【ITニュース解説】The Patch Race: Watching CVE-2026-102764 Move From Targeted Exploit to Mass Scanning

「パッチレース」とは、ソフトウェアの脆弱性が発見され、その情報が公開された後、攻撃者がその脆弱性を悪用しようと急ぐ一方で、防御側がパッチを適用してシステムを守ろうと急ぐ、時間との緊迫した戦いを指す。このニュース記事では、特定の脆弱性「CVE-2026-102764」を例に、攻撃のパターンが「特定の標的を狙った攻撃」から「不特定多数に仕掛ける大規模なスキャン攻撃」へとどのように変化していくか、その実態と防御側が取るべき対策について詳しく解説されている。システムエンジニアを目指す初心者にとって、実際のセキュリティ運用やインシデント対応の現場で何が起きるかを理解する上で、非常に重要な情報となる。

今回注目される脆弱性「CVE-2026-102764」は、「エッジデバイス」と呼ばれる、ネットワークの境界に配置される重要な機器に存在する。これらのデバイスは、リモートアクセスやセキュリティ機能を提供するなど、企業ネットワークにおいて不可欠な役割を担うことが多い。この脆弱性は、2026年10月15日に国家脆弱性データベース（NVD）に登録され、翌10月16日にはCISA（サイバーセキュリティ・インフラセキュリティ庁）が「実際に悪用されている脆弱性」（Known Exploited Vulnerabilities catalog）のリストに追加した。CISAは10月19日までに修正対応を完了するよう求めたが、実はこの脆弱性に対する攻撃は、情報が公開される数週間前から既に始まっていたことが、セキュリティ企業であるMandiantやBeyondTrustの調査によって判明している。Mandiantは8月29日には攻撃を追跡しており、BeyondTrustも9月27日には、他のベンダーのエッジデバイスへの攻撃が公になったことで、自社の顧客に対する同様の脅威に警戒を始めたという。

Google脅威インテリジェンスグループは、「Armory Castle」または「UNC5221」と呼ばれる攻撃者グループが、過去にもIvantiやCitrix製品の脆弱性を悪用し、情報公開後に広範囲で無差別な攻撃を仕掛けてきたことを警告している。CVE-2026-102764も、まさにその活動の境界線に立っている状態だった。これは、最初は特定のターゲットを狙って静かに進められていた攻撃が、脆弱性の技術的な詳細情報が公開された途端、誰でもその情報を利用して攻撃に参加できるようになり、攻撃のターゲットも不特定多数へと急拡大していくという変化を示している。攻撃の機会が狭く標的を絞ったものから、技術的な詳細が一般に公開され、脆弱なデバイスの数が測定可能になることで、模倣犯も加わる広範な攻撃へと変わる、この移行こそが、防御側にとって最も注意すべき点である。

この移行期間において、「測定」が非常に重要な意味を持つ。標的型攻撃の段階では、「攻撃者にとって誰が興味深いターゲットか」という点が重要だった。しかし、脆弱性情報が公開された後は、「パッチをまだ適用しておらず、インターネットから到達可能なデバイスがどれだけ残っているか」という、より具体的で定量的な情報が重要になる。例えば、ZoomEyeというインターネット上のデバイスを検索するサービスが、2026年10月26日時点で「Bomgar」という特定のアプリケーションに一致するデバイスが2,185件存在すると報告した。この数字は、インターネット上に露出している脆弱な製品の数を表しており、どれだけのデバイスが攻撃にさらされる可能性があるかを示す分母となる。

防御側にとって、パッチレース中に測定を行う最大の利点は、時間経過に伴う変化を比較できることにある。今日の測定値と1週間後の測定値を比較することで、自組織内の脆弱なデバイスが減っているか、あるいは世界全体でこの脆弱性に対する修正が進んでいるかといった傾向を把握できる。単なる静的な数値よりも、トレンドを追うことが、より有効な情報となるのである。

防御側から見ると、標的型攻撃から機会主義的な攻撃へとシフトする際には、いくつかの明確な兆候が確認できる。一つ目は「アプライアンスに対する認証失敗の急増」だ。これは、特定のアカウントを狙うのではなく、自動化されたツールによるIDやパスワードの総当たり攻撃、あるいは不正なプロトコルの探査が行われている可能性を示唆する。これはアプライアンスの認証ログやIDプロバイダーのサインインログを監視することで確認できる。二つ目は「脆弱なコードパスのみが到達するエンドポイントへのリクエスト」である。これは、正規の管理トラフィックではなく、脆弱性を悪用しようとする試みであることを示している。アプライアンスのWebサーバーログやリバースプロキシログをチェックすると良い。三つ目は「アプライアンスからの突然の外部接続」だ。これは、攻撃が成功し、デバイスが乗っ取られた後に、攻撃者が外部のコマンド＆コントロールサーバーなどと通信しようとしている可能性を示唆する。これは、エグレス監視やファイアウォールログで確認できる。これらの兆候は単独では決定的な証拠にならないが、複数組み合わせて分析することで、デバイスが大規模なスキャン攻撃の対象になっているのか、あるいは具体的な攻撃を受けているのかを区別できる。

ただし、パッチを適用すればすべてが解決するというわけではない。ニュース記事では二つの重要な事実が指摘されている。一つ目は、攻撃者がすでにアプライアンスに保存されていたすべての認証情報を取得している可能性があるということだ。そのため、パッチを適用した後でも、そのアプライアンスがアクセス可能だった他のシステムやサービスに関連する認証情報はすべて変更（ローテーション）する必要がある。二つ目は、攻撃者がシステムを再起動したり設定をリセットしたりしても残存するファイルを改ざんしている可能性があることだ。これは、単にパッチを適用しただけでは、攻撃者によって仕込まれた悪意のあるコンポーネントがシステム内に残り続ける可能性があることを意味する。したがって、パッチ適用後の検証ステップは、単なる管理上の手続きではなく、実質的な意味を持つ。具体的には、システムのビルドバージョンを確認し、実行中のファイルの整合性を検証し、そして認証情報が確実に新しいものになっていることを確認することが不可欠となる。

このパッチレースがいつ終わるかというと、インターネット上に残されたパッチ未適用で、かつ攻撃者が到達可能なデバイスの数が十分に少なくなり、大規模なスキャン攻撃を続けても費用対効果が見合わなくなったときだ。この結果は、個々の組織やユーザーがそれぞれ適切にパッチを適用し、セキュリティ対策を講じることの集合体によって達成される。だからこそ、インターネット上に露出している脆弱なデバイスの数を追跡し、その減少傾向を確認することが、単なる情報として流すのではなく、重要視すべき指標となるのである。