2026 年 10 月 26 日は、防御側にとって今年最も重大な日の一つになりつつあります。CISA は既知の悪用された脆弱性 (KEV) カタログに新たに 2 件を追加し、広範囲にわたる PHP の脆弱性が大規模にウェブサイトをダウンさせてサーバー乗っ取りを可能にしており、さらに高度な UEFI ブートキットがスパイ活動においてエンドポイントセキュリティツールを静かに無効化しています。これらを総合すると、脅威アクターが複数の攻撃対象領域を同時に素早く突いている状況が浮かび上がり、セキュリティチームはさらに迅速に動く必要があります。

最も標的にされているエンタープライズインフラから始めます。CISA は CVE-2026-114625 を警告しました。これは Arista VeloCloud Orchestrator における緊急の SQL インジェクション脆弱性です。VeloCloud は SD-WAN 管理プラットフォームとして広く導入されており、このオーケストレーターは多くの中大規模企業のネットワークルーティング判断の中核に位置しています。このレイヤーでの SQL インジェクションは軽微な問題ではありません。設定データや認証情報が漏洩し、攻撃者がネットワークパスを操作したり、環境のより深部へ侵入したりする可能性があります。組織が VeloCloud Orchestrator を運用している場合、このパッチ適用は任意ではなく、次のスプリントに回す作業でもありません。今日の作業です。

あわせて、CVE-2026-110447 は Collabora Online の組み込み CODE Server に影響し、OS コマンドインジェクション脆弱性として分類されています。Collabora Online はクラウド生産性プラットフォームの代替を求める組織、特に多くの政府機関や教育機関がセルフホストで利用している人気のオープンソースオフィススイートです。サーバーレベルでの OS コマンドインジェクションは、認証されていない攻撃者や低権限の攻撃者が任意のシステムコマンドを実行し、事実上ホストを掌握できることを意味します。Collabora のインスタンスはインターネットに公開されていることが多いため、露出面は非常に大きいです。

PHP の状況は、その規模の大きさから独立した段落で説明する必要があります。CVE-2026-109618 と CVE-2026-109619 は、野外では総称して PHP2Shell 脆弱性と呼ばれており、PHP を実行するウェブサイトの約 70 パーセントに影響します。これはインターネットのサーバーサイドインフラの驚異的な割合です。研究者はすでに広範なスキャンと活発な悪用を観測しており、少なくともヨーロッパの政府機関に対する侵害が 1 件確認されています。特に懸念されるのは、脅威アクターがエージェント型 AI プラットフォームを活用して侵害後の活動を加速させているという報告です。これは、初期アクセスから横方向への移動やデータ窃取までの時間が短縮されていることを意味します。PHP サーバーが侵害された後、防御側は数日間の対応時間があると想定することはできません。敵の AI 支援プレイブックは数時間以内に目標を達成する可能性があります。

最後に、BlackX UEFI ブートキットは異なるカテゴリの脅威を表しています。即時の悪用ではなく、永続性とステルスを目的としたものです。BlackX は Baton Drop 脆弱性を悪用して Secure Boot をバイパスし、オペレーティングシステムが初期化される前に悪意のあるドライバーをロードします。このドライバーは Kaspersky と Avast のセキュリティ製品を妨害するよう特別に設計されており、エンドポイント防御が起動する前に事実上無効化します。UEFI レベルの脅威は OS の再インストール後も生き残り、ほとんどの従来型エンドポイント検知ツールには見えないため、特に危険です。スパイ活動という文脈は、長期的なアクセスを目的とした国家支援型または高度な犯罪アクターの関与を示唆しています。

防御の優先事項

- CVE-2026-114625 に対して Arista VeloCloud Orchestrator を直ちにパッチ適用してください。管理インターフェースのアクセスを信頼できる IP 範囲に制限し、SQL インジェクション試行を示す異常なパターンがないかデータベースクエリログを監査してください。

- CVE-2026-110447 に対して Collabora Online インスタンスをパッチ適用するか、隔離してください。今日中にパッチ適用ができない場合は、インターネットに公開されているインスタンスをオフラインにするか、厳格な入力検証ルールを持つ WAF の背後に配置してください。予期しない子プロセスの生成がないかサーバープロセスログを確認してください。

- CVE-2026-109618 と CVE-2026-109619 について、環境内のすべての PHP バージョンを監査してください。インターネットに公開されている PHP アプリケーションを優先してください。PHP2Shell 悪用パターンを対象とした WAF ルールを展開し、リクエストパラメーター内のシェルコマンド指標についてウェブサーバーログの監視を強化してください。インターネットに公開されているパッチ未適用の PHP サーバーはすでに侵害されている可能性があると想定し、それに応じて脅威ハンティングを開始してください。

- BlackX および UEFI ブートキットの脅威に対しては、Secure Boot が適切に設定されていること、および UEFI ファームウェアが Baton Drop の緩和策が適用されたベンダー提供の最新バージョンに更新されていることを確認してください。利用可能な場合は UEFI Secure Boot 証明ログを有効にしてください。セキュリティツールが予期せず無効化または機能低下しているエンドポイントを調査してください。これはソフトウェアの障害ではなくブートキット活動を示している可能性があります。

- 今後 72 時間、影響を受けるすべての製品カテゴリにわたってログ保持期間を延長し、SIEM アラートの感度を高めてください。PHP2Shell キャンペーンで観測された AI 支援の侵害後活動を踏まえ、認証情報アクセス、横方向への移動、データステージングの動作に関するアラートを優先してください。

- 今すぐインシデントレスポンスチームに状況を説明してください。CISA KEV の活発なエントリと政府機関への標的型攻撃が確認されていることから、インシデントが確認された後ではなく、確認される前にエスカレーションパスを事前に承認しておく必要があります。

ネットワークインフラの脆弱性、コラボレーションプラットフォームの脆弱性、大規模なウェブサーバーの悪用、ファームウェアレベルの永続化が 1 日に集中していることは、敵が都合の良いタイミングを待たないことを改めて示しています。これらのいずれかを低優先度として扱う防御側は、攻撃者が求めている足がかりをまさに提供するリスクがあります。

このブリーフィングは情報提供を目的としており、ここで取り上げた脆弱性に関する公式のベンダーアドバイザリおよび CISA のガイダンスを補完するものであり、それらに代わるものではありません。