何が起きたか
米国のサイバーセキュリティ機関 CISA は、既知の悪用された脆弱性(KEV) カタログに、10年以上前のものを含む 古い 脆弱性5件を追加しました。Security Affairs によると、これは中国を拠点とするサイバーセキュリティ企業 Integrity Technology Group に関係する攻撃者の活動について、日本を含む7か国(オーストラリア、カナダ、ニュージーランド、スペイン、英国、米国)が出した 共同勧告 と同時期です。
5つの脆弱性
| CVE | 製品 | 種類 | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | アクセス制御(SITE CPFR/CPTO コマンド)でファイルの読み書きが可能 | 10.0 |
| CVE-2021-3199 | ONLYOFFICE Docs | JWT 有効時のパストラバーサル、コード実行の恐れ | 9.8 |
| CVE-2016-3081 | Apache Struts | Dynamic Method Invocation 有効時の method: によるコマンドインジェクション | 8.1 |
| CVE-2015-5477 | ISC BIND | TKEY クエリによるサービス拒否 | 7.5 |
| CVE-2023-22894 | Strapi | 管理画面のクエリフィルターによる機密情報の露出 | 7.2 |
Security Affairs によると、活動ではこの5件を含む計 8件の脆弱性 で初期侵入と情報窃取が行われました。スキャンツール、XSS、Microsoft Exchange へのパスワードスプレー、アクセス維持のための VPN、メールや認証情報を抜き出すスクリプトも使われています。
ツールの押収
米司法省と FBI は同社によるとされる 2つのツールを押収 しました。脆弱なシステムを探す Microscan と、スピアフィッシングでマルウェアを送り込みファイルを盗む FishHub です。複数国の重要インフラなどに使われたと報じられています。
米連邦機関の修正期限は 2026年10月11日 でした。
なぜ2015年の脆弱性が今も問題か
忘れられたサーバーが動き続けている からです。古い FTP、更新されていない社内 DNS、レガシーな Struts アプリなど。自動スキャンはこうしたシステムを大規模に見つけます。日本が勧告に加わったことは、日本企業も標的であることを示しています。
中小企業向けチェックリスト
- 公開資産の棚卸し: 古い「一時的な」サーバーも含め、インターネットから到達できるものをすべて洗い出す。
- 上記5製品のバージョン確認 と更新、または停止。
- Exchange: MFA 有効化、レガシー認証の遮断、パスワードスプレーの監視。
- スピアフィッシング訓練。
- CISA の KEV カタログ を、米国外でもパッチ優先度リストとして活用。
出典
- Security Affairs(2026年10月11日):https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- CISA KEV カタログ:https://www.cisa.gov/known-exploited-vulnerabilities-catalog
自社の攻撃対象領域を把握し、減らしたいですか?KGA IT は無料相談を受け付けています:kga-it.com