VPN、メールゲートウェイ、リモート管理ツール――今月、悪用が確認された「入口の機器」と、いま確認す⁠る⁠こ⁠と

2026年10月、VPN、ファイアウォール、メールゲートウェイ、リモートサポートツールなど、社外とつながる「入口の機器」の脆弱性が、相次いで悪用されています。CISAのKEV（悪用が確認された脆弱性のカタログ）の10月23日19時30分（UTC）公開版には、追加日が10月1日から23日の脆弱性が26件あります（このデータの追加日を、私が数えた値です）。その中に、Ivanti、Citrix、Palo Alto Networks、Cisco、Fortinet、BeyondTrust、Arista、そして国内のSiteGuardが含まれてい⁠ま⁠す⁠。

この記事は、経営者と情報システムの担当者向けに、どの機器が対象か、更新の前に何をすべきか、そしてなぜ「更新するだけ」では足りないのかを、各社の公式情報とCISAの発表を軸にして整理したものです。出典は、各記述のそばに示しています。情報は、日本時間2026年10月25日の時点のもの⁠で⁠す⁠。

要点

• 今月、悪用が確認された入口の機器は、少なくとも9製品あります（下の表）。いずれも、CISAのKEVに載ってい⁠ま⁠す⁠。
• Ivanti、BeyondTrust、Citrixは、修正版の公開より前から悪用されていました。更新しても、更新の前に侵入されていた場合は、侵害が残り⁠ま⁠す⁠。
• CISAは、更新の前に、侵害の有無を確認する指示（フォレンジックトリアージ）と、証拠の保全を求めています。更新で、証拠が消えるおそれがあるため⁠で⁠す⁠。
• デジタル庁の事案（約24万6000件の情報が漏えいした可能性）も、VPN機器の脆弱性が侵入口で⁠し⁠た⁠。
• いま最初にやることは、自社の入口の機器を一覧にして、悪用が確認された製品がないかを、確認すること⁠で⁠す⁠。

今月、悪用が確認された入口⁠の⁠機⁠器

CISAのKEVの記述と、各社のアドバイザリにもとづく整理です。表の「追加日」は、KEVへの追加日です。修正版の番号は、各社のアドバイザリで、必ず確認してくだ⁠さ⁠い⁠。

Ivantiの件は、BleepingComputerの報道によると、Volexityが、UTA0576と呼ぶ攻撃者が、10月3日以降、この脆弱性を、ほかの2つの脆弱性と組み合わせて使っていたと報告しています（Defusedは、10月1日に最初の兆候を見たと述べています）。この攻撃者は、マルウェアもWebシェルも置かず、コマンドごとに機器を再度攻撃して、ログも改ざんしており、Ivantiの整合性チェックツール（ICT）で検知されなかった、とされています。組み合わせの1つ（権限昇格）は、報道の時点で、未修正でした。Ivantiの公式ページは取得できなかったため、この部分は、報道にもとづく情報⁠で⁠す⁠。

BeyondTrustも、Rapid7によると、公表（10月15日）より前の8月29日に、2件の侵害があったとしています。Mandiantは、この活動を、中国に関係すると疑われるスパイ活動の攻撃者に結びつけてい⁠ま⁠す⁠。

国内の実例：デジタル庁のガバメントソリューションサ⁠ー⁠ビ⁠ス

国内でも、同じ種類の侵入が起きています。デジタル庁は、9月11日に、ガバメントソリューションサービス（GSS）への不正アクセスで、約24万6000人分の個人情報が漏えいした可能性があると、発表しま⁠し⁠た⁠。

• 6月25日：保守運用担当者のアカウントによる、サーバー上の大量のファイルへのアクセス⁠を⁠検⁠知
• 7月9日：第三者が、VPN機器の脆弱性を使って侵入していたことが判明。同日、アカウントを停止し、侵害された機器と外部との通信⁠を⁠遮⁠断
• 9月11日⁠：⁠公⁠表
• 漏えいの可能性：約24万6000人分（政府機関の職員らが約18万9000人、関係する事業者や個人が約5万7000人）。氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件（重複を含む）。マイナンバー、金融機関の口座情報、年金番号は、含まれて⁠い⁠な⁠い
• 二次被害：確認されて⁠い⁠な⁠い

検知から公表までは、78日です（6月25日から9月11日まで。私の計算です）。デジタル庁は、脆弱性管理の方法の見直しと、外部接続の方法の改善を、再発防止策として挙げてい⁠ま⁠す⁠。

また、警察庁の2026年上半期のまとめでは、ランサムウェアの被害報告は123件で、統計を取り始めた2020年以降、半期で最多です（@ITによる報道。警察庁の原文は、私は確認できていませ⁠ん⁠）⁠。

なぜ「更新するだけ」では足りな⁠い⁠の⁠か

次の3点は、私見⁠で⁠す⁠。

• 入口の機器は、インターネットに直接面していて、攻撃者が最初に見つけます。この10月の例では、Ivanti、BeyondTrustは、修正が出る前から悪用されていま⁠し⁠た⁠。
• 入口の機器には、パソコンのような検知ソフトを入れにくく、機器の中のログも、少なく、早く上書きされます。侵入されても、気づきにくいの⁠で⁠す⁠。
• 更新は、機器の中の脆弱性をふさぎますが、すでに置かれた侵入の足がかりは消しません。Rapid7も、更新しても、永続化は残る、と述べてい⁠ま⁠す⁠。

CISAは、Citrixのアラートで、次の手順を示しています。更新の前に、侵害の兆候を確認し、侵害が疑われる場合は、更新の前に、フォレンジックの証拠を保全します。更新で、調査に必要な情報が減るおそれがあるためです。そのうえで、侵害の前のバックアップに戻し、保存された秘密情報（アカウントのパスワード、暗号化の鍵、SSL証明書）をすべて入れ替えます。ログは、機器の外のSIEMなどに転送します。機器の中のログは、すぐに上書きされるため⁠で⁠す⁠。

米国の連邦機関向けの指令BOD 26-04（2026年6月10日）も、フォレンジックトリアージの対象とされた項目では、3日以内に、対処と、侵害されていないかの確認を、あわせて行うよう求めています。この指令は、連邦機関が対象ですが、考え方は、民間にも役に立ち⁠ま⁠す⁠。

いま確認す⁠る⁠こ⁠と

今日の⁠う⁠ち⁠に

1. 入口の機器を、一覧にします。VPN、ファイアウォール、メールゲートウェイ、ロードバランサー、リモートサポートツール、SD-WANの管理機器、バックアップの管理画面など、インターネットから届くものです。CISAは、エッジデバイスを、ネットワークの境界にあり、インターネットからアクセスできる機器と定義しています（BOD 26-⁠0⁠2⁠）
2. 一覧の機器ごとに、製品名とバージョンを書き、上の表の製品がないかを確認⁠し⁠ま⁠す
3. 表の製品があれば、更新の前に、ログと診断情報を保全します。例えば、SiteGuardは、更新の前に、管理画面の「診断情報」をダウンロードして保管するよう案内しています。Aristaは、侵害が疑われる場合は、ログとファイルのタイムスタンプを保全するよう求めて⁠い⁠ま⁠す

今週の⁠う⁠ち⁠に

4. 更新します。修正版の番号は、各社のアドバイザリで確認してく⁠だ⁠さ⁠い
5. 更新のあとに、侵害の確認をします。CISAは、NetScaler Consoleで提供されるIOCを実行して、侵害の兆候を確認する方法を、案内しています。Ivantiの整合性チェックツールは、上の報道のとおり、回避された例があるため、これだけに頼らず、ほかの確認とあわせてく⁠だ⁠さ⁠い
6. 管理画面を、インターネットに公開していないか確認します。Palo Altoは、管理アクセスを、信頼できる内部のアドレスや、1台の踏み台に限ると、リスクが下がるとして⁠い⁠ま⁠す
7. 入口の機器のログを、機器の外に転送⁠し⁠ま⁠す

今月の⁠う⁠ち⁠に

8. 保守用のアカウントの権限と、監視を見直します。デジタル庁の事案は、保守運用担当者のアカウントによる、大量のファイルアクセスが、検知のきっかけ⁠で⁠し⁠た
9. ベンダーからの通知を受け取る窓口を、最新にします。SiteGuardは、サポート契約のある顧客には、公表の約2週間前の9月29日に、個別に通知していました。契約や保守の窓口の連絡先が古いと、この通知が届き⁠ま⁠せ⁠ん
10. 機器の更新を、誰が、どの頻度で行うかを決めます。サポートが終わった機器は、入れ替⁠え⁠ま⁠す

未確⁠認⁠の⁠点

• IvantiとBeyondTrustの公式のアドバイザリは、取得できませんでした。この2製品の細かい情報は、報道とRapid7の分析にもとづ⁠き⁠ま⁠す
• Citrixの修正版の番号は、取得できなかったため、記載してい⁠ま⁠せ⁠ん
• 警察庁の原文は、確認できていません。件数は、報道にもとづ⁠き⁠ま⁠す

関⁠連⁠記⁠事

• GitLabの深刻な欠陥は、2件ある――10月12日の修正版では足りない理由と、確認すること：同じ月に、KEVへ入った、自社運用のGitLab。更新しても、直らない場合があ⁠り⁠ま⁠す
• Brotliの脆弱性はNode.jsだけの問題ではない――確認する場所と、悪用の現状：10月27日にKEVへ入った、Brotliの欠陥。確認する場所と、悪用⁠の⁠現⁠状
• Adobe Commerce・Magentoの欠陥が、悪用確認の一覧に――修正は7月、攻撃の報告は3月から。確認する場所：今月、KEVへ入った、ECの基盤。Adobe CommerceとMagentoの欠陥と、確認す⁠る⁠場⁠所
• アメリカでサイバーセキュリティの資格を取る道筋――段階ごとの試験と、受験料・学習費用（2026年10月時点）：境界の機器を守る仕事に就くための資格。アメリカでの、段階ごとの試験⁠と⁠費⁠用

入口の機器の棚卸し、更新、侵害の点検でお困りの方は、下記よりお問い合わせくだ⁠さ⁠い⁠。