米CISAがKEV更新、企業ネットワークに影響する重要脆弱性へ緊急対応要請

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、FortinetやMicrosoft、Adobe製品などに存在する6件の脆弱性を「Known Exploited Vulnerabilities（KEV）」カタログへ追加したと発表しています。いずれも実際の攻撃で悪用が確認されていると報告されており、企業や政府機関に対して早急な対応が求められています。特にFortiClient EMSやMicrosoft Exchange Serverなど、広く利用される製品が含まれている点が懸念されています。
The Hacker News：CISA Adds 6 Known Exploited Flaws in Fortinet, Microsoft, and Adobe Software

この記事のポイント

影響のあるシステム

Fortinet FortiClient EMS（CVE-2026-21643）
Adobe Acrobat Reader（CVE-2020-9715）
Microsoft Windows CLFS Driver（CVE-2023-36424）
Microsoft Exchange Server（CVE-2023-21529）
Windows Tasks Host Process（CVE-2025-60710）
Microsoft Visual Basic for Applications（CVE-2012-1854）

推奨される対策

FortiClient EMSの脆弱性パッチを期限（2026年4月16日）までに適用する
FCEB機関向け要請期限（2026年4月27日）に準拠した迅速な更新管理
Microsoft Exchange Serverの最新セキュリティ更新プログラム適用
Adobe Acrobat Readerの最新版へのアップデート
不審なHTTPリクエストや認証済み攻撃のログ監視強化
レガシーVBA環境の利用状況確認とリスク低減

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

CVE：共通脆弱性識別子。個別のセキュリティ脆弱性を識別するための番号です。
KEVカタログ：CISAが実際に悪用が確認された脆弱性をまとめたリストです。
SQLインジェクション：不正なSQL文を注入し、データベースを操作する攻撃手法です。
Use-after-free：解放済みメモリを再利用することで任意コード実行などを引き起こす脆弱性です。
Deserialization：不正データの復元処理を悪用する攻撃手法です。
CLFSドライバ：Windowsのログ管理機能を担うカーネルコンポーネントです。
VBA：Microsoft Officeで利用されるマクロ言語です。

確認された攻撃と影響範囲

今回CISAがKEVカタログへ追加した6件の脆弱性はいずれも、すでに実際の攻撃で悪用が確認されている点が重要です。特にFortinet FortiClient EMSのSQLインジェクション脆弱性（CVE-2026-21643）は、認証を必要とせずHTTPリクエストを通じて不正コード実行が可能とされており、ネットワーク境界防御を突破されるリスクがあります。またMicrosoft Exchange Serverの脆弱性（CVE-2023-21529）は、認証済み攻撃者によるランサムウェア配布に利用されたと報告されています。さらにAdobe Acrobat ReaderやWindowsの古いVBA関連の脆弱性も含まれており、複数レイヤーでの攻撃が成立する状況が懸念されています。これらは企業ネットワークだけでなく、リモートワーク環境やクラウド連携システムにも影響する可能性があります。

脆弱性の技術的概要と悪用状況

各脆弱性の技術的な性質を見ると、SQLインジェクションやuse-after-free、out-of-bounds read、deserializationなど、典型的ながらも依然として危険性の高い攻撃手法が並んでいます。特にメモリ破壊系の脆弱性は、リモートコード実行や権限昇格につながるケースが多く、攻撃チェーンの起点として悪用されやすい特徴があります。またMicrosoftはCVE-2023-21529について、Storm-1175と呼ばれる攻撃グループがMedusaランサムウェアの配布に利用していると明らかにしています。一方でCVE-2026-21643についても、2026年3月以降に攻撃試行が観測されているとされており、すでに広く悪用が進行している状況である可能性が指摘されています。これらの情報は、既存のパッチ適用状況だけでなく、ログ監視や侵入検知の強化が重要であることを示しています。

国内組織が直ちに確認すべき点

日本企業においては、まずFortiClient EMSやMicrosoft Exchange Serverなど、該当製品の利用有無を早急に棚卸しすることが重要と考えられます。その上で、CISAが設定した期限に基づき、Fortinetの脆弱性については2026年4月16日までに修正を完了させる必要があるとされています。また、MicrosoftやAdobe関連の更新も含め、統一的なパッチ管理プロセスの見直しが求められます。加えて、既に悪用が確認されている脆弱性が含まれるため、侵入後の横展開を想定したログ監視やEDRの強化も重要です。特にExchange Serverのような外部公開システムは、攻撃対象になりやすいため優先的な対応が望まれます。レガシー環境であるVBAの利用状況についても、業務上の必要性を再評価し、リスク低減策を検討することが現実的な対応といえます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
Hack The Box Business CTF 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）