セキュリティ製品も攻撃対象に──CISA KEV連続更新の警告Chrome・Dell・TeamT5など6件の脆弱性が活発な悪用下に

CISAが1日2回のKEV更新──6件の脆弱性が活発な悪用下に

米国サイバーセキュリティ・インフラストラクチャ庁（CISA）は2026年2月18日、Known Exploited Vulnerabilities（KEV）カタログを1日で2回更新し、合計6件の脆弱性を追加しました。CISAの発表によると、これらはすべて実際の攻撃で悪用が確認されており、特にDell RecoverPointの脆弱性はCVSSスコア10.0と最高レベルの深刻度を示しています。注目すべきは、セキュリティ製品自体が攻撃対象となっている点です。

今回の追加は、2月10日のMicrosoft関連6件と合わせると、わずか1週間で12件以上がKEVに登録されたことになります。この連続更新は、サイバー攻撃の加速と、企業のセキュリティ対策における緊急性を強く示唆しています。

今回追加された6件の脆弱性の詳細

1回目の更新では4件が追加されました。Google ChromeのCSS use-after-free脆弱性（CVE-2026-2441、CVSS 8.8）は、悪意あるWebページを閲覧するだけで任意コードが実行される危険性があります。台湾のセキュリティ企業TeamT5が提供するThreatSonarの脆弱性（CVE-2024-7694、CVSS 7.2）は、ファイルアップロード機能を悪用した攻撃を許してしまいます。Zimbraの脆弱性（CVE-2020-7796、CVSS 9.8）はSSRF攻撃に悪用されており、Windows Video ActiveXの脆弱性（CVE-2008-0015、CVSS 8.8）は実に18年前の欠陥です。

2回目の更新では、Dell RecoverPointのハードコードされた認証情報の脆弱性（CVE-2026-22769、CVSS 10.0）とGitLabのSSRF脆弱性（CVE-2021-22175）が追加されました。Dell RecoverPointの脆弱性は、製品に埋め込まれた固定の認証情報を攻撃者が悪用することで、システムを完全に乗っ取られる可能性があります。

セキュリティ製品が攻撃対象になる「守る側の脆弱性」問題

今回の更新で特に警戒すべきは、TeamT5 ThreatSonarという「ランサムウェア対策製品」自体が攻撃対象となっている点です。企業を守るために導入したセキュリティ製品が、逆に攻撃の入口となってしまう事態は、セキュリティ戦略の根本的な見直しを迫るものです。

セキュリティ製品は一般的に高い権限でシステムに常駐するため、そこに脆弱性があれば被害は甚大になります。攻撃者にとっては、1つの製品の脆弱性を突くだけで、その製品を導入している多数の企業に侵入できる効率的な攻撃手法となります。

また、2008年のCVEが2026年に悪用されている事実は、レガシーシステムの根深いリスクを浮き彫りにしています。多くの企業では、古いシステムやコンポーネントが「動いているから」という理由で放置されがちですが、攻撃者は常に新旧問わず悪用可能な脆弱性を探しています。

御社が今すぐ取るべき5つのアクション

この状況を踏まえ、企業のIT責任者やDX推進担当者は以下の対策を早急に実施すべきです。

まず、KEV対象製品のパッチ適用状況を即時確認してください。Chrome、Dell RecoverPoint、GitLab、Zimbraを利用している場合は、最新バージョンへのアップデートが急務です。特にDell RecoverPointは認証情報がハードコードされているため、パッチ適用までネットワークからの隔離も検討すべきです。

次に、TeamT5製品を利用している企業はバージョン確認を行い、ベンダーからの修正パッチ情報を収集してください。セキュリティ製品のアップデートは後回しにされがちですが、今回の事例が示すように最優先で対応すべき対象です。

また、Zimbra運用環境ではSSRF対策として、外部への不要な通信を制限するファイアウォールルールの見直しが有効です。レガシーシステムについては、ActiveXコントロールの無効化を含め、古いコンポーネントの棚卸しと段階的な廃止計画を策定しましょう。

最後に、セキュリティ製品自体の脆弱性管理プロセスを確立することが重要です。導入しているセキュリティツールの一覧を作成し、各製品のバージョン管理とパッチ適用の自動化を検討してください。

まとめ

CISAの連続KEV更新は、サイバー攻撃の脅威が加速していることを明確に示しています。セキュリティ製品自体が攻撃対象となる時代において、「導入して終わり」ではなく、継続的な脆弱性管理と迅速なパッチ適用が企業の生命線となります。

自社のセキュリティ体制に不安がある、脆弱性管理を強化したいとお考えの企業様は、180社以上の支援実績を持つGXOにご相談ください。お客様の現状を診断し、最適なセキュリティ対策をご提案いたします。

GXOに相談する