2026年のハロウィンは、世界中のセキュリティオペレーションチームに本物の恐怖をもたらしました。わずか1日の間に、CISA は既知の悪用された脆弱性 (KEV) カタログに複数の高影響エントリを追加し、開発者インフラ、EC プラットフォーム、ネットワークセキュリティアプライアンスにわたる積極的な悪用が確認され、暗号資産セクターは過去最大規模の侵害の一つを受けました。本日のすべてのインシデントに共通するのは、攻撃の高度さではなく「速度」です。攻撃者は公開開示から数日または数時間で積極的な悪用に移行しているにもかかわらず、防御側はいまだ変更管理の承認を待ち続けています。

セルフホスト型 GitLab を運用する組織にとって最も警戒すべき案件は CVE-2026-97229 です。これは CVSS 10.0 のリモートコード実行の脆弱性であり、現在野外での悪用が確認され、CISA KEV カタログに追加されました。ソースコード、CI/CD パイプライン、シークレット、デプロイメントキーを保管するプラットフォームにおける最大深刻度スコアは、壊滅的な被害範囲を意味します。悪用に成功した場合、未認証の攻撃者が GitLab サーバー上で任意のコマンドを実行し、接続されたクラウド環境へ横断的に侵入し、知的財産を窃取したり、ソフトウェアサプライチェーンに悪意のあるコードを注入したりする可能性があります。影響を受けるバージョン範囲の GitLab Community Edition または Enterprise Edition を運用しているすべての組織は、本日中にこれを P1 インシデントとして扱い、定期パッチとして後回しにしてはなりません。

並行して、Drupal Commerce Core が CVE-2026-118539 を通じて積極的に攻撃されています。これは 0.0.0 から 2.41 および 3.0.0 から 3.3.13 のすべてのバージョンに影響する認可バイパスの脆弱性です。EC プラットフォームにおける認可バイパスの欠陥は特に危険です。攻撃者が注文を操作し、顧客の決済データにアクセスし、アプリケーション内で権限昇格を行い、または基盤となるホストへ横断的に侵入できる可能性があるためです。ホリデーショッピングシーズンが近づく中、パッチが適用されていない Drupal Commerce のデプロイメントは、大規模な金融詐欺とデータ窃取への開かれた扉となっています。

Cisco のファイアウォールプラットフォームも本日 KEV カタログに追加されました。コード実行は可能にしないものの、最悪のタイミングでネットワーク境界を盲目化するために悪用できるサービス拒否 (DoS) の脆弱性です。積極的な侵入キャンペーン中にファイアウォールを無効化することは、可視性と封じ込め能力を排除するための典型的な攻撃者の手法です。影響を受ける Cisco ファイアウォールバージョンを使用している組織は、直ちにベンダーパッチを適用し、暫定措置としてインバウンドトラフィックフィルタリングルールを見直し、プライマリコントロールプレーンが利用不能になった場合に備えてアウトオブバンド管理アクセスが確保されていることを確認してください。

Ivanti Connect Secure が CVE-2026-118527 で再び注目を集めています。これは予測可能な数値または識別子の生成に関わる脆弱性です。予測可能なトークンまたはセッション識別子の生成により、攻撃者が認証トークンを偽造または推測し、VPN 認証を完全にバイパスできる可能性があります。国家支援型アクターの高価値ターゲットとしての Ivanti の歴史を踏まえると、この KEV カタログへの追加は緊急事態として扱うべきです。リモートアクセスインフラはエンタープライズへの正面玄関であり、VPN ゲートウェイが侵害されると、他のすべてのセキュリティ制御が無意味になる可能性があります。

Binance の侵害は、約 63 億ドルの資産に影響を与え、約 30 億ドルがオンチェーンで凍結されており、暗号資産セクターにとって歴史的な転換点となっています。技術的な根本原因は完全には開示されていませんが、インシデントの規模と、ステーブルコイン発行者である Tether および Circle による迅速な対応 (それぞれ USDT および USDC 合計 23 億 6,700 万ドルを凍結) は、中央集権型取引所インフラのシステミックリスクと、封じ込めメカニズムとしてのオンチェーン凍結の新たな役割の両方を示しています。デジタル資産への財務エクスポージャーや暗号資産プラットフォームとのベンダー関係を持つエンタープライズセキュリティリーダーにとって、これはカストディアル契約、マルチシグネチャ制御、および取引所パートナーとのインシデント対応合意を見直す契機となります。

本日の運用上最も重要なストーリーは、CVE ではないかもしれません。緊急修正が必要であると認識してから実際にデプロイするまでの持続的なギャップが、このリストに挙げたすべての侵害の主要な要因であり続けています。セキュリティチームはリスクを理解しています。障壁は組織的なものです。運用チームはパッチが本番環境を壊さないという証明を必要とし、その証明には時間がかかります。このギャップを埋めるには、事前に構築されたロールバック計画、ステージング環境での検証、および KEV に掲載された脆弱性に対して標準的な変更管理キューを迂回するエグゼクティブレベルのエスカレーションパスが必要です。

本日の防御上の優先事項：

- GitLab をベンダー指定の修正済みリリースに直ちにパッチ適用してください。数時間以内にパッチ適用を開始できない場合はインターネット公開インスタンスを隔離し、改ざんの兆候がないか CI/CD パイプラインの整合性を監査してください。
- Drupal Commerce Core をバージョン 2.42 または 3.3.14 以降に更新してください。少なくとも過去 30 日間にさかのぼり、異常な注文操作や権限昇格アクティビティのアプリケーションログを確認してください。
- Cisco ファイアウォールのパッチを適用し、管理インターフェースが信頼されていないネットワークに公開されていないことを確認してください。境界デバイスの拡張ログを有効にしてください。
- Ivanti Connect Secure CVE-2026-118527 を緊急事態として扱ってください。すべての VPN セッショントークンをローテーションし、再認証を強制し、異常なセッションパターンがないかアクセスログを確認してください。
- デジタル資産へのエクスポージャーを持つ組織は、取引所アカウントの制御を監査し、出金ホワイトリストを有効にし、カストディアンとのインシデント通知合意を確認してください。
- CISA KEV エントリに対して標準的な変更管理タイムラインを迂回し、カタログ追加から 24 時間以内に文書化された承認を必要とする迅速なパッチ適用プロセスを確立してください。

本ブリーフィングは情報提供を目的としており、公開報告を基に整理したものです。お使いの環境に固有の権威ある修正手順については、必ず公式のベンダーアドバイザリおよび CISA のガイダンスを参照してください。