2026年10月17日は、脅威の状況が全神経を集中させることを要求する日となっています。CISA は既知の悪用された脆弱性 (KEV) カタログに新たに2件を追加し、緊急レベルの EC プラットフォームの欠陥が広範な悪用の瀬戸際にあり、数十年前の OS のバグが新たな権限昇格チェーンに武器化され、信頼されたバックアップツールが巧妙なサプライチェーン攻撃によってマルウェア配布の手段に変えられました。これらを総合すると、ネットワーク境界アプライアンスから開発者のワークステーション、本番 Web サーバーに至るまで、フルスタックを標的とする攻撃者の姿が浮かび上がります。

本日のリストで最も緊急性が高いのは、CISA KEV への2件の追加です。CVE-2025-61624 は、複数の Fortinet 製品に影響するパストラバーサルの脆弱性です。ネットワークセキュリティアプライアンスにおけるパストラバーサルの欠陥は特に危険です。なぜなら、未認証の攻撃者が意図されたディレクトリ構造の外にある機密ファイルを読み取り、より深いネットワークアクセスを可能にする認証情報、設定データ、または秘密鍵を露出させる可能性があるためです。Fortinet アプライアンスは無数のエンタープライズネットワークの境界に配置されており、このクラスの脆弱性の悪用はラテラルムーブメントへの信頼性の高い第一歩となります。影響を受ける Fortinet 製品を運用している組織でベンダーパッチをまだ適用していない場合、その作業は今すぐ P1 インシデントとして扱う必要があります。

同様に緊急なのは CVE-2026-102764 で、BeyondTrust Remote Support におけるスプーフィングによる認証バイパスの脆弱性です。BeyondTrust は特権リモートアクセスおよびヘルプデスクのワークフローのためにエンタープライズ環境で広く導入されています。この文脈での認証バイパスは壊滅的です。攻撃者が正規のユーザーまたは管理者になりすまし、特権アクセス制御によって保護されているはずのシステムへのアクセスを取得できる可能性があることを意味します。BeyondTrust Remote Support を使用している組織は、直ちにパッチ適用状況を確認し、異常なアクセスパターンについて最近のセッションログを監査し、パッチ適用が完了するまでプラットフォームへの外部アクセスを一時的に制限することを検討してください。

EC の分野に目を向けると、CVE-2026-103849 は Magento および Adobe Commerce 内で使用される BlockStrap コンポーネントに影響します。研究者たちは、この最大深刻度の欠陥により攻撃者がストアサーバー上で任意の PHP コードを直接実行できる可能性があると警告しています。EC プラットフォームでのリモートコード実行はサーバーの完全な侵害を意味し、ペイメントカードのスキミング、顧客データの窃取、バックエンドインフラへの侵入につながります。Magento または Adobe Commerce を運用しているマーチャントおよびホスティングプロバイダーは、利用可能なパッチを直ちに適用し、異常な PHP 実行パターンについて Web サーバーログを確認し、パッチ適用中の補完的な制御として悪用の試みをブロックする WAF ルールの導入を検討してください。

OpenBSD の権限昇格の話は技術的に興味深く、本番環境で OpenBSD を運用しているあらゆる組織にとって実践的に重要です。研究者たちは、共有メモリ処理における約37年前の整数オーバーフローと別のカーネルの欠陥を連鎖させることで、OpenBSD 7.9 において KARL カーネルアドレスランダム化と SMAP および SMEP などのハードウェア保護の両方をバイパスしてルートアクセスを取得できることを実証しました。これはシステムへの既存のアクセスを必要とするローカル権限昇格ですが、強固なセキュリティの評判を持つ堅牢化された OS でさえレガシーリスクを抱えていることを示しています。組織はリリース時に OpenBSD パッチを適用し、OpenBSD システムへのローカルシェルアクセスを持つユーザーを監査し、修正が適用されるまで非特権のローカルアカウントを潜在的な昇格ベクターとして扱う必要があります。

おそらく本日最も巧妙な話は AOMEI Backupper に関するものです。2026年5月から7月にかけて、攻撃者は AOMEI 自身の更新サーバーから提供されるファイルを繰り返し改ざんし、その時間は5分から10分という短い窓に限られていました。それらの窓のいずれかの間に更新を確認した Windows バックアップソフトウェアのインストールは、正規の更新ではなくバックドアを受け取りました。これは典型的なソフトウェアサプライチェーン攻撃であり、多くの組織がいまだに過小評価している脅威モデルを浮き彫りにしています。信頼されたソフトウェアの更新メカニズム自体が攻撃対象領域なのです。セキュリティチームはこのキャンペーンに関連する侵害の痕跡 (IoC) を探索し、AOMEI Backupper を実行しているエンドポイントでバックドアインストールの兆候を監査し、2026年5月から7月の期間中にバックアッププロセスからの予期しない外部接続についてネットワークテレメトリを確認する必要があります。

本日の防御上の優先事項：

- 活発な悪用が確認されているため、影響を受けるすべての Fortinet 製品で CVE-2025-61624 を直ちにパッチ適用し、P1 修復として扱う
- CVE-2026-102764 の影響を受ける BeyondTrust Remote Support インスタンスをパッチ適用または隔離し、過去30日間の特権セッションログを監査する
- CVE-2026-103849 に対する Magento および Adobe Commerce の修正を適用し、補完的な制御として WAF ルールを導入する
- すべての OpenBSD 7.9 システムを特定し、ローカルアクセスを制限し、OpenBSD プロジェクトからのパッチ提供を監視する
- すべての Windows エンドポイントで AOMEI Backupper の侵害 IoC を探索し、2026年5月から7月の間にソフトウェアを実行していたシステムに重点を置く
- ベンダーの更新チャネルが暗号署名と整合性チェックによって検証されていることを確認するため、ソフトウェア更新およびパッチ管理ポリシーを見直す
- CISA KEV カタログの項目が、必須の修復 SLA を伴う脆弱性管理プログラムで追跡されていることを確認する

境界アプライアンスの悪用、特権アクセスツールの侵害、Web アプリケーションの RCE、サプライチェーンの改ざんが1日に集中することは、多層防御が任意ではないことを改めて示しています。これらすべてのベクターを同時に阻止できる単一の制御は存在しません。

このブリーフィングは情報提供を目的としており、公式のベンダーアドバイザリおよびパッチの代替となるものではありません。権威ある修復ガイダンスについては、常に関連するベンダーのセキュリティ情報を参照してください。