2026年10月23日は、脅威ランドスケープが複数の軸で同時に変化する日となっています。防御側は、積極的に悪用されている SD-WAN 管理機能のゼロデイ、修正プログラムが存在しない状態で公開された Linux カーネルの RCE 脆弱性 2 件、中国系グループによる AI 支援型サプライチェーン侵害、大規模なクラウドホスティング侵害、そして北朝鮮の脅威アクターによるマルウェア配信への耐量子暗号の試験的導入という事態に直面しています。これらはそれぞれ単独でも深刻ですが、合わせて見ると、敵対者がますます高度なツールを用いてエンタープライズインフラのあらゆる層を探索している状況が浮かび上がります。

ネットワークおよびインフラチームにとって最も緊急性が高い問題は、Arista VeloCloud Orchestrator の SQL インジェクションゼロデイです。Arista は10月22日、このフローがオンプレミスの VCO 展開環境において実際に悪用されていることを確認しました。この脆弱性により、認証済みのユーザーであれば誰でもオーケストレーターに対して SQL インジェクションを実行できます。VCO は VeloCloud SD-WAN 環境の中枢であるため、侵害された場合、攻撃者はルーティングポリシーの操作、認証情報の窃取、接続されたブランチサイトへの横断的移動、そして SD-WAN ファブリック全体への永続的アクセスの確立が可能になります。Arista はパッチをリリース済みであり、オンプレミスで VCO を運用しているすべての組織にとって、即時適用が最優先事項です。パッチ適用が完了するまでの間は、VCO 管理インターフェースへのアクセスを信頼済みの管理者 IP 範囲のみに制限し、すべてのオーケストレーターアカウントに多要素認証 (MFA) を適用し、悪用の試みを示す可能性のある異常な認証済みセッションや不審な API 呼び出しについて VCO アクセスログを確認してください。

Linux サーバー管理者にとっては、カーネル組み込みの SMB サーバーである KSMBD に存在するリモートコード実行 (RCE) 脆弱性 2 件が公開され、危険な露出の窓が生じています。両フローは Trend Micro の Zero Day Initiative により CVSS 9.0 と評価されており、ZDI-CAN-33774 として追跡されている一方は、認証完了前にトリガーできると報告されており、KSMBD がインターネットに公開されているか、信頼されていないネットワークセグメントから到達可能な環境では特に危険です。重要なのは、メインラインカーネルの修正がまだ存在しないことです。組織は直ちに、Linux サーバーで KSMBD が有効になっているかどうかを監査し、不要であれば今すぐ無効化してください。Linux 上で SMB ファイル共有が真に必要な場合は、カーネルパッチが利用可能になるまでの暫定措置として Samba への切り替えを検討してください。信頼されていないソースからの SMB ポートをブロックするネットワークレベルの制御は不可欠であり、不正な SMB ネゴシエーションパケットを対象とした IDS シグネチャの確認とチューニングも行ってください。

中国系の Storm-0940 に帰属する ConnectWise サプライチェーン攻撃は、新たな懸念の次元をもたらしています。それは、侵害後の偵察と横断的移動を自動化するために AI エージェントフレームワーク ARTEX が使用されているという点です。これは重大なエスカレーションです。AI 支援型のポストエクスプロイテーションにより、敵対者はより速く移動し、防御側の対応にほぼリアルタイムで適応し、従来のツールでは不可能だった範囲を侵害された環境内でカバーできます。ConnectWise Cloud Backup を使用している組織は、直ちに展開環境の整合性を確認し、利用可能なすべてのパッチを適用し、不正アクセスの兆候がないか最近のバックアップジョブのアクティビティと管理者アカウントの変更を監査してください。より広範なサプライチェーンの衛生管理も適用されます。サードパーティのソフトウェア更新メカニズムを見直し、ConnectWise コンポーネントのコード署名を検証し、バックアップインフラが本番環境からセグメント化されていることを確認してください。

最大 27,000 件の顧客 VPS インスタンスに影響する Onamae Desktop Cloud の侵害は、共有インフラリスクを改めて示す事例です。ハイパーバイザーまたは管理プレーンレベルで展開されたマルウェアは、個別には何も問題のないテナントにも影響を与える可能性があります。組織が Onamae Desktop Cloud またはインフラの整合性をまだ確認していない VPS プロバイダーを利用している場合、それらのインスタンスは侵害されている可能性があるものとして扱ってください。それらのシステムに保存されているか、アクセス可能なすべての認証情報をローテーションし、コマンド＆コントロールの指標がないか送信ネットワーク接続を監査し、検証済みのインフラ上でクリーンなイメージから再展開することを検討してください。

最後に、Lazarus グループによるマルウェア配信チェーンへの耐量子暗号の採用は、即時の運用上の影響は不確かであっても、戦略的な注意を要する将来志向の脅威です。耐量子アルゴリズムでマルウェア通信を暗号化することで、Lazarus は将来の暗号解析的防御を回避し、分析のために TLS トラフィックの復号に依存する現在のネットワーク検査ツールを無効化する態勢を整えています。セキュリティチームは、SSL インスペクションおよび EDR ツールのベンダーが耐量子アルゴリズムサポートのロードマップを持っているかどうかの評価を開始し、このキャンペーンに関連する既知の Lazarus インフラの侵害指標 (IoC) を含むよう脅威インテリジェンスフィードを更新してください。

本日の防御上の優先事項：

- Arista VeloCloud Orchestrator に直ちにパッチを適用し、管理インターフェースへのアクセスを信頼済み IP に制限する
- 不要なすべての Linux サーバーで KSMBD を無効化し、信頼されていないネットワークセグメントからの SMB をブロックする
- サプライチェーン侵害の兆候がないか ConnectWise の展開環境を監査し、サプライチェーン整合性管理を徹底する
- Onamae Desktop Cloud の VPS インスタンスを侵害済みとして扱い、認証情報をローテーションしてクリーンなイメージから再展開する
- ネットワーク検査およびエンドポイント検知ツールの耐量子対応状況の評価を開始する
- すべての環境で Storm-0940 および Lazarus グループの侵害指標に対する脅威インテリジェンス監視を強化する

本ブリーフィングは情報提供を目的としており、公式のベンダーアドバイザリの代替となるものではありません。権威ある情報とパッチの詳細については、Arista、Linux カーネルセキュリティチーム、ConnectWise、および VPS プロバイダーに直接お問い合わせください。