今週のインシデント概観
2026年4月第4週は、エンドポイント防御の要であるMicrosoft Defenderの脆弱性がCISAのKEVカタログ1に追加された週として記憶されることになりました。同時期にリモート監視管理（RMM）ツールの深刻な欠陥を悪用したランサムウェア拡散、産業用制御システム（ICS）の認証バイパス、そして8件もの既知脆弱性がKEVカタログに一挙追加されています。攻撃対象が組織の「信頼された基盤」に集中しているという点が、今週の最大の特徴です。
事例：Microsoft Defender に「アクセス制御の粒度不足」が発覚
CVE-2026-33825 として識別されるこの脆弱性は、Microsoft Defender のアクセス制御実装における粒度不足（Insufficient Granularity of Access Control）です。CISAは2026年4月22日にKEVカタログへ追加し、連邦機関に対して修正期限を設定しました。出典
何が問題だったか。 Defenderは多くの組織で「最後の砦」として機能するエンドポイント保護製品です。その製品自体のアクセス制御が不十分であれば、攻撃者は他のセキュリティ機能を回避したり、保護範囲を縮小させる操作を行ったりできる可能性があります。KEVカタログへの追加は「野生での悪用が確認された」ことを意味しており、理論上の脅威ではありません。
対策。 Windows UpdateまたはMicrosoft Updateを通じた最新パッチの即時適用が最優先です。Defender管理ポリシーが意図した権限スコープで動作しているかをMicrosoft IntuneやMicrosoft 365 Defenderポータルで確認してください。また、エンドポイントのセキュリティ製品に対する変更ログを定期的に監査する運用ルールの整備を推奨します。
事例：Bomgar RMMの脆弱性悪用がサプライチェーン全体に波及
CVE-2026-1731は、Bomgar（BeyondTrust）製のRMMツール2にあるリモートコード実行（RCE）の脆弱性です。ダークリーディングの報告によれば、この欠陥を悪用したランサムウェアキャンペーンが急増しており、被害はBomgärを利用するITサービスプロバイダー（MSP3）経由でその顧客企業にまで連鎖しています。出典
何が問題だったか。 RMMツールはMSPが複数顧客の環境を一元管理するために使われます。攻撃者がこのツールに足がかりを得ると、そのMSPと契約しているすべての顧客企業が感染源となり得るという構造的リスクがあります。いわゆる「サプライチェーン型ランサムウェア」の典型的なパターンであり、自社にBomgar導入実績がなくても、委託先のMSPが使用していれば被害を受けるおそれがあります。
対策。 まず自社が契約しているMSPや外部IT管理サービスで使用しているRMMツールを一覧化し、CVE-2026-1731の対象バージョンに該当しないか確認します。該当する場合は即時パッチ適用またはツールの一時的な使用停止をMSPに要求してください。あわせてMSPとのセキュリティ要件を定めた契約条項（SLAやセキュリティ付属契約）の見直しも検討が必要です。
事例：CISA、8件の脆弱性を一括追加——PaperCut・TeamCity・Zimbraが対象に
CISAは2026年4月20日、KEVカタログに8件の脆弱性を一度に追加しました。出典 主な対象製品は以下のとおりです。
- PaperCut NG/MF（CVE-2023-27351）：認証バイパスによる不正アクセス
- JetBrains TeamCity（CVE-2024-27199）：パストラバーサルによるCI/CDパイプライン4侵害
- Kentico Xperience（CVE-2025-2749）：CMSへのパストラバーサル
- Zimbra Collaboration Suite（ZCS）（CVE-2025-48700）：クロスサイトスクリプティング
- Cisco Catalyst SD-WAN Manager（CVE-2026-20122）：権限昇格
何が問題だったか。 PaperCutは2023年にも大規模な攻撃が確認されており、3年以上経過した今も「修正されていない環境」が残存することが明らかになりました。TeamCityはCI/CDパイプラインへの侵入口として北朝鮮系APTグループなどが繰り返し標的にしています。ソフトウェア開発基盤やコラボレーション基盤が狙われると、コードへのバックドア埋め込みや認証情報の大量窃取につながります。
対策。 社内で利用しているSaaS・オンプレミスツールについて、KEVカタログとの突合チェックを定期運用として組み込んでください。特にPaperCut・TeamCity・Zimbraを利用している場合は、ベンダー提供の最新パッチを至急確認してください。
事例：Siemens 産業用エッジ管理システムに認証バイパス
CVE-2026-33892 は、Siemens Industrial Edge Management（IEM）に存在する認証バイパスの脆弱性です。未認証の遠隔攻撃者がリモート接続機能を経由して、IEMに接続された産業用エッジデバイスに不正アクセスできます。IEM Pro V1（1.7.6以上1.15.17未満）およびV2（2.0.0以上2.1.1未満）が対象です。Siemensは修正バージョンをリリース済みです。出典
何が問題だったか。 製造現場のOT（運用技術）環境は、ITネットワークと比べてパッチ適用が大幅に遅れる傾向があります。エッジ管理システムへの不正侵入は、生産ラインの停止や設備の誤動作にとどまらず、安全システムへの影響リスクを伴います。なお、同週にはゼロバイク（Zero Motorcycles）のファームウェアにBluetooth認証不備（CVE-2026-1354）も報告されており、IoT・OT機器全般でのセキュリティ管理強化が求められています。
対策。 Siemens IEMを使用している場合は修正バージョン（Pro V1は1.15.17以降、Pro V2は2.1.1以降）へ速やかに更新します。アップデートが困難な環境では、リモート接続機能を無効化するか、接続元IPを厳格に制限するネットワーク分離措置を暫定対応として実施してください。
共通する教訓
今週の事例に共通するのは、「信頼された管理ツールそのものが攻撃経路になる」という傾向です。Defender、RMMツール、CI/CDパイプライン、産業用エッジ管理——いずれも本来は防御や効率化のために導入した基盤です。こうした製品の脆弱性は、攻撃者にとって「正規の権限」をそのまま悪用できる好機を意味します。また既知の古い脆弱性が今なお悪用され続けている実態は、パッチ管理の形骸化が業界全体の課題であることを改めて示しています。
業種別影響
- 製造業（OT環境） Siemens IEMやZero Motorcyclesのケースが示すように、産業用エッジデバイスへの不正アクセスは生産停止リスクに直結します。ランサムウェアによる操業停止の平均被害コストは数千万〜数億円規模に及ぶケースもあり、パッチ適用計画を年次の設備保全スケジュールと連動させる体制が求められます。
- IT・SaaS／MSP事業者 BomgarのRMM悪用は、MSP事業者が複数顧客への「感染拡大装置」になりうることを示しています。顧客向けのSLAに加え、インシデント発生時の通知義務・対応期限を明文化したセキュリティ付属契約の整備が急務です。
- 公共・官公庁 CISA KEVカタログへの追加は連邦機関への拘束力を持ちますが、国内の自治体や独立行政法人でも同様の製品を使用しているケースがあります。PaperCutなどの印刷管理システムは庁内ネットワークに深く組み込まれているため、影響調査を優先してください。
一枚要約
| 内容 | |
|---|---|
| 何が起きているか | 管理ツール・セキュリティ製品・CI/CDパイプラインなど「信頼の基盤」を狙った脆弱性悪用が急増。新旧問わず既知CVEが実際に攻撃に使われている。 |
| 自社への影響 | Microsoft Defender・BomgarRMM・PaperCut・TeamCity・Zimbraのいずれかを使用または委託先が使用している場合、ただちに影響調査が必要。OT環境ではSiemens IEMも対象。 |
| 打つべき手 | ①自社利用製品とCISA KEVカタログの突合、②MSP・委託先のRMMツール確認、③OT機器パッチ適用計画の前倒しを今週中に着手する。 |
今日着手できる3アクション
1. CISA KEVカタログとの突合チェックを実行する
CISAが公開しているKEVカタログ（JSON形式）を https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json からダウンロードし、自社の脆弱性管理ツール（Tenable・Qualys・Rapid7など）の検出結果と照合します。多くのSCANツールはCISA KEV連携機能を標準搭載しています。Tenableであれば「Vulnerability Priority Rating（VPR）」フィルターでKEV該当CVEを絞り込めます。
2. 委託MSPへのRMMツール確認メールを送る
社内で管理しているMSP契約リストを棚卸しし、Bomgar（BeyondTrust Remote Support）の使用有無と、CVE-2026-1731へのパッチ適用状況を問い合わせます。回答期限を48時間以内と設定し、未回答のMSPへはエスカレーションする運用フローを今日中に回してください。
3. Microsoft Defenderのバージョンとポリシー整合性を確認する
Windows端末では `Get-MpComputerStatus` コマンド（PowerShell）でDefenderのバージョンを一括取得できます。Microsoft Intuneを使用している場合は「デバイス ＞ モニター ＞ ソフトウェア更新プログラム」画面で未適用パッチの端末数を確認し、強制更新ポリシーを即時プッシュしてください。
AI×セキュリティの観点
今週の事例で注目したいのは、RMMツール悪用の「自動化・スケールアップ」への懸念です。攻撃者はAIを用いてスキャン・侵入・ラテラルムーブメントを高速化しており、MSP経由の大量感染はその典型的な応用先になっています。防御側でもAIを活用した異常ふるまい検知（UEBA）の導入が有効ですが、AIシステム自体がCI/CDパイプライン（TeamCity等）と統合されている場合、パイプラインへの侵害がAIモデルの汚染にもつながるリスクがある点は見落とされがちです。
用語ミニ解説
- KEVカタログ（Known Exploited Vulnerabilities Catalog） — CISAが管理する「実際の攻撃で悪用が確認された脆弱性」の公式リスト。米連邦機関には修正が義務付けられており、民間企業の優先パッチ適用の判断基準としても広く活用されている。 ↩
- RMMツール（Remote Monitoring and Management） — ITサービスプロバイダー（MSP）が顧客企業の複数のPCやサーバーを遠隔から一元管理するためのソフトウェア。正規の高権限アクセス機能を持つため、侵害されると連鎖的に複数企業へ被害が広がるリスクがある。 ↩
- MSP（Managed Service Provider） — 企業のITインフラ運用を外部委託で請け負う事業者。自社にRMMツールを直接導入していなくても、委託先MSPが使用していれば脆弱性の影響を受ける「間接被害」が生じうる。 ↩
- CI/CDパイプライン（Continuous Integration／Continuous Delivery） — ソフトウェアのビルド・テスト・リリースを自動化する開発基盤。TeamCityはその代表的なツールであり、ここへの侵入はリリースするコードそのものへのバックドア埋め込みにつながる。 ↩
- ICS／OT（Industrial Control System／Operational Technology） — 製造ラインや電力・水道などのインフラを制御する産業用システムの総称。通常のITシステムと異なり稼働停止が許されない環境が多く、パッチ適用が数年単位で遅れるケースが珍しくない。 ↩
参考リンク
- CISA: CVE-2026-33825 Microsoft Defender Vulnerability Added to KEV
- Dark Reading: Surge in Bomgar RMM Exploitation Demonstrates Supply Chain Risk
- CISA: Eight Known Exploited Vulnerabilities Added to Catalog (2026-04-20)
- CISA ICS Advisory: Siemens Industrial Edge Management (ICSA-26-111-11)
- CISA ICS Advisory: Zero Motorcycles Firmware (ICSA-26-111-06)
- CISA Known Exploited Vulnerabilities Catalog (JSON Feed)
コメント