2026年10月18日、現代のエンタープライズスタックのほぼすべての層に及ぶ脅威状況が明らかになっています。攻撃者は開発者のツールチェーンを汚染し、パッチ未適用のネットワークアプライアンスを実環境で悪用し、信頼された vendor の認証情報を悪用して数百のクラウドテナントを横断し、新たに公開された CMS の脆弱性を武器化しようと競い合っています。これらのリスクをすべて単独のチームが管理することはできません。だからこそ本日のブリーフィングが重要です。これらのインシデントをつなぐ共通点は、スピードと信頼の悪用です。

MALFEX キャンペーンの npm パッケージ 'imgdecode' は、オープンソースの依存関係の衛生管理が今やフロントラインのセキュリティ課題である理由を示す典型例です。このパッケージは 2026年9月30日にアカウント 'malfexteste8' によってアップロードされ、Windows ネイティブアドオン（Node.js がプロセスメモリに直接ロードするコンパイル済みバイナリコンポーネント）の内部にシェルコードローダーを隠しています。ネイティブアドオンは JavaScript レベルの静的解析を回避するため、多くの自動スキャナーはペイロードを完全に見逃します。露出期間中に 'npm install imgdecode' を実行した開発者や CI/CD パイプラインは、ビルド環境または本番サーバーに永続的なローダーを導入した可能性があります。影響範囲は個々の開発者にとどまりません。侵害されたビルドエージェントは、コンパイルするすべての下流アプリケーションに悪意あるアーティファクトを注入する可能性があります。

MALFEX 脅威に対する防御アクション：
- 直ちに npm ロックファイルおよび依存関係ツリーで 'imgdecode' および 'malfexteste8' が公開したパッケージを監査してください。
- ビルドサーバーおよび開発者ワークステーションで、予期しないネイティブアドオンファイル（.node 拡張子）および node.exe が生成した異常な子プロセスをスキャンしてください。
- CI/CD パイプラインで npm パッケージの許可リストを適用し、新規パッケージには手動審査を伴う内部レジストリミラーリングを必須としてください。
- ビルドエージェントにランタイム行動監視を有効化し、シェルコードインジェクションパターンおよび異常なネットワークコールバックを検知してください。

CISA による CVE-2025-61624 および CVE-2026-102764 の既知の悪用された脆弱性 (KEV) カタログへの追加は、両脆弱性が理論的なリスクではなく、実際に武器化されていることを示しています。CVE-2025-61624 は複数の Fortinet 製品に影響するパストラバーサルの脆弱性です。境界アプライアンスレベルでのパストラバーサルは、ネットワーク内部への横断的移動を可能にする設定ファイル、認証情報、秘密鍵を露出させる可能性があるため、特に危険です。CVE-2026-102764 は BeyondTrust Remote Support におけるスプーフィングによる認証バイパスです。特権アクセスプラットフォームで認証をバイパスした攻撃者は、そのプラットフォームが管理するすべてのシステムへの鍵を実質的に手に入れます。両脆弱性は連邦機関に対して CISA の拘束力ある運用指令の対象となっていますが、すべての組織がセクターを問わず KEV エントリを緊急レベルのパッチとして扱うべきです。

Fortinet および BeyondTrust CVE に対する防御アクション：
- 直ちに vendor パッチを適用してください。24時間以内にパッチ適用が完了できない場合は、影響を受けるアプライアンスを追加のアクセス制御の背後に隔離するか、オフラインにしてください。
- Fortinet デバイスのログで、通常の運用パス外のディレクトリへの予期しないファイルアクセスパターンを確認してください。
- BeyondTrust Remote Support のセッションログで、期待される認証情報アーティファクトが欠如している、または異常なソース IP から発信された認証を監査してください。
- 予防措置として、BeyondTrust 環境に保存されている、またはアクセス可能なすべての認証情報および API キーをローテーションしてください。

Drupal の緊急 RCE パッチ（2件）は、公開向け Web プロパティを運用するすべての組織にとって早急な対応が必要です。Drupal セキュリティチーム自身による「エクスプロイトが近日中に出現する可能性がある」という警告は、まれで率直なシグナルです。カウントダウンとして扱ってください。パッチ未適用の Drupal インスタンスは、Web シェルの展開、クリプトマイニング、およびランサムウェアオペレーターによる初期アクセスの足がかりとして頻繁に標的にされます。サポート対象バージョンと旧バージョンの両方が影響を受けるため、古いリリースを実行していても安全ではありません。

Drupal RCE に対する防御アクション：
- ステージング環境や開発環境を含む、見落とされがちなすべてのインスタンスに直ちに Drupal セキュリティアップデートを適用してください。
- 即時パッチ適用が不可能な場合は、パッチの準備が整うまでの間、Web アプリケーションファイアウォールルールを設定して影響を受ける機能へのアクセスを制限することを検討してください。
- Web サーバーログで、Drupal ドキュメントルート内の異常な POST リクエストまたはファイル作成イベントを確認してください。

ConnectWise 認証情報悪用キャンペーンは、サプライチェーンリスクが SaaS およびマネージドサービスエコシステムにまで及ぶことを改めて示す警告です。脅威アクターは ConnectWise Cloud Backup に属する単一の侵害された Microsoft 365 認証情報を使用して、173 の別々の M365 テナントに認証しました。これは信頼の悪用攻撃です。ConnectWise のサービスアカウントが顧客環境全体に委任アクセスを持っていたため、1つの盗まれた認証情報がマスターキーになりました。セキュリティチームは、M365 テナントへの委任または連携アクセスを持つサードパーティ vendor が侵害された場合、横断的移動のパスになり得ると想定すべきです。

M365 テナントキャンペーンに対する防御アクション：
- Entra ID ポータルを通じて、Microsoft 365 テナント内のすべてのサードパーティ OAuth アプリケーションおよび委任管理者関係を直ちに監査してください。
- 過去 60 日間の統合監査ログで、ConnectWise 関連のサービスプリンシパルまたは予期しない地理的場所からのサインインを確認してください。
- すべての委任管理者およびサービスアカウントのサインインに対して、準拠デバイスおよび多要素認証 (MFA) を要求する条件付きアクセスポリシーを適用してください。
- ConnectWise のアカウントチームに連絡し、自社テナントがアクセスされたテナントに含まれるかどうかを確認し、インシデントレポートを要求してください。

本日の防御優先事項：Fortinet および BeyondTrust システムに緊急タイムラインでパッチを適用し、MALFEX の imgdecode パッケージについて開発環境を調査し、公開エクスプロイトが出現する前に Drupal アップデートを適用し、Microsoft 365 でサードパーティアクセスの即時監査を実施してください。4つの脅威クラスター全体に共通するのは、攻撃者がパッケージ、vendor、アプライアンス、認証情報への信頼を悪用しているという点です。暗黙の信頼を削減し、すべての統合ポイントで可視性を高めることが、持続的な解決策です。

このブリーフィングは情報提供を目的としており、公式の vendor アドバイザリや CISA および組織のセキュリティリーダーシップからのガイダンスに代わるものではありません。