新レポート「InfraTrust」、管理者が最優先で対応すべきインフラの脆弱性を公開

Eclypsiumは、インフラ、ファームウェア、ネットワーキング、エッジデバイスに影響する脆弱性の優先順位付けを組織が行えるよう支援する新しいインフラサイバーセキュリティのナレッジベース「InfraTrust」と、月次レポート「InfraTrust Pulse」を立ち上げました。

この月次レポートは主要インフラベンダーからのセキュリティアドバイザリを集約し、深刻度スコアだけでなく、脆弱性の悪用可能性、露出度、実際のリスクを基準に管理者が優先すべき脆弱性を明らかにするものです。

Eclypsiumの主任セキュリティ研究者であるPaul Asadoorian氏による初回の2026年7月版InfraTrust Pulseでは、14社のベンダーから発行された61件のインフラアドバイザリを追跡しており、そのうち6件がクリティカルなアドバイザリで、26件はリモートから認証なしで悪用可能な脆弱性でした。

同レポートでは、実際に悪用が確認されている脆弱性や、CISAのKnown Exploited Vulnerabilities(KEV)カタログに掲載されている脆弱性を含むアドバイザリについても取り上げています。

また、Eclypsiumは組織がCVSSスコアだけに頼るのではなく、悪用可能性、到達可能性、露出度を基準に脆弱性の優先順位を付けるべきだと主張しています。

こうしたインフラセキュリティへの注目の高まりは、ロシアや中国の国家支援型脅威アクターが脆弱なネットワークエッジデバイスを標的にする動きを強めていることを背景としています。

近年、攻撃者はルーター、VPN、ファイアウォールといったインターネットに公開されたインフラの脆弱性を繰り返し悪用し、Volt TyphoonやSalt Typhoonなどの国家支援型ハッキンググループによるものとされるキャンペーンを含め、重要インフラや通信事業者への侵害に成功しています。

最優先でパッチを適用すべき対象

このレポートでは、インターネットに公開されたインフラに影響する、既に悪用されている、あるいは認証なしでリモートから侵害され得るといった理由から、管理者が優先すべき複数のアドバイザリを取り上げています。

以下は、実際の悪用状況、露出度、侵害された場合の潜在的な影響を踏まえてEclypsiumが管理者に優先対応を勧めているインフラアドバイザリです。

SonicWallのケースでは、攻撃者がCVE-2026-15409およびCVE-2026-15410として追跡されているSMA1000の脆弱性を悪用し、SonicWallが脆弱性を公表し、CISAのKnown Exploited Vulnerabilities(KEV)カタログに追加される数週間前から、独自のマルウェアをインストールしていたことが分かっています。

Fortinet FortiSandboxのアドバイザリ(FG-IR-26-100 / FG-IR-26-141)には、CVE-2026-39808およびCVE-2026-25089として追跡されている、比較的古いクリティカルなコマンドインジェクション脆弱性2件が含まれています。これらの脆弱性は2026年4月と2026年6月に開示されたものですが、悪用が検知された後、7月16日にCISAのKEVカタログに追加されました。

これらのアドバイザリは30日間のレポート対象期間中に公開されたものではありませんが、組織がまだパッチを適用していなかったり、攻撃にさらされていることに気づいていなかったりする可能性があるため、Eclypsiumはあえて取り上げています。

Eclypsiumは次のように説明しています。「これら2件のFortinet CVEは、当社の30日間の対象期間が始まる前に公開されたアドバイザリに含まれるものです。それでも取り上げているのは、CISAが2026年7月16日にこの両方をKnown Exploited Vulnerabilitiesカタログに追加し、BOD 26-04のもとで連邦機関に対する修復期限を7月19日に設定したためです」

Dellのアドバイザリ(DSA-2026-240およびDSA-2026-317)は、EMC Networking OS10とSmartFabric Managerにおけるクリティカルな脆弱性に対応するものです。Eclypsiumは、OS10のアドバイザリだけでも数百件のアップストリーム修正が含まれていると指摘しており、ネットワークOSが攻撃対象領域の大きい完全なLinuxディストリビューションであることを示しています。

F5 BIG-IPのアドバイザリ(K000153397)は、インターネットに公開されたアプリケーション配信コントローラー(ADC)とロードバランサーに影響するクリティカルな認証不要脆弱性に対応するものです。Eclypsiumは、これらの機器が企業ネットワークのエッジに位置することが多く、攻撃者にとって魅力的な標的になっていると指摘しています。

Juniper Networksのアドバイザリ(JSA110083およびJSA110086)は、対象のルーターやスイッチをクラッシュさせ、ネットワークの可用性を損なう可能性がある、Junos OSにおけるリモートから悪用可能な脆弱性に対応するものです。

NVIDIAのアドバイザリ(NVIDIA Security Bulletin 5865)は、AIおよびデータセンターインフラで使用されるBlueField DPUとConnectX SmartNICにおける脆弱性に対応するものです。

Eclypsiumはファームウェアやハードウェアの脆弱性にも言及し、これらのコンポーネントの更新はハードウェアベンダーによる統合・配布に依存するため、アップストリームのセキュリティ修正から遅れることが一般的だと警告しています。

その一例として、HPのPoly Videoに関するアドバイザリは、同梱されていたQualcomm製GPUドライバーの脆弱性(CVE-2026-21385)がすでに攻撃に悪用され、CISAのKnown Exploited Vulnerabilities(KEV)カタログに追加されてから4カ月後に公開されました。

個々のCVEを数える多くの脆弱性まとめとは異なり、InfraTrustはベンダーのアドバイザリ単位で追跡しています。これは、1件のインフラアドバイザリに数十件、時には数百件もの脆弱性が含まれ得るためです。

7月版のレポートにはクリティカルなアドバイザリが6件含まれる一方、リモートから認証なしで悪用可能な脆弱性も26件確認されています。CVSSスコアが低くてもインターネットから到達可能な脆弱性は、攻撃者にローカル管理者権限を要求する高スコアの脆弱性よりも組織にとって大きなリスクとなり得ると同レポートは指摘しています。

2026年7月版インフラ脆弱性リファレンス

以下は、Eclypsiumが初回の2026年7月版InfraTrust Pulseレポートで追跡した、61件のインフラアドバイザリの全リストです。

この表には、影響を受けるベンダーおよび製品、アドバイザリ識別子、深刻度、実際に悪用されている脆弱性が含まれるかどうか、そしてその重要性についての簡単な説明が記載されています。