CISAのKEVに10月後半だけで17件：Plex2Shell・BeyondTrust・Ivanti・SiteGuard・FortiGateなど、悪用中の脆弱性と立場別の対応

10月のIT業界は、PHPの重大な欠陥「PHP2Shell」の話題で持ちきりでした。ただ、その陰で、もっと静かに、しかし確実に被害が出ていたものがあります。それは「すでに攻撃者に使われている」と公的機関が認めた脆弱性（ぜいじゃくせい、ソフトウェアの欠陥のうち悪用できるもの）です。

10月13日から23日までの間に、悪用が確かめられた欠陥が次々と公表されました。対象になったのは、次のような製品です。

• 家庭で映画や音楽を配信するPlex Media Server
• 企業のサポート窓口が使う遠隔操作の道具
• 社員が社外から社内につなぐVPN装置
• 国内で多く使われているWAF（ウェブサイトの前で怪しい通信を止める仕組み）
• 拠点どうしの回線を束ねて管理するクラウドの司令塔

こうした「悪用が確かめられた欠陥」を、アメリカのサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA、シーサ）は「KEV（ケブ）カタログ」という一覧にまとめて公開しています。この記事では、10月13日から24日までにKEVに追加された17件をすべて洗い出し、そのうち個人や日本の会社に関係の深いものを中心に、何が起きたのか、どこまで分かっているのか、自分の環境をどう確かめればいいのかを順に説明します。

特に、自宅のNAS（ネットワークにつなぐ記憶装置）やミニPCでPlexを動かしている人は少なくないはずなので、Plexの確認手順は細かく書きました。

なお、PHP2Shell本体や、10月中旬に立て続けに起きたクラウドサービスやAI関連の事件は、このブログの既存の記事（「PHP2Shell総まとめ」や「”Black October”の10日間」）で扱っています。この記事は、それらとは別の「機器とサーバーの欠陥」に絞った内容です。

先に結論を書いておくと、次の5つです。

CISAのKEVカタログとは何か：期限の意味と10月後半の17件

まず、この記事の軸になる「KEVカタログ」について説明します。KEVは「Known Exploited Vulnerabilities（既知の悪用された脆弱性）」の略で、CISAが2021年から公開している一覧です。

世の中には毎年数万件の脆弱性が登録されますが、その中で実際に攻撃に使われるものはごく一部です。KEVには、そのごく一部のうち「実際に悪用されているという確かな証拠がある」「CVE番号（脆弱性に振られる世界共通の番号）が付いている」「修正や回避の方法がはっきりしている」という条件を満たしたものだけが載ります。

KEVには、それぞれの脆弱性に「dueDate（期限）」が書かれています。これは、アメリカの連邦政府の文民機関が、その日までに対処しなければならない締め切りです。民間の会社や個人には法的な義務はありませんが、CISAは「すべての組織が、KEVに載った脆弱性の修正を優先するよう勧める」としています。

この期限の決め方が、2026年に変わりました。CISAは6月10日に新しい拘束力のある運用指令「BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）」を出し、以前の指令BOD 22-01とBOD 19-02を取り消しました。以前は、KEVに載ったものはおおむね一律の期限（多くは2〜3週間）でしたが、新しい指令では、次の3つの観点で優先度を変えます。

• KEVに載っているかどうか（実際に悪用されているか）
• その機器やサーバーがインターネットから直接見える場所にあるかどうか
• 悪用されたときに機器全体を乗っ取られるのか、一部の影響で済むのか、そして攻撃を自動化できるかどうか

CISAの説明では、インターネットに公開された機器にあり、乗っ取りにつながり、自動化できる欠陥の場合、KEVの期限は「3日」になります。

また、BOD 26-04では、更新するだけでなく「更新する前にすでに侵入されていなかったか」を確かめる調べ（フォレンジックのトリアージ、つまり痕跡の一次調査）も求めています。10月のKEVの各項目にも「必要な対応」として、ベンダーの対策を適用することと、BOD 26-04に沿った痕跡調査を行うことが並んで書かれています。

では、10月13日から24日までにKEVに追加されたものを、CISAが配布している一覧のデータ（JSON形式のフィード）と、CISAの各アラートで確かめた結果を表にまとめます。10月24日（土）の時点では、23日より後の追加は見つかりませんでした。

表を眺めると、期限が「追加日の3日後」のものと「14日後」のものがあることに気づきます。同じPlexの4件でも、CVE-2026-96654と-96656は3日、-96652と-96655は14日です。これが、先に説明したBOD 26-04の「リスクに応じて期限を変える」考え方の表れです。

ひとつひとつの欠陥だけを見たときの深刻さと、組み合わせて使われたときの深刻さは違うので、期限の長さだけで「こちらは後回しでいい」と判断しないほうが安全です。Plexの場合、4件は1本の攻撃の流れとしてつながって使われています。

以下では、この17件のうち、自宅でサーバーを動かす人、日本の会社のWeb担当者、社内のIT担当者に関係の深いものから順に見ていきます。PAN-OS、Cisco Secure Email Gateway、Ahsay、Atlassianの4製品については、この記事ではKEVに載ったという事実の紹介にとどめます。使っている場合は、各ベンダーの公告で該当する版と修正版を確かめてください。

Plex2Shell：自宅のメディアサーバーが乗っ取られる4つの欠陥の連鎖

Plex Media Server（プレックス・メディアサーバー）は、自宅のパソコンやNASに保存した映画、テレビ番組の録画、音楽、写真を、テレビやスマホに配信するためのソフトです。外出先からも自宅の動画を見られる手軽さから、自作PCやNASを持つ人に広く使われています。

10月に「Plex2Shell（プレックス・トゥー・シェル）」と名付けられた4つの欠陥の連鎖が、この自宅向けのサーバーを狙って実際に使われました。「2Shell」は、外から操作できる状態（シェル、つまりコマンドを打てる画面）を手に入れられることを表す呼び名で、PHP2Shellとは別の件です。

Plexの公式フォーラムの告知によると、4つの欠陥はそれぞれ次のような内容です。

ひとつずつのCVSS（脆弱性の深刻さを0〜10で表す世界共通の点数）は4〜7程度で、単独では「中程度」に見えます。ところが、これらを順番につなげると、ログインしていない外部の攻撃者が、Plex Media Serverが動いている権限でプログラムを実行できてしまいます。

発見者が公開した資料では、連鎖全体の深刻さはCVSS 9.8とされています。ひとつひとつは小さな穴でも、組み合わせると大きな穴になる、という典型的な例です。

ここで出てくる「SSRF（サーバーサイド・リクエスト・フォージェリ）」は、外部の攻撃者が、サーバーに「代わりにここへ通信して」と頼めてしまう欠陥です。外から直接は届かないはずの、サーバー自身の内側でしか使えない機能にも、サーバー経由なら届いてしまいます。

Plex2Shellでは、この性質を使って内部向けの機能に入り込み、持ち主の権限を手に入れ、最後に「コーデック」（動画や音声を読み書きする部品）を置くフォルダに攻撃者のプログラムを書き込んで、それをPlex自身に読み込ませる、という流れになっていると説明されています。具体的な攻撃の手順はこの記事では書きません。

修正から悪用まで：2か月半の「空白」

Plex2Shellで考えさせられるのは、修正版が出てから悪用が始まるまでの時間の流れです。セキュリティ企業のCensysがまとめた経緯は次のとおりです。

修正版は8月にはあったのに、2か月半たっても多くのサーバーが古いままでした。Censysは、インターネット上で見えるPlex Media Serverをおよそ32万4千台観測し、そのうち約30％が修正前の版で動いていたとしています。

また、非営利の観測団体Shadowserver Foundationは、9月上旬の時点で修正されていないPlexが3万6千台以上インターネットから見えていたと報告しています（Field Effectの記事による）。

Censysによると、観測されたサーバーの約44％はアメリカにあり、つながっている回線の多くは家庭向けの光回線やケーブル回線でした。つまり、狙われているのは企業ではなく、家庭のサーバーです。

乗っ取られたサーバーで何が起きているか

Plexの告知によれば、乗っ取られたサーバーでは、暗号資産（仮想通貨）を掘り出す「マイニング」のプログラムと、他人の通信を自分の家の回線経由で流させる「プロキシ」のプログラムが動かされていました。マイニングはサーバーの処理能力と電気代を奪い、プロキシは、見知らぬ誰かの通信を自宅の回線から出すことになります。後者は、自分の家のIPアドレス（ネット上の住所）が、知らないうちに不正アクセスや迷惑行為の発信元として記録されかねないという点で、家庭にとってはマイニングより厄介です。

さらにPlexは、Plexのサービスが使っているアカウントが届く範囲のものは、すべて漏れた可能性があるとみなすよう求めています。NASでPlexを動かしている場合、Plexには写真や書類が入った共有フォルダが見えていることがよくあります。同じNASに、ほかのサービスのパスワードや設定ファイルが置いてあれば、それも読まれたかもしれない、という前提で考える必要があります。

自宅のPlexを確かめる手順：版の確認から作り直しまで

ここからは、自宅でPlexを動かしている人が実際に手を動かす手順です。Plexの公式フォーラムの告知の内容をもとに、補足を加えています。

手順1：版を確かめる

いちばん簡単なのは、ブラウザでPlex Web（Plexの管理画面）を開き、「設定」から「全般」を見る方法です。ここにPlex Media Serverの版が表示されます。1.43.3.10861以上なら、今回の4件は修正済みです。

Linuxのサーバーなら、端末から確かめることもできます。Debian系なら dpkg -l | grep plexmediaserver、Fedora系なら rpm -q plexmediaserver で、入っているパッケージの版が分かります。

Dockerで動かしている場合は、docker ps でコンテナの名前を確かめ、Plex Webで版を見るのが確実です。コンテナのイメージに「latest」という札を付けていても、イメージを取り直してコンテナを作り直していなければ古いままです。

手順2：更新する

WindowsとmacOSは、自動更新を有効にしていれば新しい版が入ります。念のため、Plexの公式のダウンロードページから最新版を入れ直してもかまいません。

注意が必要なのは、Linux、NAS、Dockerです。Plexの告知でも、これらは手動での更新が必要とされています。

• Ubuntu・Debian：公式のダウンロードページから.debファイルを取得し、sudo dpkg -i ファイル名.deb で入れます。
• Fedora・CentOS・RHEL：.rpmファイルを取得し、sudo dnf install ファイル名.rpm で入れます。
• NAS：Synology、QNAP、TerraMaster、WD、Netgearなどは、NASの「パッケージセンター」や「App Center」からの更新が遅れていることがあります。Plexの告知では、公式のダウンロードページからNAS向けのパッケージを取得し、NASの管理画面から手動で入れる方法が案内されています。
• Docker：Plex公式のイメージ（pms-docker）の説明書に従います。一般的には、新しいイメージを取得し（docker pull）、コンテナを作り直します。docker composeを使っているなら docker compose pull のあとに docker compose up -d です。ほかの配布元のイメージを使っている場合は、その配布元が修正版を取り込んだかを確かめてください。
• NVIDIA Shield：Google Playストアに来ている更新を入れます。

パッケージ管理の仕組みや、Flathubなどの配布経路では、新しい版の配信が遅れていることがあると告知に書かれています。「更新ボタンを押したのに版が変わらない」という場合は、配布経路が追いついていない可能性があります。

手順3：乗っ取られた痕跡がないか確かめる

修正版を入れても、すでに入り込んだプログラムは消えません。Plexが示している、乗っ取りの兆候は次のとおりです。

• Plex Media Serverから起動された、見覚えのないプロセス（動いているプログラム）。Plexは例として「myawesomeproxy」「mylovelyminer」「x12345」といった名前を挙げています。
• PlexのCodecsフォルダの中にある、見覚えのない.soファイル（Linux）や.dllファイル（Windows）
• proxystream.st という宛先への外向きの通信
• 何も再生していないのに、CPUの使用率が高い状態が続いている
• Preferences.xml（Plexの設定ファイル）に、自分で設定した覚えのない動画変換の設定がある

Linuxでは、ps -ef や top で動いているプロセスを見て、Plexのユーザー（多くは plex）が動かしている見慣れないものがないかを確かめます。外向きの通信は ss -tnp で、どのプロセスがどこへつないでいるかを一覧できます。

家庭内のDNS（ドメイン名をIPアドレスに変換する仕組み）の記録を見られるルーターや、Pi-holeのような広告ブロックの仕組みを入れている場合は、その記録に proxystream.st が出てこないかを探すのも有効です。

Codecsフォルダは、Linuxの標準的な入れ方なら /var/lib/plexmediaserver/Library/Application Support/Plex Media Server/Codecs の下にあります。WindowsではユーザーのAppDataの下の「Plex Media Server」フォルダの中です。NASやDockerでは、Plexのデータを置いた場所の中に同じ名前のフォルダがあります。

このフォルダには本来、Plexが自分で取ってきたコーデックが入っているので、ファイルの更新日時が攻撃の時期（10月17日以降）に集中していないか、Plex本体の更新と関係のない時期に増えていないかを見ます。なお、Windows版のPlexは設定の多くをレジストリ（Windowsの設定の保存場所）に持っているので、Preferences.xmlの確認は主にLinux、NAS、Dockerでの話になります。

手順4：兆候があれば、作り直す

兆候が見つかった場合、または「古い版のままインターネットから届く状態だった」のに兆候がないと言い切れない場合、Plexは次の対応を勧めています。

1. 古いPlexのデータフォルダを使い回さず、まっさらな状態から入れ直す。どうしても使い回す場合でも、最低限Codecsフォルダを空にし、Preferences.xmlを見直す。
2. Plexアカウントの設定から、すべての端末をサインアウトさせ、Plexのパスワードを変える。
3. Plexのサービスが読み書きできた範囲（つないでいた共有フォルダや、同じ機械・仮想マシンに置いていた認証情報）は、漏れた可能性があるものとして扱う。

3つ目は手間がかかりますが、大事な部分です。たとえば同じNASの中に、ほかのサービスのAPIキーやパスワードを書いた設定ファイル、クラウドの同期ツールの認証情報、SSHの秘密の鍵ファイルなどを置いていたなら、それぞれ作り直しておくのが安全です。家族の写真や身分証の画像を共有フォルダに置いていた場合は、それが読まれた可能性も頭に置いておいてください。

手順5：外からつながる必要がないなら、閉じる

Plexの告知では、外出先から見る必要がなければ、設定の「リモートアクセス」を無効にすること、また必要がない限り32400番ポート（Plexが使う通信の出入口）をルーターで直接外に開けないことが勧められています。

ルーターの設定画面の「ポート開放」「ポートフォワーディング」「UPnP」の項目を見て、32400番が外に開いていないかを確かめてください。UPnP（機器が自動でルーターの穴を開ける仕組み）が有効だと、自分で開けた覚えがなくても開いていることがあります。

外出先から見たい場合でも、ルーターの穴を開ける代わりに、Tailscaleのような、自分の機器どうしだけをつなぐVPN（仮想的な専用線）を使う方法があります。家の外からは自分の機器だけが届くので、Plex2Shellのような「インターネットのどこからでも狙える」欠陥の影響を大きく減らせます。

BeyondTrust Remote Support：サポート用の遠隔操作の道具が入口になった

次は企業向けの道具です。BeyondTrust Remote Support（ビヨンドトラスト・リモートサポート、旧名Bomgar）は、会社のヘルプデスクや、システムの保守を請け負う会社が、利用者のパソコンやサーバーに遠隔でつないで操作するための製品です。サポート担当者が「画面を見せてください」と言って相手のパソコンを操作する、あの仕組みの業務用です。

つなぐ先の機器のパスワードを預かっておく「金庫」の機能まで持っているため、乗っ取られると、そこから先の社内の機器へ一気に広がります。

CISAは10月16日、この製品の重大な欠陥 CVE-2026-102764 についてアラートを出し、同じ日にKEVに追加しました。CISAによると、影響を受けるのはRemote Supportの26.2.3以前で、攻撃者はこの欠陥を「最初の入口」として使い、その後に居座りの仕組みを作り、権限を引き上げ、社内のほかの機器へ移っていったとしています。BeyondTrustの公告（BT26-05）は、CVSS v4.0で9.3としています。

欠陥の中身については、資料によって表現が分かれています。

どれも「ログインしていない外部の人が、本来はできない操作をできてしまう」という点では同じです。

8月下旬からの悪用：ARMORY CASTLE

この欠陥は、修正が出る前から悪用されていた「ゼロデイ」でした。BeyondTrustとMandiantによると、悪用は8月29日ごろから始まっていました。BeyondTrustは、自社が運営するクラウド版（SaaS）を10月9日に修正し（10月8日とする資料もあります）、10月15日に公表しました。

Mandiantは、この攻撃を行ったのは「ARMORY CASTLE（アーモリー・キャッスル）」と名付けたグループだとしています。以前は「UNC5221」という仮の名前で追跡されていたグループで、Mandiantは中国と関係のある諜報目的の集団と見ています。過去にはIvantiのVPN装置への攻撃でも名前が挙がってきたグループです。

Mandiantの報告に書かれた、侵入後の手口を要約すると次のようになります。技術的に細かい部分は省きますが、「更新すれば終わり」にならない理由がよく分かります。

• 最初の攻撃から約11分後に、Webサーバーの中に「ウェブシェル」（ブラウザから操作できる裏口のプログラム）を置いた。
• システムの標準のプログラムを別の名前で複製し、管理者の権限で動くように細工して、いつでも最高権限を取れる裏口を作った。
• 機器を起動するたびに動く設定に手を入れ、再起動や設定の初期化をしても管理者の権限が残るようにした。
• 製品に付属する道具を使って、預かっていたパスワードの「金庫」の中身を取り出し、その記録を消した。
• 盗んだ管理者アカウントで管理画面に入り、アカウントの権限を書き換え、遠隔サポートの機能を使って社内のパソコンに入り、資料を持ち出した。
• 通信を中継する仕組みを、外からは見つけにくい形で機器に仕込んだ。
• 機器や Webサーバーの記録（ログ）を消した。

使っている会社がやること

BeyondTrustのクラウド版を使っている会社は、すでに修正済みとされています。自社で機器を置いている（オンプレミスの）場合は、BT26-05-RSという修正を当てます。

修正は24.3.1以降の版が対象で、それより古い版は、まず対応している版に上げてから修正を当てる必要があります。同じ部品を使う姉妹製品のPrivileged Remote Access（PRA）について、Censysは「BeyondTrustの社内試験では悪用できなかったが、同じコードを含むため修正が出ており、自社運用の利用者には適用が勧められている」と伝えています。

CISAとMandiantは、侵入されたかもしれない場合の手順も示しています。大事な点を並べます。

1. 疑わしい機器を切り離す。仮想マシンならメモリを含めたスナップショット、物理機器なら調査用の複製を取る。攻撃者は機器の中の記録を消しているので、機器の外にある記録（WAFや中継サーバー、ファイアウォール、ログ集約の仕組み）を集める。
2. 見覚えのない管理者のセッション、知らないスクリプトのファイル、記録の抜けや転送の止まり、アカウントや権限の勝手な変更を探す。
3. 掃除するのではなく、まっさらな状態から作り直して修正を当てる。Mandiantは、居座りの仕組みが設定の初期化を生き延びるうえ、利用者からは機器の中のファイルを全部は調べられないことを理由に挙げています。
4. 機器が預かっていた、または相手の機器に入力していた認証情報を、すべて作り直す。Mandiantは、作り直しは修正や再構築の「後」に行うよう書いています。先に変えると、まだ居座っている攻撃者に新しいパスワードを渡すことになるからです。
5. 動いているサポートのセッションをすべて取り消し、特権アカウントに新しく登録された二段階認証の機器がないかを見直す。

Censysの観測では、Remote SupportかPRAが動いていると見られるホストが約9,500台、Webの入口が約17万7千件ありました。これは「製品が見えている数」で、修正されていない数ではありませんが、こうした製品が数多くインターネットに顔を出していることが分かります。管理画面（/login や /appliance）は、信頼できるネットワークからだけ開けるように絞るのが基本です。

Ivanti Connect Secure：VPN装置への攻撃と、まだ直っていない2つ目の欠陥

Ivanti Connect Secure（アイバンティ・コネクトセキュア）は、社員が自宅や出張先から会社のネットワークにつなぐための「SSL-VPN装置」です。

VPNはインターネットの上に仮想的な専用線を作る仕組みで、会社の入口に置かれるため、乗っ取られると会社の中に入られてしまいます。Ivantiの製品は、この数年、何度もゼロデイ攻撃の標的になってきました。

10月13日、IvantiはCVE-2026-104935を公表し、CISAは同じ日にKEVに追加しました。Rapid7のまとめによると、IvantiはこれをCVSS v3.0で8.6、「なりすましによる認証回避」と分類し、ログインしていない外部の攻撃者が任意のコマンドを実行できるとしています。公表前から、限られた数の顧客で悪用されていました。

Rapid7によれば、Ivantiは22.7系以前は影響を受けないとしています。また、Ivantiの説明では、この欠陥の一部は7月の25.1.3.0ですでに直っており、ほかの系列へ修正を移している最中に悪用が起きた、とされています。なお、22.8系は2027年1月31日にサポートが終わるとCISAが注意を促しています。

Volexityが見つけた攻撃：認証回避、競合状態、そして権限昇格

この攻撃を見つけたのは、アメリカのセキュリティ企業Volexityです。同社の報告によると、攻撃者は10月3日に装置への攻撃を始め、Volexityは10月5日に調査を始めました。

攻撃者は「UTA0576」と名付けられた、これまで知られていなかった集団です。Volexityは、目的は諜報よりも犯罪寄りだと「確度は低い」としながら見ています。

また、攻撃の道具づくりや侵入後の作業に大規模言語モデル（ChatGPTのような文章を作るAI）を使っていたと「中程度の確度」で見ているのも、今の時代らしい点です。確認された被害組織は、Volexityの監視サービスの顧客1社で、名前は公表されていません。

Volexityの説明を噛みくだくと、攻撃は3段階でした。

1. 誰でも見られるはずのログイン前の画面のプログラムに、特別な情報を付けて送ることで、本来はログインしないと使えない内部のプログラムに届く（認証回避）。
2. ファイルを受け取る処理に「競合状態」（2つの処理の順番がずれた一瞬のすきを突く欠陥）があり、送り込んだプログラムが消される前に実行させる（コード実行）。
3. 装置の中の部品をメモリの上で書き換え、定期的に動く保守の処理を乗っ取って、最高権限（root）を取る（権限昇格）。

このうち、1と2がCVE-2026-104935として修正されました。しかし、3の権限昇格の欠陥は、Volexityの報告の時点で修正されておらず、Ivantiは「今後数週間のうちに」修正を出す予定とされています。

KEVに載っているのは修正済みの欠陥のほうだけです。「パッチを当てたから大丈夫」とは言えない、と書いたのはこのためです。入口の欠陥が塞がれれば同じ経路では入れなくなりますが、すでに入られていた場合、攻撃者は最高権限を持ったままかもしれません。

侵入後に攻撃者がやったことは、認証情報の収集が中心でした。装置に保存されていた社内のディレクトリ（Active Directory、社員のアカウントを一括管理する仕組み）の認証情報、管理者パスワードを自動で管理する仕組み（LAPS）のパスワード、ディスク暗号化（BitLocker）の回復用の番号、そして装置を通る通信を記録して、暗号化されていない認証情報を抜き出していました。

社内のアカウントのパスワードを総当たりで試すような動きも見られています。一方で、裏口のプログラムやウェブシェルは置いていませんでした。

使っている会社がやること

CISAとIvantiの案内をまとめると、次のとおりです。

• 修正版にすぐ上げる。25.x系への移行は、機器の種類や仮想環境によって対応状況が違うので、Ivantiの互換性の手引きを確認する。
• Ivantiの「Integrity Checker Tool（整合性チェックの道具）」だけで安心しない。今回の攻撃はメモリの上で動いていて、この道具では見つからなかったとVolexityは報告しています。通信の記録とメモリの調査が必要です。
• 侵入が疑われる場合は、設定をバックアップしてから工場出荷状態に戻し、最新版に上げてから設定を戻す。仮想環境やクラウドなら、作り直してから上げる。
• ドメインの管理者、装置のローカルの管理者を含め、すべてのアカウントのパスワードを変える。装置に保存していた証明書は取り消して発行し直し、APIキーやライセンスサーバーの認証情報も作り直す。

Volexityは、ログイン前の画面への大量の通信や、送られてきた特別な情報の値が要求したアドレスと食い違っている通信、一時フォルダに残された不審なファイル、隠しフォルダや不審なプロセスなど、探すべき手がかりも公開しています。社内でSOC（セキュリティの監視チーム）や監視の委託先がある場合は、Volexityの報告を渡して確認してもらうのが早道です。

SiteGuard Server Edition：国内で広く使われるWAFに見つかった欠陥

ここからは日本の製品です。SiteGuard（サイトガード）は、EGセキュアソリューションズが開発しているWAF（ウェブ・アプリケーション・ファイアウォール）です。WAFは、Webサイトの手前で通信を調べ、SQLインジェクションのような典型的な攻撃を見つけて止める仕組みです。

SiteGuardには、Webサーバーの中に組み込んで使う「Server Edition」や、ゲートウェイ型の製品などがあります。BleepingComputerによると、SiteGuardは150万以上のWebサイトを守っているとしています。

10月14日、EGセキュアソリューションズは、SiteGuard Server EditionのOSコマンドインジェクションの欠陥 CVE-2026-106931 を公表しました。

• 同じ日に、JPCERT/CC（日本のセキュリティ事故の情報を集めて調整する組織）が注意喚起（JPCERT-AT-2026-0032）を、JVN（日本の脆弱性情報のデータベース）がJVN#88474777を公開しています。
• JVNは深刻度を「緊急」としています。
• CISAは10月20日にKEVに追加しました。

JPCERT/CCの注意喚起とJVNの内容をまとめます。

「ローカルから」の欠陥でも悪用される理由

開発元の公告に書かれたCVSSの細かい指標を見ると、攻撃の経路は「ローカル」（サーバーの中から）で、「低い権限の認証済みアカウント」が必要とされています。つまり、インターネットのどこからでもいきなり狙える欠陥ではなく、サーバーの中で何らかの低い権限をすでに持っている人が、WAFの統計機能を踏み台にして、最高権限に上がれてしまう欠陥と読めます（これはCVSSの指標からの読み取りで、開発元は攻撃の条件を文章では説明していません）。

「それなら危険は小さいのでは」と思うかもしれませんが、ここに落とし穴があります。WebサーバーにWAFを入れているということは、そのサーバーではWebアプリケーションが動いています。Webアプリケーションに別の欠陥があって、攻撃者がWebサーバーの権限でコマンドを打てる状態になれば、次にこのWAFの欠陥を使ってroot権限に上がれます。

守るために入れたはずのWAFが、攻撃者にとって最後の階段になるわけです。10月にはPHP2ShellのようにWebアプリケーション側の大きな欠陥も出ているので、組み合わせて使われる危険は小さくありません。

更新の「前」に、診断情報を保存する

手順を並べると次のようになります。

1. SiteGuard Server Editionを使っているサーバーを洗い出し、それぞれの版と、統計機能が有効かどうかを確かめる。
2. Web管理画面から診断情報をダウンロードし、サーバーの外に保管する。
3. 修正版に上げる。すぐに上げられない場合は差し替えパッチを当てるか、統計機能を無効にする。
4. 保管した診断情報と、サーバーの記録（Webサーバーのアクセスログ、OSのログイン記録、見覚えのないプロセスやファイル）を確かめる。判断が難しければ、販売店やサポート窓口、JPCERT/CCに相談する。

このブログのようにWordPressを使っている人の中には、「SiteGuard WP Plugin」というWordPress用のプラグインを入れている人も多いと思います。名前が似ていますが、今回の公告と注意喚起の対象はSiteGuard Server Editionで、WordPress用のプラグインは対象として挙げられていません。

また、レンタルサーバーの会社がサービスの一部として提供しているSiteGuardの扱いは、公告には書かれていません。レンタルサーバーで「SiteGuardが有効」になっている人は、サーバー会社からの案内を確認してください。自分でVPSや自社サーバーにServer Editionを入れている場合は、上の手順をそのまま進めてください。

人の手を借りる攻撃：Siemens Software CenterとWindowsの「インターネットから来た印」

ここまでの欠陥は、インターネットに顔を出したサーバーや機器が狙われるものでした。KEVの17件の中には、それとは違い、パソコンを使う「人」をだまして動かすタイプの攻撃に使われたものが2件あります。

Siemens Software Center：正規の署名付きソフトに偽の部品を添える

Siemens Software Centerは、ドイツのシーメンスが提供している、同社の設計・製造向けソフトをパソコンに入れたり更新したりするための管理ツールです。CISAが再掲したシーメンスの公告（SSA-580366）によると、このソフトは、DLL（Windowsのプログラムが読み込む部品のファイル）を、管理されていない場所から探して読み込んでしまう欠陥 CVE-2026-110936 を抱えていました。

決められた場所に細工したDLLを置くと、ソフトの権限でそのDLLの中身が実行されます。修正版は4.0.9.8で、すでに入っているものは次に起動したときに自動で更新されます。

この欠陥は、CVSS v3.1では6.7（中程度）で、攻撃にはそのパソコンの中での操作が必要です。それでも悪用されたのは、攻撃者が「本物のシーメンスのソフト」を隠れみのに使ったからです。各社の報道によれば、シーメンスは10月19日に、この欠陥が「Romulus（ロムルス）」と呼ばれる「ClickFix（クリックフィックス）」型の攻撃で使われていると警告しました。

ClickFixは、Webページに「表示に問題があります。直すには、次の手順で操作してください」といった偽の案内を出し、利用者自身に、Windowsの「ファイル名を指定して実行」やPowerShell（Windowsのコマンドを打つ画面）へ、攻撃者のコマンドを貼り付けさせる手口です。

今回は、そのコマンドで、正規の電子署名が付いた本物のSiemens Software Centerと、悪意のあるDLLをいっしょに置き、本物のソフトに偽の部品を読み込ませていました。ソフト本体は本物で署名も正しいので、「署名があるから安全」という判断がすり抜けられてしまいます。

Infosecurity Magazineによると、シーメンスは自社のシステムや製品、公式の更新経路は侵害されていないとしたうえで、次のような注意を出しています。

• Webページに書かれたコマンドを、Win＋Rの「ファイル名を指定して実行」やPowerShellに貼り付けない。
• 修正版の4.0.9.8に更新する。
• 感染した機器は切り離し、不審なプロセスを止め、自動起動の登録と予定された処理（タスク）を消し、パスワードを変える。
• ファイル自体は本物なので、署名ではなく、置かれたフォルダや動きに注目して検知する。
• シーメンスのソフトは公式の配布元からだけ入手する。

Windows CVE-2026-96951：「インターネットから来た印」をすり抜ける

もうひとつは、Windowsそのものです。10月13日の月例の更新で修正されたCVE-2026-96951は、Windows Shell（エクスプローラーなど、Windowsの画面まわりの部分）の「セキュリティ機能のバイパス」の欠陥で、Microsoftは公開前に悪用されていたゼロデイと認めています。CISAは同じ日にKEVに追加しました。Tenableのまとめでは、CVSSは8.8です。

Windowsには「Mark of the Web（マーク・オブ・ザ・ウェブ、MotW）」という仕組みがあります。インターネットから落としたファイルや、メールで受け取った添付ファイルに「これはインターネットから来たファイルです」という印を付けておき、開くときに警告を出したり、Officeの文書を編集できない「保護ビュー」で開いたりするための仕組みです。

今回の欠陥は、細工したファイルを使うと、この印による守りをすり抜けられるというものです。攻撃者はメールやメッセージでファイルを送り、言葉巧みに開かせる必要があります。Tenableによれば、Windows Shellの欠陥が実際に悪用されたのは2026年に入って3件目です。

• 個人のパソコンでやることは単純で、Windows Updateで10月の更新を入れることです。
• サポートが終わったWindows 10で延長サポート（ESU）に入っていないパソコンには、この修正は届きません。
• 会社では、更新の配信が止まっている機器がないかを管理の仕組みで確かめてください。

そして、更新したうえでも、「見覚えのない添付ファイルを開かない」「Webページに書かれたコマンドを貼り付けない」という基本が、この2件のような攻撃にはいちばん効きます。

10月23日の2件：Arista VeloCloud OrchestratorとCollabora Online

10月23日（金）、CISAはさらに2件をKEVに加えました。どちらも期限は3日後の10月26日です。

Arista VeloCloud Orchestrator：閲覧専用のアカウントで司令塔を乗っ取れる

VeloCloud（ベロクラウド）は、会社の本社や支店、工場などの拠点の回線を束ねて、まとめて管理する「SD-WAN（ソフトウェアで制御する広域ネットワーク）」の製品です。もとはVMware、その後Broadcomの製品でしたが、現在はネットワーク機器メーカーのAristaが扱っています。その中で、各拠点の機器に設定を配る司令塔の役割をするのが「VeloCloud Orchestrator（VCO）」です。

Aristaは10月22日の公告（Security Advisory 0199）で、自社で設置して使う（オンプレミスの）VCOに、SQLインジェクション（データベースへの命令に、外から細工した文字列を紛れ込ませる攻撃）の欠陥 CVE-2026-114625 があると公表しました。CVSS v3.1で9.9、v4.0で9.4です。Aristaは、この欠陥を自社で検知し、すでに悪用されているとしています。

• ログインできる利用者なら誰でも、内部向けの「運用者」の権限を手に入れ、ローカルの「スーパーユーザーの運用者」になりすませる。
• 必要な最低の権限は「Enterprise Read Only」、つまり組み込みの役割の中でいちばん低い、閲覧専用の役割。
• VCOの管理画面は初期設定で外から見える状態で、それを防ぐ設定はない。

影響を受ける版を表にまとめます。

サポートが終わった版は評価されていません。

• Aristaが運営するクラウド版（Dedicatedを含む）も影響を受けていたが、修正済み。
• 攻撃元として2つのIPアドレス（74.82.197.86、38.54.50.151）が示されている。

Aristaは、修正版への更新に加えて、管理画面を信頼できる管理用ネットワークからだけ開けるようにすること、示されたIPアドレスを遮断して記録を探すこと、侵害が疑われる場合はWebのアクセスログ、アプリケーションのログ、システムのログ、データベースのログ、ファイルの更新日時を、修正の前に保存することを求めています。更新によって、攻撃者がすでに得ていたアクセスが消えるかどうかは公告に書かれていないので、以前から外に見えていたVCOは、痕跡の確認までしておくのが安全です。

Collabora Online：Nextcloudに入れた文書編集の部品

もう1件は、自宅や小さな会社でも使われているものです。Nextcloud（ネクストクラウド）は、DropboxやGoogle Driveのようなファイル共有の仕組みを、自分のサーバーで動かせるソフトです。その上でWordやExcelの文書をブラウザで編集できるようにする部品が「Collabora Online（コラボラ・オンライン）」で、Nextcloudのアプリとして手軽に入れられる「Built-in CODE Server」という形があります。

KEVに載ったCVE-2026-110447は、このBuilt-in CODE ServerのOSコマンドインジェクションの欠陥です。報道によると、CVSSは9.2で、文書を編集するためのサーバーが動いていないときに、中継のためのファイル（proxy.php）を通じて外からコマンドを実行される可能性があるとされます。

修正は9月の版（26.4.303）で入っており、攻撃者はNextcloudのサーバーにウェブシェルを置き、中を探って、パスワードの保管場所や暗号資産の財布（ウォレット）を探していたと報じられています。この件は、Collabora自身の公告まではこの記事の執筆時点で確認できていないため、細かい版の情報は、Nextcloudの管理画面のアプリ一覧と、Collaboraの公式情報で必ず確かめてください。

Nextcloudを自宅で動かしている人は、管理画面の「アプリ」でBuilt-in CODE Serverの版を確かめ、更新があれば入れてください。文書の編集機能を使っていないなら、このアプリを無効にするのがいちばん確実です。NextcloudはPlexと同じく、家族の写真や書類が集まる場所なので、乗っ取られたときの影響はとても大きくなります。

FortiGateの潜伏型マルウェアPEERSTITCHと、管理者権限が要る欠陥の怖さ

10月16日にBeyondTrustと並んでKEVに追加されたのが、Fortinet（フォーティネット）の複数の製品に関わるCVE-2025-61624です。Fortinetのファイアウォール「FortiGate（フォーティゲート）」は、日本の企業や自治体でも非常に多く使われています。

報道によると、この欠陥は、FortiOS（FortiGateの中で動くOS）などのコマンドの入力を受け付ける部分のパストラバーサル（「../」のような書き方で、決められたフォルダの外のファイルに触れてしまう欠陥）で、十分な権限を持つ管理者が、任意のファイルを書いたり消したりできてしまうものです。CVSSは5.4と低めで、Fortinetの公告はFG-IR-26-122、公開は2026年4月とされます。修正版としてFortiOS 7.4.10と7.6.5が挙げられています。

「管理者しか使えない欠陥なら、危険は小さいのでは」と思うのが普通です。ところが、Palo Alto NetworksのUnit 42の報告を紹介した報道によれば、この欠陥は、通信事業者向けにネットワークの運用を請け負う会社への侵入で、FortiGateの中に「PEERSTITCH（ピアステッチ）」と名付けられたマルウェアを仕込むために使われていました。

攻撃者はまず、複数のFortiGateをまとめて管理する「FortiManager」の別の欠陥（CVE-2024-47575）を使い、500台を超えるFortiGateの設定や認証情報を盗み出したとされます。管理者の認証情報を盗んでしまえば、「管理者しか使えない欠陥」は攻撃者にも使えるようになります。

報道によれば、PEERSTITCHは機器のメモリの上だけで動き、FortiOSの正規のプログラム（記録やVPNの処理をするもの）に入り込みます。自分で待ち受けの出入口を開けたり、外へ通信を始めたりせず、正規のプログラムの通信に紛れて指示を受けるため、見つけるのが非常に難しいとされています。この件はUnit 42の報告そのものをこの記事の執筆時点で確認できていないため、侵入の時期や攻撃者の名前は資料によって違う点に注意してください（2024年9月の侵入とする資料もあります）。

FortiGateを使っている会社がやることは、FortiOSを修正版以上に上げること、管理画面（HTTPSやSSHの管理用の出入口）をインターネットから開けないこと、FortiManagerやFortiAnalyzerなど管理の仕組みの側も最新にすること、そして、管理者アカウントのパスワードや、設定に含まれるVPNの共有の合言葉などを、漏れた前提で見直すことです。保守を外部の会社に任せている場合は、どの版で動いているか、今回の公告への対応がどうなっているかを、担当者に問い合わせてください。

立場別にやること：自宅サーバーの人から会社のIT担当者まで

ここまでの17件を、自分に関係のあるものだけ拾えるように、立場ごとに整理します。KEVに載る製品の多くは企業向けですが、Plex、Nextcloud（Collabora）、Windowsのように、個人の家にあるものも含まれています。

自宅でサーバーを動かしている人へ

自宅のサーバーは、会社のサーバーと違って、見張っている人がいません。Plex2Shellの件で、修正版が出てから2か月半たっても、インターネットから見えるPlexの約3割が古いままだったのは、その表れです。自宅のサーバーについては、次の3つを習慣にしておくと、今回のような件の大半を防げます。

• 外から届く必要のあるものを減らす。ルーターのポート開放とUPnPを見直し、外から使いたいものは、Tailscaleのような自分の機器だけをつなぐVPN経由にする。
• 自動更新を有効にできるものは有効にし、NASやDockerのように手動の更新が要るものは、月に一度、版を確かめる日を決める。
• ひとつのサーバーにいろいろなものを置きすぎない。Plexを動かす機械に、ほかのサービスのパスワードや大事な書類を置かない。共有フォルダは、Plexには読み取りだけを許すようにする。

会社でIT機器を管理している人へ

会社の担当者にとって、今回の一連の件からの教訓は「更新は始まりで、終わりではない」ということです。BeyondTrust、Ivanti、SiteGuard、Arista、Fortinetのいずれも、修正の前から攻撃が始まっていたか、更新しても侵入の痕跡は消えないと明言しています。作業の順番は、おおむね次のようになります。

1. KEVと各ベンダーの公告を見て、自社にある製品と版を洗い出す。保守を外部に任せている機器も含める。
2. 修正の前に、機器の記録や診断情報、仮想マシンのスナップショットを保存する。機器の外にある記録（ファイアウォール、WAF、ログ集約の仕組み）も確保する。
3. 修正版に上げる。修正が出ていない欠陥（今回ならIvantiの権限昇格）は、ベンダーの回避策と監視の強化で補う。
4. 保存した記録と、ベンダーや調査会社が示した手がかりで、侵入の痕跡を探す。
5. 侵入が疑われれば、掃除ではなく作り直しを選び、そのあとで認証情報を作り直す。
6. 管理画面をインターネットから開けないようにし、閲覧専用を含めた外部向けのアカウントを棚卸しする。

KEVのデータは、CISAのサイトからCSVやJSONの形式で誰でも取得できます。たとえば curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json で取得し、jqのような道具で自社の製品名を含む項目だけを抜き出せば、毎朝の確認を自動にできます。KEVに載るのは「実際に悪用されている」ものだけなので、届く件数は多くありません。社内の機器の一覧と突き合わせる仕組みを一度作っておくと、今回のように連日追加が続く時期でも慌てずに済みます。

欠陥の見方を体系的に学ぶ本

今回のPlex2Shellのように、SSRFやファイルの書き込み、コマンドインジェクションといった「よくある欠陥」がつながって大きな被害になる流れは、Webアプリケーションやサーバーの欠陥の種類を一度体系的に知っておくと、ずっと読みやすくなります。

そのための本として、SBクリエイティブの『体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 ―脆弱性が生まれる原理と対策の実践』（徳丸浩 著、2018年）を紹介します。書店に載っている目次によると、次のような特徴があります。

• 第4章で、SQLインジェクションやクロスサイト・スクリプティングに加えて、「ファイルアクセスにまつわる問題」「OSコマンド呼び出しの際に発生する脆弱性」「ファイルアップロードにまつわる問題」に節を立てています。Plex2Shellで連鎖した、ファイルの書き込みとコマンドの実行がなぜ起きるのかを、原理から追えます。
• 第2版で新しく加わった第7章「脆弱性診断入門」では、Nmapによるポートスキャン、OpenVASによるプラットフォームの脆弱性診断、OWASP ZAPによる診断を扱っています。自宅や社内のサーバーで、外から何が見えているかを確かめる手順として、この記事の内容とそのままつながります。
• 脆弱なサンプルアプリケーション（Bad Todo）を手元で動かしながら学ぶ構成で、診断を行う際の注意点や、診断報告書のサンプルまで載っています。
• 2018年の刊行なので、SSRFのような比較的新しく注目された欠陥を名前で扱った節は目次にありません。それでも、欠陥が生まれる仕組みと対策の考え方は今も通用します。

体系的に学ぶ 安全なWebアプリケーションの作り方 第2版をAmazonで見る

本に書かれている診断の手法は、自分の機器か、許可を得た環境でだけ試してください。他人のサーバーに無断でポートスキャンや診断をかけると、それ自体が問題になります。

本で仕組みを知っておくと、ベンダーの公告に並ぶ「SSRF」「パストラバーサル」「OSコマンドインジェクション」といった言葉が、自分の環境でどういう意味を持つのかを判断しやすくなります。とはいえ、本より先にやるべきことは、この記事の表に出てきた製品が自分の手元にないかを確かめることです。

まとめ

10月13日から23日までの間に、CISAのKEVカタログには17件の脆弱性が追加されました。主なものは次のとおりです。

• 家庭のメディアサーバーPlex Media Serverの4件の連鎖「Plex2Shell」
• 8月下旬から中国系とされるARMORY CASTLEに悪用されていたBeyondTrust Remote Support
• 権限昇格の欠陥がまだ直っていないIvanti Connect Secure
• 国内で広く使われるWAFのSiteGuard Server Edition
• ClickFixの手口に使われたSiemens Software Center
• Mark of the Webをすり抜けるWindowsの欠陥
• 閲覧専用のアカウントから司令塔を握れるArista VeloCloud Orchestrator
• Nextcloudに入れるCollabora Online
• FortiGateの潜伏型マルウェアPEERSTITCHに使われたFortinetの欠陥など

どの件にも共通しているのは、KEVに載った時点では攻撃がすでに始まっていて、修正版を入れただけでは攻撃者が残したものは消えない、という点です。修正の前に記録を保存し、修正したあとに痕跡を確かめ、疑わしければ作り直してから認証情報を変える、という順番を覚えておいてください。

自宅でPlexやNextcloudを動かしている人は、まず版を確かめ、外から届く必要のないものは閉じることから始めてください。会社の担当者は、KEVを社内の機器の一覧と突き合わせる仕組みを作っておくと、次に同じような週が来たときに落ち着いて動けます。

出典

• CISA Known Exploited Vulnerabilities Catalog
• CISA CISA Adds Two Known Exploited Vulnerabilities to Catalog（10月13日）
• CISA CISA Adds Four Known Exploited Vulnerabilities to Catalog（10月14日）
• CISA CISA Adds One Known Exploited Vulnerability to Catalog（10月15日）
• CISA CISA Adds Two Known Exploited Vulnerabilities to Catalog（10月16日）
• CISA CISA Adds Six Known Exploited Vulnerabilities to Catalog（10月20日）
• CISA BOD 26-04 Implementation Guidance: Prioritizing Security Updates Based on Risk
• Plex Forum Important Security Update for Plex Media Server v1.43.2 and earlier
• Censys Plex Media Server Remote Code Execution Chain
• Field Effect Active exploitation of Plex2Shell vulnerabilities
• code-zm plex2shell（発見者のリポジトリ）
• CISA CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support
• BeyondTrust Security Advisory BT26-05
• Google Threat Intelligence ARMORY CASTLE Exploits BeyondTrust
• Censys BeyondTrust Remote Support/Privileged Remote Access Zero-Day
• CISA CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure
• Volexity A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
• Rapid7 Ivanti Connect Secure zero-day exploited in the wild（CVE-2026-104935）
• JPCERT/CC SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起
• JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性
• EGセキュアソリューションズ SiteGuard Server Edition 脆弱性に関するお知らせ
• BleepingComputer Hackers exploit SiteGuard WAF flaw to run commands as admins
• CISA ICS Advisory ICSA-26-295-03 Siemens Software Center
• Infosecurity Magazine Siemens Customers Targeted by ClickFix Attackers Exploiting DLL Side-Loading Flaw
• Tenable Microsoft’s October 2026 Patch Tuesday Addresses 1,407 CVEs（CVE-2026-96951）
• Arista Security Advisory 0199
• BleepingComputer Arista patches actively exploited VeloCloud Orchestrator zero-day（7月、CVE-2026-16812）
• The Hacker News CISA Flags Two Actively Exploited Critical Flaws in Collabora Online and Arista VeloCloud
• SecurityWeek Exploited Fortinet Bug Linked to Stealthy FortiGate Implant in Telecom Hack

※この記事の内容は、2026年10月24日時点で公表されている情報をもとにしています。