CISA、積極的に悪用されるWindows脆弱性CVE-2026-22433をKEVカタログに追加

CISA、積極的に悪用されるWindowsの脆弱性をKEVカタログに追加

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、CVE-2026-22433というMicrosoft Windowsの重大な脆弱性が野放しに悪用されている証拠を受け、Known Exploited Vulnerabilities（KEV）カタログに追加した。この追加は2026年2月24日に発表され、連邦機関および組織に対して利用可能なパッチを適用する緊急性を強調している。

技術的詳細

• CVE ID: CVE-2026-22433
• 影響を受けるソフトウェア: Microsoft Windows（バージョンおよびコンポーネントはまだ公開されていない）
• 脆弱性の種類: リモートコード実行（RCE）および権限昇格の可能性
• 悪用状況: 積極的な攻撃が確認されているが、具体的な脅威アクターや攻撃ベクターは未公開
• CVSSスコア: 未定（KEVカタログへの追加基準から高／重大と予想される）

CISAのKEVカタログは、既知の悪用により重大なリスクをもたらす脆弱性に関する権威あるリソースとして機能する。カタログへの掲載は、連邦文民機関に対して、Binding Operational Directive（BOD）22-01に基づき、今回の場合は2026年3月17日までに脆弱性を修正することを義務付けている。

影響分析

この脆弱性がリモートコード実行（RCE）の欠陥であり、権限昇格の可能性を持つことから、攻撃者が以下の行為を行う可能性が示唆される：

• 影響を受けるシステムへの不正アクセス
• 特権を持つ任意のコードの実行
• 侵害されたネットワーク内での横展開
• 追加のマルウェアやランサムウェアの展開

CISAは、CVE-2026-22433を悪用する具体的な攻撃キャンペーンの詳細を公開していないが、KEVカタログへの追加は、標的型または広範囲にわたる悪用の可能性が高いことを示している。

推奨事項

1. 即時のパッチ適用: Microsoft Windowsを使用している組織は、Microsoftから最新のセキュリティアップデートが公開され次第、優先的に適用すること。
2. 連邦機関の対応: 連邦文民機関は、BOD 22-01の要件に従い、2026年3月17日までに脆弱性を修正すること。
3. 脅威ハンティング: セキュリティチームは、この脆弱性に関連する侵害の痕跡（IoC）、特に異常なプロセス実行や権限昇格の試みを監視すること。
4. ネットワークセグメンテーション: パッチが適用されるまで、重要なシステムを隔離して露出を制限すること。
5. CISAのガイダンスの確認: 緩和策や悪用の詳細に関する最新情報については、CISAのKEVカタログエントリを参照すること。

CISAは、すべての組織に対して、悪用の試みや関連する不審な活動を報告ポータルに報告するよう呼びかけている。