BlueMoonは、ChromeとWindowsの脆弱性を組み合わせて悪用する攻撃キットです。この存在は、「パッチ適用を後回しにする」という選択がいかに危険な賭けになりつつあるかを物語っています。
セキュリティアップデートは、つい先延ばしにしがちなものです。ブラウザは問題なく開けますし、Windowsも普通に動作します。ブラウザの再起動やパソコンの再起動を後回しにしても、たいした問題ではないように感じられるかもしれません。
しかし、「BlueMoon」と名付けられた新たに報告された攻撃キットは、パッチ適用の遅れがいかに急速に危険な事態へとつながるかを示しています。Proofpointの研究者らは、4つのスパイ活動グループが、わずか数日の間隔で同一の攻撃チェーンを使ってWindows上のChromeブラウザを狙っていたことを発見しました。
今回の一連の攻撃キャンペーンは、あるセキュリティ上の欠陥、あるいはその修正プログラムが一度公開されてしまえば、攻撃者は多くのユーザーが想定するよりもずっと速く動き出す可能性があることを、改めて思い知らせるものです。
攻撃はフィッシングメールから始まりました。悪意のあるリンクをクリックした被害者は、Chromeのv8 JavaScriptエンジンに存在する2つの脆弱性を悪用するよう作り込まれたウェブページへと誘導されます。さらにそこからWindowsの脆弱性を突いてブラウザの保護機能を突破し、コンピューター上でより高い権限を獲得する仕組みになっています。
BlueMoonが悪用したChromeの脆弱性は、2026年9月3日にStableチャンネルで修正され、続いて9月8日にも修正パッチが提供されました。このうち最初の脆弱性は、Googleがアップデートをリリースした時点ですでに実際の攻撃で悪用されていました。Microsoftも9月の月例パッチ(Patch Tuesday)でWindowsの脆弱性に対処しましたが、この時点でも同様にすでに悪用が確認されていました。
CISAはその後、これら3つの脆弱性すべてを、実際の攻撃で悪用されたことが確認された脆弱性を一覧にした既知の悪用済み脆弱性(KEV)カタログに追加しました。
注目すべきは、BlueMoonがこれらの脆弱性を悪用したという事実そのものよりも、その攻撃手法がどれほど急速に拡散したように見えるかという点です。上流(アップストリーム)での修正が公に確認できる状態になっていると、それが手がかりとなり、下流のブラウザアップデートがユーザーに届くよりも先に、攻撃者が武器化した攻撃チェーンを作り上げ、複数のグループがそれを瞬く間に取り入れてしまう可能性があります。
では、パッチを一般公開する前にテストすることはもうできないのでしょうか。そういうわけではありませんが、テストや展開の方法そのものを見直す必要があるのかもしれません。というのも、一部のサイバー犯罪者が事実上、自分たちでパッチのベータテストを行っているように見えるからです。
研究者らは、この攻撃キットがAIの支援を受けて開発された可能性を示す手がかりも発見していますが、決定的な証拠には至っていません。とはいえ、より大きな懸念事項として、この見立てには説得力があります。AIツールは、ソースコードの変更点を解釈したり、コードを記述・改変したり、テスト結果を文書化したり、失敗した試行から学習したりする作業を、攻撃者の手助けとなり得るからです。
実際問題として、「脆弱性が上流で修正された時点」と「大多数の人々が保護される時点」との間にあるギャップは、攻撃者にとってますます価値の高いものになっていく可能性があります。私たちは、そのギャップをできる限り小さくするよう努めるべきです。
安全を保つには
セキュリティアップデートは、必ずしも公開された瞬間にすべてインストールする必要があるわけではありません。特に組織においては、アップデートにテストや段階的な展開、不測の事態に備えた計画が必要になる場合もあります。しかし、実際に悪用されていることが確認されている脆弱性については、優先度を高く設定するべきです。CISAのKEVカタログがこれほど重要視されているのも、まさにこの理由からです。組織が真っ先に対処すべき脆弱性を見極める助けとなるのです。
個人ユーザーの方は、以下の点にご注意ください。
- ブラウザやOSのアップデートは速やかにインストールしましょう。アップデートに要するわずかな時間は、飲み物を一杯取りに行く間程度で済みます。何度も先延ばしにするのはやめましょう。
- 身に覚えのないメールに記載されたリンクはクリックしないようにしましょう。
- 攻撃キットが仕込もうとするマルウェアを検知できるよう、最新のリアルタイム型アンチマルウェア保護を利用しましょう。
脅威が被害をもたらす前に食い止めましょう。
Malwarebytes Browser Guardは、フィッシングページや悪意のあるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →
