2026年10月25日は、防御担当者にとって過酷な一日です。5件の緊急脆弱性は、オペレーティングシステムの下層に位置するファームウェアから、開発者ランタイムやコラボレーションプラットフォームに至るまで、スタック全体に及んでいます。そのうち2件は CISA によって積極的に悪用されていることが確認済みです。共通するのは緊急性です。これらは研究論文に記載された理論上のリスクではなく、エンタープライズインフラ、開発者パイプライン、そしてエンドポイントのブート整合性そのものに影響を与えるリアルな脅威です。セキュリティチームは本日のブリーフィングを、背景知識の読み物としてではなく、トリアージの呼びかけとして扱うべきです。

アーキテクチャ上最も深刻な開示は、BlackX UEFI ブートキットです。これは Secure Boot 証明書の失効処理における不備を悪用し、完全にパッチ適用済みの Windows システムに対してファームウェアレベルの永続的な侵害を実現します。Secure Boot は基盤的な制御として広く信頼されており、多くの組織は Windows を最新の状態に保てば十分だと考えています。BlackX はその前提が危険であることを示しています。ファームウェアの Secure Boot データベースが、Microsoft がすでに失効させた証明書を依然として信頼している場合、つまりデバイスに失効処理が適用されていない場合、攻撃者は OS が起動する前に悪意のあるブートローダーをロードできます。これによりインプラントは極めて高い永続性を持ち、ブート後にのみ動作するエンドポイント検知ツールからはほぼ不可視となります。外交関連の標的がすでに実環境で観測されており、高度な、おそらく国家に関連した脅威アクターの存在が示唆されます。

積極的な悪用が確認されているものとして、CISA は2件の脆弱性を既知の悪用された脆弱性 (KEV) カタログに追加しました。CVE-2026-110447 は、セルフホスト環境で広く利用されているオープンソースのオフィススイートコンポーネントである Collabora Online Built-in CODE Server における OS コマンドインジェクションの欠陥です。CVE-2026-114625 は、エンタープライズおよびサービスプロバイダーネットワーク全体の SD-WAN インフラを管理するプラットフォームである Arista VeloCloud Orchestrator における SQL インジェクションの脆弱性です。両脆弱性は緊急の深刻度評価を受けており、積極的な悪用が確認されているということは、攻撃者がすでにパッチ未適用のインスタンスをスキャンして侵害していることを意味します。VeloCloud Orchestrator は特に価値の高い標的です。オーケストレーション層を侵害することで、攻撃者は組織の SD-WAN ファブリック全体の可視性と制御を得られる可能性があるためです。

Ruby 正規表現エンジン (Onigmo) の脆弱性は、GitLab を運用しているすべての組織が真剣に注意を払うべきものです。Onigmo における3件のバグにより、悪意を持って細工された正規表現パターンを通じたリモートコード実行 (RCE) が可能となり、GitLab はこれらの弱点を基盤とした4件の異なる緊急 RCE 欠陥を特定しました。GitLab はほとんどの開発環境においてクラウンジュエル資産です。ソースコード、CI/CD パイプライン、シークレット、デプロイメント認証情報を保持しています。GitLab インスタンスへの RCE は、事実上ソフトウェアサプライチェーンの侵害を意味します。パッチは Ruby バージョン 3.3.13、3.4.12、および 4.0.9 で提供されており、GitLab も対応するアップデートを発行しています。

最後に、CVE-2026-111497 は Node.js バージョン 24.22.0 を含む複数のバージョンに影響し、バンドルされた Brotli デコーダーに緊急の RCE 脆弱性が存在します。研究者は Node2Shell エクスプロイトを実証し、脆弱な Node.js プロセスに送信された細工された圧縮データによって完全なリモートコード実行が可能であることを示しました。圧縮入力を受け付けるインターネット公開の Node.js アプリケーション、つまりそのほとんどは、パッチ適用まで危険にさらされていると考えるべきです。

本日のセキュリティチームの防御優先事項：

- すべてのエンドポイントで Secure Boot 証明書の失効状態を直ちに確認してください。ベンダーのツールまたはスクリプトを使用して、Secure Boot 禁止署名データベース (dbx) が最新であることを確認してください。Windows Update がこれを自動的に処理したと仮定しないでください。多くの場合、処理されていません。利用可能な場合は TPM 構成証明を使用してファームウェアの整合性を監査し、測定されたブートチェーンがベースラインから逸脱しているデバイスにフラグを立ててください。

- Collabora Online および Arista VeloCloud Orchestrator のインスタンスを遅延なくパッチ適用または隔離してください。両 CVE は CISA の KEV カタログに掲載されており、連邦機関には必須の修復期限があります。すべての組織は同等の緊急性をもって対応すべきです。即時のパッチ適用が不可能な場合は、これらのサービスへのネットワークアクセスを信頼できる IP 範囲に制限し、それらのシステムのログ詳細度を高めてください。

- GitLab および基盤となる Ruby ランタイムをパッチ適用済みバージョンに更新してください。CI/CD パイプラインの設定を監査し、武器化される可能性のあるユーザー制御の正規表現入力がないか確認してください。GitLab のアクセスログを確認し、異常な API 呼び出しや予期しないパイプライン実行など、事前の侵害を示す可能性のある兆候を調査してください。

- CVE-2026-111497 に対処したバージョンに Node.js をアップグレードしてください。それまでの間、Node.js サービスが受け付ける圧縮データに対して厳格な入力検証とサイズ制限を実装してください。異常な構造の Brotli 圧縮ペイロードをペリメーターでフラグ立てまたはブロックする Web アプリケーションファイアウォールルールの導入を検討してください。

- これらすべての脅威に対して、SIEM がファームウェア構成証明、オーケストレーションプラットフォーム、コラボレーションツール、およびアプリケーションランタイムからのログを取り込んでいることを確認してください。VeloCloud ログにおける SQL インジェクションパターン、Collabora または Node.js プロセスからの予期しない子プロセスの生成、および異常なブートローダー測定値に対する検知ルールを本日中に確認または作成してください。

本日の脅威ランドスケープの広さ、つまりファームウェア、ネットワークオーケストレーション、開発者プラットフォーム、アプリケーションランタイムにまたがる範囲は、多層防御が単なる流行語ではないことを改めて示しています。これらすべてを単一の制御で防ぐことはできません。階層化された可視性、迅速なパッチ適用の規律、そしてネットワークセグメンテーションを組み合わせることで、いずれかの層が失敗した際の影響範囲を縮小できます。

本ブリーフィングは情報提供を目的としており、状況認識の支援を意図しています。権威ある修復手順については、必ず公式のベンダーアドバイザリおよび CISA のガイダンスを参照してください。