高柳ヤヨイ|次世代デザイン

【情シス・CSIRT担当者の方へ】 今週もセキュリティ更新の確認対象がかなり多いです。 Chrome、Microsoft、Fortinet、Zoom、Synology。 これだけ重なると、どれから対処すべきか迷うと思います。 ただ、今回は実際の攻撃で悪用が確認されているものと、まだ悪用が確認されていない重大脆弱性を分けて考えたいです。 CVSSの数字だけでなく、「実悪用の有無」「外部から到達できるか」「自社に対象製品があるか」を基準に優先順位を付けてください。 ■ 1. Chrome：実悪用が確認されたゼロデイ CVE-2026-125350は、ChromeのXML処理に存在するUse-after-freeの脆弱性です。 Googleは実際の攻撃で悪用されていることを確認しています。 通常のStable版では、Windows・macOSは157.0.8103.50/.51、Linuxは157.0.8103.50で修正されています。 社内端末のブラウザー更新は、インストール済みバージョンの把握だけでなく、更新後の再起動まで確認してほしいです。 特に長期間スリープしているノートPCや、管理外の端末が残りがちです。 rocket-boys.co.jp/security-m… ■ 2. Microsoft：Outlookゼロデイの実悪用 11月の月例セキュリティ更新では、OutlookのCVE-2026-124194が実際の攻撃で悪用されていることが明らかになりました。 CVSSは6.5ですが、実悪用があるため、単純にスコアだけで後回しにしたくない脆弱性です。 Windows Search、LDAP、Active Directory関連でも重大な脆弱性が修正されています。 Outlook・Officeの更新だけでなく、ドメインコントローラーやWindows Serverの対象バージョンも照合してください。 更新の配布成功と、実際に修正版が稼働していることは別です。 WSUSやIntuneのステータスだけで終わらず、再起動待ち・更新失敗端末を洗い出したいところです。 rocket-boys.co.jp/security-m… ■ 3. Fortinet：管理基盤の乗っ取りにつながる恐れ FortiOS、FortiManager、FortiAnalyzerなどに複数の重大脆弱性が公表されました。 CVE-2026-126170はCVSS 9.8。 FortiManagerやFortiAnalyzerのJSON-RPC APIが有効で、攻撃者がアクセスできる場合、認証なしで任意のコードやコマンドを実行される恐れがあります。 このほか、FGFM、OFTP、OSPF、HAなどに関わる問題もあります。 Fortinet製品を導入している企業では、管理画面の公開有無だけで判断せず、各サービスの通信経路や有効な機能を確認してください。 一部の修正版は提供予定とされているため、製品ごとのアドバイザリと暫定回避策の照合も必要です。 rocket-boys.co.jp/security-m… ■ 4. Zoom Workplace：Windows版にCVSS 9.6 CVE-2026-108186は、Windows版Zoom Workplaceの権限昇格につながる脆弱性です。 認証不要でネットワーク経由の悪用が想定されていますが、攻撃成立には利用者の操作が必要と評価されています。 修正版は7.1.8以降。 あわせてCVE-2026-108187も修正されています。 Zoomは日常的に利用するアプリケーションだけに、部門ごとの独自インストールや、MSI配布端末の更新漏れにも注意が必要です。 rocket-boys.co.jp/security-m… ■ 5. Synology：DSMにCVSS 9.8の脆弱性 Synology DiskStation Managerでも、CVE-2026-76954などの脆弱性が修正されています。 CVE-2026-76954は、認証不要のネットワーク経由の攻撃で、任意ファイルの読み書きなどにつながる恐れがあります。 NASは日常業務で意識されにくい一方、共有ファイルやバックアップを保存しているケースもあります。 DSMのバージョン、外部公開の有無、不要なサービスの稼働状況を確認し、該当する修正版へ更新してください。 ■ 今週の対応優先順位 まずは実悪用が確認されたChromeとOutlook。 次に、外部から到達可能なFortinetの管理・通信サービス、Synology DSM。 そのうえでZoomを含む社内端末の更新を進める、という順番が一つの考え方です。 もちろん、実際には自社の利用状況とネットワーク構成で優先順位は変わります。 もう一つ確認してほしいのが、更新した台数ではなく、未更新のまま残っている端末やシステムです。 100台中99台を更新していても、残った1台が外部公開サーバーならリスクは小さくありません。 今週は情報量が多いですが、すべてを同じ優先度で扱うのではなく、実悪用・到達性・影響範囲を確認しながら、一つずつ対応していきたいところです。 #情シス #CSIRT #脆弱性情報 #セキュリティ対策