CISA、ゼロデイ攻撃で悪用されたWindowsの重大な脆弱性CVE-2026-32202に対し連邦政府機関にパッチ適用を命令

米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、ゼロデイ攻撃で実際に悪用されているWindowsの脆弱性について、連邦政府機関に対し速やかにシステムを保護するよう命じました。

CVE-2026-32202として追跡されているこのセキュリティ上の欠陥は、サイバーセキュリティ企業Akamaiが報告したものです。同社によれば、これはMicrosoftが2月にリモートコード実行(RCE)の脆弱性(CVE-2026-21510)を不完全な形で修正した際に残された「ゼロクリック型のNTLMハッシュ漏洩」脆弱性だといいます。

ウクライナコンピュータ緊急対応チーム(CERT-UA)が明らかにしたところによると、ロシアのサイバー諜報グループAPT28(UAC-0001、別名Fancy Bear)は、2025年12月にウクライナおよびEU諸国を標的とした攻撃でCVE-2026-21510を悪用していました。これはLNKファイル処理の脆弱性(CVE-2026-21513)も組み込んだエクスプロイトチェーンの一部です。

Microsoftの説明によると、リモートの攻撃者がCVE-2026-32202を低い複雑度の攻撃で悪用するには、「被害者に対し、実行を促す悪意のあるファイルを送信する」必要があります。未修正のシステムでは、その結果として「一部の機密情報を閲覧される」恐れがあるとしています。

Akamaiは木曜日のレポートでさらに詳しく解説しており、この脆弱性はパス・ザ・ハッシュ攻撃に利用され、NTLMハッシュ(ハッシュ化されたパスワード)を窃取できると指摘しています。窃取されたハッシュは後から侵害されたユーザーになりすまして認証に使われるため、攻撃者はネットワーク内を横断的に移動(ラテラルムーブメント)したり、機密データを盗み出したりすることが可能になります。

BleepingComputerが先週、「2026年4月のPatch Tuesdayで公開されたアドバイザリの悪用可能性評価が『Exploitation Detected(悪用確認済み)』となっているのに、脆弱性自体は未悪用と表示されているのはなぜか」と問い合わせたことを受け、Microsoftは日曜日にCVE-2026-32202が実際の攻撃で悪用されていることを正式に認めました。

CVE-2026-32202をめぐる攻撃の詳細情報(APT28のハッカーもこのゼロクリック脆弱性を悪用したのかどうかなど)を求められたMicrosoftは、BleepingComputerに対し「これまでに観測した範囲では、このCVEをAPT28の活動と結び付ける証拠は確認されていない」と回答しています。

連邦機関には5月12日までのパッチ適用を義務付け

CISAは火曜日、CVE-2026-32202を既知の悪用済み脆弱性(KEV)カタログに追加しました。これにより、運用指示(BOD)22-01に基づき、連邦文官行政部門(FCEB)の各機関は、2週間以内、すなわち5月12日までにWindows端末およびサーバーへのパッチ適用を行うことが義務付けられます。

同庁は「この種の脆弱性は、悪意あるサイバー攻撃者にとって頻繁に利用される攻撃経路であり、連邦組織全体に重大なリスクをもたらす」と警告しています。

さらに「ベンダーの指示に従って緩和策を適用すること。クラウドサービスについては、該当するBOD 22-01のガイダンスに従うこと。緩和策が利用できない場合は、当該製品の使用を中止すること」と呼び掛けています。

BOD 22-01の適用対象は米国連邦機関に限られますが、CISAはすべての組織のセキュリティチームに対しても、CVE-2026-32202のパッチ展開を最優先で実施し、ネットワーク防御をできるだけ早く強化するよう勧めています。

なお、脅威アクターは最近明らかになったWindowsの脆弱性3件(BlueHammer、RedSun、UnDefendと呼称)も積極的に悪用しており、SYSTEM権限または昇格した管理者権限の獲得を狙う攻撃が確認されています。特に後者の2件については、現時点でもパッチが提供されていない状況です。

更新(4月30日 06:04 EDT):Microsoftの声明を追記しました。