security
CISA、連邦政府機関にわずか3日間のパッチ適用猶予を通告
Googleと米政府の両者が、Pixelスマートフォンのセルラーモデムに存在するゼロデイの不適切な認可の脆弱性が攻撃者に悪用されていると警告しました。この脆弱性は権限チェックを回避し、ユーザーの操作なしに権限昇格を可能にするものです。すでに修正済みのため、アップデートさえ行えば問題ありません。
Googleは火曜日、CVE-2026-58704として追跡されているこの深刻度の高い脆弱性を公表し、当時「限定的かつ標的を絞った悪用が行われている可能性がある」と警告していました。つまり、Googleがこの問題を修正する前に、何者かがこのバグを発見して悪用していたということです。
The RegisterはGoogleに対し、悪用の範囲や攻撃者による具体的な悪用方法、攻撃者が何を達成できるのかについて、さらに詳しい情報を求めて問い合わせました。
この脆弱性自体については、Pixelスマートフォンのモデムに存在すること、実際に悪用されていること、そしてユーザーの操作を必要としないゼロクリック攻撃で悪用可能であること以外、現時点では非常に限られた情報しか得られていません。
ただし、こうした種類のゼロクリック攻撃は、標的となる個人を監視するために商用スパイウェア開発企業が頻繁に利用しているものであることは分かっています。
水曜日、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)はこのCVEを既知の悪用された脆弱性カタログに追加し、連邦政府機関に対しわずか3日間、9月19日までにこの脆弱性を修正するよう求めました。
同サイバー防衛機関は「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃経路となっており、連邦政府機関全体に重大なリスクをもたらす」としています。
今月初め、CISAはGoogle Chromiumの2件の脆弱性、CVE-2026-85046とCVE-2026-87491をKEVカタログに追加していました。
CVE-2026-85046は、Chromiumの V8 JavaScriptエンジンに存在するタイプ混同の脆弱性で、細工されたHTMLページを介して、リモートの攻撃者がサンドボックス内でコードを実行できるようになるものです。Google Chrome、Microsoft Edge、Operaを含む、すべてのChromiumベースのブラウザに影響します。
もう一つの脆弱性はCVE-2026-87491として追跡される境界外書き込みの脆弱性で、同じくV8エンジンに存在し、リモートコード実行を可能にするもので、すべてのChromiumベースのブラウザに影響します。
Proofpointのセキュリティ研究者は先週、The Registerに対し、少なくとも4つのスパイ活動グループ(そのほとんどが中国との関連が疑われる)が、CVE-2026-85046を含む3件の脆弱性を連鎖させ、米国と東南アジアの組織のネットワークに侵入していたと語りました。®
