付けられたWebシェル（侵害したサーバーを外部から操作するためのスクリプト）を設置していたという。さらに、「id」や「echo」といったコマンドを実行し、侵入先サーバーの環境や権限状況を探索していたことが確認されている。

また、Previdianのテレメトリデータによると、直近12日間で36件の悪用試行が検知された。攻撃元としてスイス、ドイツ、香港、日本、オランダ、ロシア、シンガポール、トルコ、米国、ベトナムの計10地域から、12個の固有IPアドレスが確認されている。

中国グループ「UAT-10147」の関与と米連邦機関への対応要請

今回追加された脆弱性のうち、Linuxカーネル、Red Hatのツール群、AjaxProに関する4件（CVE-2022-0995、CVE-2015-5287、CVE-2015-3246、CVE-2021-23758）は、セキュリティ機関Cisco Talosによる報告を受けたものだという。

Cisco Talosの調査によると、中国のサイバー犯罪グループ「UAT-10147」が、教育、メディア、テクノロジー、ゲーム業界を狙い、世界中のWindowsおよびLinuxのWebサーバーを標的に攻撃を展開しているとされる。

一方で、Microsoft SQL Serverの脆弱性（CVE-2019-1068）については、実際の攻撃現場でどのように悪用されているかに関する公開情報は現時点ではないとされている。

CISAは、米国の連邦文民機関（FCEB：軍や諜報機関を除く連邦政府機関）に対し、CVE-2019-1068およびCVE-2026-8452については2026年8月29日までに、その他の4件については2026年9月9日までに修正プログラムを適用するよう指示した。

CISAが指摘するソフトウェアの根本原因とAIによる攻撃自動化

CISAはカタログへの追加と合わせ、安全でないソフトウェアが生じる根本原因と、組織が悪用を防ぐための実践的な対策をまとめた新たな脆弱性レビューレポートを公開した。

同レポートにおける2024年と2025年のCVEデータの分析によると、不正なデータ入力を許してしまうインジェクション系の弱点が最も多いカテゴリとなっており、登録数は2024年の7,701件から2025年には21,019件へと大幅に増加した。

またCISAは、インターネット上に露出した資産において長期間放置されている単純で既知のソフトウェア脆弱性を攻撃者が狙い続けている現状を指摘している。さらに、攻撃者が悪用プロセスを自動化するために人工知能（AI）を活用している実態にも言及した。

CISAは「2024年度および2025年度において、CVE全体と比較してKEVカタログでは、メモリ安全性や不適切な入力検証に関する弱点が際立って高い割合で出現している」と説明している。その上で、ソフトウェア提供者に対しては、開発段階でこうした根本的な弱点を解消し、攻撃者の標的となりやすい脆弱性を未然に防ぐ設計が極めて重要であると強調している。