米CISA、macOSやSharePointなど4件の深刻な脆弱性を悪用確認カタログに追加　すでに実攻撃での悪用を確認

要点

• 米CISAが、実際の攻撃で悪用が確認された脆弱性カタログ（KEV）にmacOS、SharePoint、VMware vCenter、Microsoft IKEの計4件の脆弱性を追加した。

• 追加された脆弱性はいずれもCVSSスコア9.1以上の極めて高い危険度を持ち、各ベンダーから修正パッチが提供済みであるものの実攻撃での悪用が相次いでいる。

• VMware vCenterの脆弱性は中国関連が疑われる攻撃者により悪用され、47カ国361件のIPアドレスが被害に遭い、ランサムウェアの展開も確認された。

• Microsoft IKEの脆弱性は、DeepSeekを用いたAI自律型ハッキングと手動攻撃を組み合わせる中国語話者の脅威アクターによって悪用されている。

• 米国の連邦文民行政府機関に対し、2026年8月21日までのシステム更新と運用指令ガイドラインの遵守が義務付けられた。

• 米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月18日、サイバー攻撃者によって実際に悪用されている脆弱性をまとめた「悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）」カタログに、新たに4件の重大な脆弱性を追加したことを発表した。対象となっているのはAppleのmacOS、MicrosoftのSharePointおよびInternet Key Exchange（IKE）サービス拡張、BroadcomのVMware vCenterである。各ベンダーはすでに修正プログラムを公開しているものの、実際の攻撃環境において悪用が確認されているという。

追加された4件の重大な脆弱性の概要

今回KEVカタログに追加された脆弱性は、いずれも共通脆弱性評価システム（CVSS）の深刻度スコアが9.1以上と極めて高い評価を受けている。ネットワーク経由で遠隔から認証を回避されたり、任意のコードを実行されたりする危険性を抱えているのが特徴だ。

追加された4件の詳細は以下の通りである。

• Apple macOSの認証不備（CVE-2026-65400 / CVSSスコア 9.8）
  適切な認証が行われない不具合により、ネットワーク上の攻撃者が有効な認証情報を持たずに「画面共有（Screen Sharing）」機能へ不正に認証できてしまう脆弱性。
• Microsoft SharePointの認証バイパス（CVE-2026-55040 / CVSSスコア 9.1）
  認証機能の弱さに起因し、権限のない攻撃者がネットワーク経由でセキュリティ保護機能を迂回できる脆弱性。
• Broadcom VMware vCenterのパストラバーサル（CVE-2026-59310 / CVSSスコア 9.8）
  ファイルパスの検証不備（パストラバーサル：不正なパス指定で本来アクセスできない領域を操作する手法）により、vCenterへのネットワークアクセス権を持つ脅威アクターが任意のコードを実行できる脆弱性。
• Microsoft IKE Service Extensionsのダブルフリー（CVE-2026-33824 / CVSSスコア 9.8）
  メモリ管理の不具合（ダブルフリー：解放済みのメモリ領域を誤って再解放するエラー）により、未認証の攻撃者がネットワーク経由で任意のコードを実行できる脆弱性。

仮想通貨マイナーの混入やPoC公開後の即時悪用

公開された複数のセキュリティレポートによると、これらの脆弱性はすでに実環境で悪用されており、それぞれ異なる脅威アクターによって攻撃が行われている。

Apple macOSの脆弱性（CVE-2026-65400）では、侵入したシステム上で暗号資産「Monero（モネロ）」を不正に採掘させるマイニングプログラム（クリプトマイナー）を送り込む手口が悪用されている。

また、Microsoft SharePointの脆弱性（CVE-2026-55040）に関しては、脆弱性が実在することを実証する概念実証（PoC）コードが公開された直後から、詳細不明の攻撃者による悪用活動が観測されるようになったという。

中国関連グループによる標的型攻撃とランサムウェア展開

仮想化管理プラットフォームであるVMware vCenterの脆弱性（CVE-2026-59310）については、さらに組織的な攻撃活動が確認されている。この欠陥は、中国との関連が疑われる高度持続的脅威（APT：特定の標的に対して長期間潜伏して攻撃を行うグループ）アクターによって悪用されていると評価されている。

攻撃者は侵入したインスタンスにバックドアを仕掛けるとともに、遠隔から接続を維持するための「reverse_ssh」バイナリを配置し、侵害した環境への持続的なアクセス権を確保していた。少なくとも1件の事例では、標的型ランサムウェア「Babuk」から派生したランサムウェアの展開にまで至ったことが報告されている。

この攻撃活動による被害は世界47カ国にわたり、合計361件のユニークな被害者IPアドレスで侵害が確認された。感染の集中が確認された主な国と件数は以下の通りである。

• ドイツ：55件
• 米国：41件
• トルコ：38件
• イラン：26件
• フランス：25件

DeepSeekを活用したAIハッキングと手動攻撃の併用

MicrosoftのVPN関連技術であるIKEサービス拡張の脆弱性（CVE-2026-33824）においても、特徴的な攻撃動向が報告されている。

米サイバーセキュリティ企業Palo Alto Networksの脅威インテリジェンスチーム「Unit 42」の観測によると、別の中国語話者の脅威アクターがこの脆弱性を悪用していることが判明した。この攻撃者は、AIモデル「DeepSeek」を活用した自律型のハッキングキャンペーンを展開しつつ、同時にMicrosoft IKEの欠陥を含む既知の脆弱性を利用した手動の侵入作戦を並行して実行していたという。

米連邦機関への対応義務付け

CISAは、米国の連邦文民行政府（FCEB）機関に対し、運用指令「BOD 26-04」のパッチ適用ガイドラインに基づき、2026年8月21日までにこれら脆弱性を抱えるシステムを最新バージョンへ更新することを義務付けた。各ベンダーからはすでに修正プログラムが提供されており、速やかなアップデートの適用が求められている。