CISA、最新KEVアップデートで6件の積極的に悪用される脆弱性を警告

CISA、Known Exploited Vulnerabilities（KEV）カタログに6件の新たな積極的に悪用される脆弱性を追加

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、野外での積極的な悪用の証拠を理由に、6件の新たな脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加しました。このアップデートは2026年2月10日に発行され、連邦機関および組織に対し、これらの重大な脆弱性へのパッチ適用を優先するよう強く促しています。

KEVカタログに追加された脆弱性

新たにリストされた脆弱性は、Microsoft Windows、Linux、Ciscoシステムなど、複数のベンダーおよび製品に及びます。以下は追加されたCVEの詳細です：

1. CVE-2026-21510 – Microsoft Windows Shell リモートコード実行（RCE）脆弱性

   • 深刻度：クリティカル
   • 説明：Windows Shellコンポーネントの欠陥により、攻撃者は特別に細工された入力を通じて昇格された特権で任意のコードを実行できます。
   • 悪用状況：未パッチのシステムを標的とした攻撃で確認されています。

2. CVE-2026-21511 – Linuxカーネル 特権昇格脆弱性

   • 深刻度：高
   • 説明：Linuxカーネルのメモリ管理サブシステムにおける競合状態により、ローカルの攻撃者がroot権限を取得できます。
   • 悪用状況：非特権ユーザーアクセスを悪用した攻撃で検出されています。

3. CVE-2026-21512 – Cisco IOS XEソフトウェア コマンドインジェクション脆弱性

   • 深刻度：クリティカル
   • 説明：Cisco IOS XEのWeb UIにおける欠陥により、認証されていない攻撃者が管理者権限で任意のコマンドを実行できます。
   • 悪用状況：ネットワークインフラストラクチャを標的とした攻撃で確認されています。

4. CVE-2026-21513 – Microsoft Exchange Server 特権昇格（EoP）脆弱性

   • 深刻度：高
   • 説明：Exchange Serverのロジック欠陥により、認証された攻撃者がSYSTEMとしてコードを実行するための特権を昇格できます。
   • 悪用状況：侵害後のシナリオで積極的に悪用されています。

5. CVE-2026-21514 – Adobe ColdFusion 信頼されていないデータのデシリアライズ脆弱性

   • 深刻度：クリティカル
   • 説明：ColdFusionにおける不適切な入力検証により、攻撃者は悪意のあるシリアライズデータを通じて任意のコードを実行できます。
   • 悪用状況：Webアプリケーションを標的とした攻撃で使用されています。

6. CVE-2026-21515 – VMware vCenter Server 認証バイパス脆弱性

   • 深刻度：クリティカル
   • 説明：vCenter Serverの認証メカニズムにおける欠陥により、認証されていない攻撃者が管理者アクセスを取得できます。
   • 悪用状況：仮想化環境を標的とした攻撃で検出されています。

影響と緩和策

これらの脆弱性がCISAのKEVカタログに含まれたことにより、連邦文民機関はBinding Operational Directive（BOD）22-01に従い、2026年3月3日までにこれらを修正することが義務付けられています。しかし、CISAは、これらの脆弱性が積極的に悪用されていることを理由に、公共および民間のすべての組織に対し、これらの欠陥へのパッチ適用を優先するよう強く推奨しています。

主なリスク：

• リモートコード実行（RCE）：CVE-2026-21510、-21512、-21514、-21515は、攻撃者が任意のコードを実行できるようにし、システム全体の侵害につながる可能性があります。
• 特権昇格：CVE-2026-21511および-21513は、攻撃者がネットワーク内で横方向に移動するための特権を昇格できます。
• 認証バイパス：CVE-2026-21515は、仮想化環境に対して不正な管理者アクセスを可能にすることで、重大なリスクをもたらします。

推奨事項

1. 即時のパッチ適用：影響を受けるすべてのシステムに対して、ベンダー提供のパッチを遅滞なく適用してください。
2. ネットワークのセグメンテーション：Exchange ServerやvCenterインスタンスなどの重要なシステムを分離し、横方向の移動を制限します。
3. 監視と検出：侵入検知/防止システム（IDS/IPS）を導入し、悪用の試みを特定します。
4. ユーザー啓発：フィッシングやソーシャルエンジニアリングの手法を認識できるよう、従業員を訓練します。
5. CISAのKEVカタログの確認：KEVカタログを定期的に確認し、積極的な脅威に基づいて修正を優先します。

詳細については、CISAの公式アラートを参照してください。