セキュリティ
Adobeもパッチ祭りに参戦、こちらも即座の対応が必要です
読者の皆さん、脆弱性の大洪水がまたやって来ました。Microsoftは今月、自社製品における974件のCVEに対処する過去最多のパッチ数を提供しました。このうち2件はすでに悪用が確認されているとRedmondは明かしています。
9月の記録的なセキュリティ更新群は、Microsoftが8月に421件、7月に622件の修正を提供した後に続くものです。私たちはこの「新常態」を目の当たりにしてきましたが、正直感心してはいません。AIさん、余計なお世話です。
Microsoftの大量パッチ投下に加え、Adobeも火曜日に10件のセキュリティ情報を公開し、172件のCVEに対処しました。この中には、Magentoおよびその後継製品であるAdobe Commerceでゼロデイとして悪用された最高深刻度の脆弱性も含まれています。Adobeは月曜日に、この脆弱性(CVE-2026-75650、通称「StyleSmuggler」)に対するホットフィックスを提供しました。この脆弱性により、未認証の攻撃者がリモートでコードを実行できる状態になっていました。
StyleSmuggler
オンラインショップを運営している組織は、このパッチを最優先で適用してください。eコマースセキュリティ企業のSansecによれば、すでに店舗の侵害に悪用されているためです。
SansecはStyleSmugglerを発見し、攻撃は9月4日から始まったと報告しています。2.4.4から2.4.9までのすべてのバージョンのMagentoおよびAdobe Commerceがこの脆弱性の影響を受けます。
この脆弱性により、攻撃者は「styles」プロパティを使ってMagentoのテンプレート内に悪意のあるPHPコードを注入し、安全性検出を回避できます。実際に確認された攻撃では、その後ペイロードがバックドアをインストールし、コマンド&コントロールサーバーに接続して指示を待つ仕組みになっています。「今のところ、このバックドアが実際に武器化されたという兆候はありません」とSansec Forensics Teamは述べています。
この件については様子見をせず、緩和策リストの最優先事項に据えるべきです。
Microsoftの974件のCVE
続いてMicrosoftの記録的な974件のCVEについてですが、Tenableによれば、これはRedmondが2025年に発行した1,130件のCVEとさほど変わらない数だといいます。
このうち2件はすでにゼロデイとして悪用されています。
1つ目はCVE-2026-85880で、Windows Advanced Local Procedure Call(ALPC)における権限昇格の脆弱性です。悪用に成功すると、攻撃者はSYSTEM権限を取得できます。
「低権限のAppContainerでコードを実行できる攻撃者は、ローカルでこの脆弱性を悪用してサンドボックスから脱出し、影響を受けるシステム上で権限を昇格させることができます」とRedmondは警告しています。「追加のユーザー操作は必要ありません」
誰がこの脆弱性を悪用しているのか、またその目的については、今のところ情報がありません。米サイバーセキュリティ・インフラセキュリティ庁(CISA)は火曜日、このCVE-2026-85880ともう1件のMicrosoftのセキュリティホール(そしてAdobe CommerceとMagentoのゼロデイ)を既知の悪用された脆弱性カタログに追加し、連邦機関に対して2件の新規Microsoft脆弱性は9月22日までに、Adobeの脆弱性は9月11日までに修正するよう期限を設定しました。
ゼロデイとして発見・悪用された2つ目のMicrosoftの脆弱性はCVE-2026-81963で、こちらも権限昇格の脆弱性です。Windows Update Stackに影響します。こちらについても詳細はほとんど分かっていませんが、やはり攻撃者がSYSTEMレベルのアクセス権を取得できる点は共通しています。
「この脆弱性がコード実行の脆弱性と組み合わされ、マルウェアやランサムウェアの拡散に使われている可能性の方が高いでしょう」とZero Day InitiativeのDustin Childs氏は見解を述べ、ユーザーに対し「この脆弱性は速やかにパッチを適用すべきです」と助言しています。
これら2件が(今のところ)積極的に悪用されている唯一の脆弱性ですが、Childs氏は今月開示された9件のExchange Server関連の脆弱性のうちCVE-2026-55007を、このメッセージングサーバーにとって「最も重要な」パッチと評価しています。
この脆弱性により、リモートの未認証攻撃者は、悪意のあるVisio添付ファイルを含むメールを送信するだけで、脆弱なExchangeサーバー上でコードを実行できます。ユーザー操作は不要で、サーバーがコンテンツのインデックス作成中に添付ファイルを処理する際にコードが実行されます。
Redmondは「確実にトリガーするのは難しい」としていますが、Childs氏が指摘するように「攻撃者は一度成功させればそれで十分です。ダウンタイムをスケジュールし、急いでExchangeサーバーを更新してください」とのことです。
Childs氏はまた、ワーム化可能な脆弱性へのパッチを20件数えたとも述べており、その詳細については同氏によるパッチチューズデーの詳細レビューをぜひ確認してほしいとしています。「悪用のしやすさには差があるかもしれませんが、それが単一のリリースに20件も含まれているというのは、また別次元の話です」
抜け落ちたCVE
Redmondは今月だけで1,000件近いセキュリティホールに対処しましたが、今月のパッチチューズデーの一覧に含まれていない脆弱性が1件あることも指摘しておく価値があります。それがCVE-2026-85046です。Googleは9月3日にChromeでこの脆弱性を修正し、その際「CVE-2026-85046を悪用するエクスプロイトが実際に存在することを把握している」と警告していました。
この深刻度の高い型混同(type confusion)の脆弱性は、GoogleのChromeとMicrosoftのEdgeの両ブラウザで使われているV8 JavaScriptエンジンに存在します。それにもかかわらず、MicrosoftはいまだにこのCyz-2026-85046に関するセキュリティ情報を公開していません。
「パッチを適用済みであれば保護されますが、どの脆弱性が存在するかをセキュリティ情報頼みで把握している場合、このゼロデイ脆弱性を完全に見逃してしまう可能性があります」とRapid7のリードソフトウェアエンジニアであるAdam Barnett氏はThe Registerに語っています。
「セキュリティ情報のないパッチは、パッチのないセキュリティ情報よりはわずかにましかもしれませんが、信頼できる情報資料なしにエクスポージャーを追跡するのは容易ではありません」とBarnett氏は述べています。「ChromeはCVE-2026-85046と同時に他の11件の脆弱性も修正していますが、それらがEdgeでも修正されているかはまだ明らかになっていません。Microsoftが状況を明確にするまでは、これらの脆弱性(例えばCVE-2026-85045など)がEdgeでは未修正のままであると考えておくのが安全でしょう」 ®
