本日の脅威状況は、世界中のすべてのセキュリティオペレーションチームにとってストレステストのような様相を呈しています。2026 年 10 月 15 日、危険な脅威が稀に見る形で同時に発生しました。Palo Alto Networks および Cisco のネットワーク境界デバイスにおけるゼロデイの積極的悪用、Ivanti の VPN 認証バイパスの広範な標的化、高度な Windows SmartScreen エンクレーブ攻撃、そして 1,413 件の脆弱性を対象とした記録的規模の Microsoft Patch Tuesday です。ファイアウォール、メールゲートウェイ、VPN コンセントレーター、エンドポイント OS がすべて同時に積極的に悪用されている状況では、対応を遅らせる余地は実質的にゼロです。

本日すべての防御担当者が最優先で取り組むべき案件は CVE-2026-0322 です。これは Palo Alto Networks PAN-OS におけるコードインジェクション脆弱性であり、CISA の既知悪用脆弱性カタログに追加され、実際の攻撃での悪用が確認されています。この脆弱性により、未認証の攻撃者がファイアウォールアプライアンス上で直接リモートコード実行を行うことが可能となります。つまり、管理インターフェースに到達した攻撃者は、内部アラートが一件も発報される前にネットワーク全体を侵害できます。PAN-OS ファイアウォールはエンタープライズ防御の最外層に位置することが多く、ここでの悪用は壊滅的な影響をもたらします。PAN-OS を運用しているすべての組織は、これを緊急変更として扱い、ベンダーパッチを直ちに適用し、管理インターフェースへのアクセスを専用のアウトオブバンドネットワークまたは信頼済み IP 範囲のみに制限する必要があります。

並行して、Cisco Secure Email Gateway においても root 権限による未認証リモートコード実行を許す積極的に悪用されているゼロデイが確認されています。メールゲートウェイは特に機微な位置に存在します。大量の外部コンテンツを処理しながら、認証情報、ポリシー設定、そして多くの場合は下流システムへの連携トークンを保持しています。SEG への root レベルのアクセスにより、攻撃者はフィルタリングルールを密かに変更し、メールコンテンツを窃取し、または内部へのピボットを行うことができます。Cisco はパッチをリリースしており、組織は定期メンテナンスウィンドウを待たずに適用すべきです。パッチ適用が完了するまでの間、SEG の管理プレーンが信頼されていないネットワークに公開されていないか確認し、積極的に制限してください。

Ivanti Connect Secure は再び注目を集めています。CVE-2026-104935 は CVSS スコア 8.6 の認証バイパス脆弱性であり、ハニーポットによって 105 件以上の悪用試行が記録されています。VPN インフラは高価値な標的です。悪用に成功した攻撃者は正規のリモートアクセストラフィックとして見える足がかりを得るため、検知が著しく困難になります。CISA は即時パッチ適用の緊急指令を発令しています。パッチ適用に加え、防御担当者はアクティブな VPN セッションについて異常な接続元地域や通常と異なるセッション継続時間を監査し、Connect Secure を通じて認証するすべてのアカウントの認証情報をローテーションし、パッチ適用前の認証イベントについてログを確認する必要があります。

Windows SmartScreen VBS エンクレーブの脆弱性は技術的に異なる性質を持ち、個別に注目する必要があります。仮想化ベースのセキュリティ (VBS) エンクレーブは、OS 全体が完全に侵害された場合でも認証情報を含む機密情報を保護するために特別に設計されています。研究者らは、4 バイトの書き込みプリミティブとタイミング攻撃を組み合わせることで、この隔離されたメモリ領域内で任意コード実行を達成し、Windows の最も深い防御層の一つを実質的に無効化できることを実証しました。この攻撃には一定レベルの既存アクセスが必要であり、日和見的な攻撃者にとってはハードルが上がりますが、これはまさに高度な脅威アクターがポストエクスプロイテーション段階で通常はアクセス不能な認証情報を収集するために使用する手法です。この問題に対する Microsoft パッチを優先事項として適用してください。

最後に、Microsoft の 10 月 Patch Tuesday は単一リリースで 1,413 件の脆弱性にパッチを適用するという歴史的な規模となっており、積極的に悪用されている Windows Shell の脆弱性と、Windows、Office、SharePoint、SQL Server、開発者ツールにわたる 670 件以上の権限昇格の脆弱性が含まれています。その膨大な量はトリアージを不可欠なものとします。まず積極的に悪用されている Shell の脆弱性を優先し、次にインターネットに公開されているシステムや機密データをホストするシステムの権限昇格の脆弱性に対処し、残りは組織の資産重要度ランキングに従って処理してください。

本日の防御上の優先事項：

- CVE-2026-0322 に対する PAN-OS パッチを直ちに適用し、ファイアウォール管理インターフェースを信頼済みの隔離されたネットワークに制限する
- Cisco Secure Email Gateway をベンダー指定の修正バージョンにパッチ適用し、管理プレーンの公開状況を監査する
- Ivanti Connect Secure を最新バージョンに更新し、アクティブセッションを確認し、VPN ユーザーの認証情報をローテーションする
- Microsoft の 10 月パッチを展開し、悪用されている Windows Shell の脆弱性と SmartScreen エンクレーブの修正を優先する
- 影響を受ける 4 つのプラットフォームすべてについて、過去 30 日間を対象に SIEM および EDR テレメトリで侵害の痕跡 (IoC) を検索する
- 脆弱性スキャンのカバレッジにエンドポイントやサーバーだけでなく境界アプライアンスも含まれていることを確認する
- 本日の悪用が同時多発的に発生している性質について経営層にブリーフィングを行う。リソースの優先順位付けに関する意思決定が必要になる可能性があるため

境界デバイス、メールインフラ、VPN システムの同時悪用は、攻撃者がメンテナンススケジュールを尊重しないことを改めて示しています。本日の主要な防御手段はパッチ適用の速度と監視の深度です。

このブリーフィングは情報提供を目的としており、CISA またはマネージドセキュリティプロバイダーによる公式ベンダーアドバイザリおよびガイダンスの代替となるものではありません。