VMwareやWindowsのゼロデイ悪用からmacOSの認証不備まで、相次ぐ重要脆弱性の悪用実態が判明

要点

• 中国関連とみられる攻撃グループがVMware vCenterの深刻な脆弱性（CVE-2026-59310）を悪用し、証拠隠滅目的とみられるランサムウェアを展開した。
• 北朝鮮の「Lazarus」がWindowsのゼロデイ脆弱性（CVE-2026-68820）を突き、防衛・航空宇宙関連企業へ新型バックドアを感染させたと判明した。
• Apple macOSの画面共有機能に存在した脆弱性（CVE-2026-65400）を突かれ、インターネット公開端末にMoneroマイナーが設置される被害が報告された。
• オープンソースのGeoServerにおいて、リモートコード実行につながるSQLインジェクション脆弱性が公表直後から攻撃に晒され、修正版がリリースされた。

リード文

セキュリティ専門メディア「The Hacker News」は2026年8月17日、直近に観測された主要なサイバー攻撃と脆弱性の動向をまとめた週次レポートを公開した。VMware vCenterやMicrosoft Windows、Apple macOS、GeoServerといった広範に使われるシステムで、修正直後の脆弱性やゼロデイ脆弱性を狙った攻撃が相次いで確認されている。国家主導とみられる高度サイバー攻撃グループ（APT）によるスパイ活動から、暗号資産の不正マイニング、情報窃取マルウェアまで、多様な手口の実態が明らかになった。

VMware vCenterの脆弱性悪用と証拠隠滅を狙った「煙幕」ランサムウェア

中国関連とみられるAPT（高度かつ持続的な標的型攻撃を行うグループ）が、VMware vCenter Serverに存在したディレクトリトラバーサル（想定外のパスを指定して不正アクセスを行う手法）の脆弱性「CVE-2026-59310」を悪用していたことが判明した。本脆弱性はCVSS（脆弱性の深刻度を表す共通指標）スコアが9.8と極めて高く、悪用された場合は遠隔の第三者によって任意のコードを実行される恐れがある。

調査機関のQUIRSOによると、少なくとも1件の侵害事例において、攻撃者はバックドアやリバースSSHのバイナリを設置したのち、最終的にランサムウェア「Babuk」から派生した暗号化マルウェアを展開したという。ただし、同機関はランサムウェアによる身代金要求が本来の主目的ではないと分析している。データを暗号化して侵入の痕跡を隠し、侵害後のフォレンジック調査（原因究明のための鑑識調査）を妨害するための「煙幕」として利用された可能性が高いと説明している。

北朝鮮LazarusがWindowsのゼロデイを悪用、防衛・航空宇宙分野を標的に

北朝鮮を背景に持つ攻撃グループ「Lazarus」は、Microsoft Windowsの権限昇格（一般ユーザーから管理者権限などを奪取すること）の脆弱性「CVE-2026-68820」（CVSSスコア: 7.0）をゼロデイ攻撃で悪用していたことが明らかになった。影響を受けたのはネットワーク処理を担うドライバ「AFD.sys」で、マイクロソフトは2026年8月の月例セキュリティ更新プログラムにて修正を実施している。

本攻撃は、Lazarusが長年展開している偽の求人案内を装う標的型攻撃キャンペーン「Operation Dream Job」の一環として確認された。フランス、ドイツ、ブラジル、インドなどの防衛および航空宇宙関連企業に所属する専門家がターゲットにされ、機密データの窃取やマルウェア「ForestTiger」、さらには新種バックドア「Troy」の感染活動が行われていたと報告されている。

macOS画面共有の認証不備を突く暗号資産マイナーの設置

AppleのmacOSに存在していた画面共有機能の脆弱性「CVE-2026-65400」（CVSSスコア: 9.8）が悪用され、暗号資産マイナーが不正に設置される事例が確認された。本脆弱性は、同一ネットワーク上の攻撃者が有効な認証情報を持たずにリモートデスクトップ機能へ不正に認証できてしまう重大な認証不備である。Appleは今月上旬、macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9向けの緊急アップデートとして修正を配信していた。

オランダ国家サイバーセキュリティセンター（NCSC-NL）の報告によると、リモートデスクトップ用のポート5900がインターネット向けに公開されていた複数のシステムで実際の悪用が観測されたという。侵害されたすべてのケースで攻撃者が最高権限であるroot権限を奪取し、暗号資産Moneroの採掘プログラムが設置されていたことが確認されている。

GeoServerのSQLインジェクション脆弱性と公開直後の猛攻

地理空間情報を配信するオープンソースサーバー「GeoServer」において、リモートコード実行（RCE）につながる深刻なSQLインジェクション（データベース命令を改ざんする攻撃）の脆弱性が発見され、バージョン3.0.1、2.28.5、2.27.6で修正版がリリースされた。本脆弱性には現時点でCVE番号が採番されていない。

セキュリティ企業watchTowrの発表によると、脆弱性の詳細が公開されてからわずか数時間のうちに実際の攻撃試行が観測され、特定の少数のIPアドレス群から数百回に及ぶアクセスが確認された。GeoServerの開発チームは、正規の開示プロセスを経て定期リリースでの修正を計画していたものの、詳細情報が外部へ公になったため前倒しでの対応を迫られたと説明している。

macOS向け情報窃取ツール「Amnesia Stealer」とAIガバナンスの課題

このほか、macOSユーザーを標的とする新たなインフォスティーラー（情報窃取マルウェア）「Amnesia Stealer」が確認された。ユーザーを騙して悪意ある操作を実行させる「ClickFix」攻撃を悪用し、Chromiumベースの主要ブラウザ16種類から認証情報やデータを盗み出す活動が報告されている。

あわせて紹介された米SANS Instituteの最新調査によると、セキュリティ担当者の78%がセキュリティ戦略にAIを組み込んでいると回答（前年の50%から大幅増）した一方で、正式なAIリスク管理プログラムを策定できている組織は36%にとどまることが分かった。現場での技術導入の加速に対し、ガバナンス体制の整備にギャップが生じている実態が浮き彫りとなっている。