グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月22日
オンプレミス版 Microsoft SharePoint を標的とした CVE-2026-50522 進行中攻撃、Qilin ランサムウェアによる PAN-OS CVE-2026-0257（GlobalProtect 認証回避）悪用、および主要ネットワーク機器の緊急修正パッチ情報を掲載。
- ⚡ グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月22日
- 📝 エグゼクティブサマリー — 10秒で把握
- 🔍 重大インシデント：技術分析
- 1. CVE-2026-50522：SharePoint のデシリアライゼーション RCE がマシンキー窃取に悪用
- 2. CVE-2026-0257：GlobalProtect 認証バイパスから Qilin ランサムウェアへ
- 3. CVE-2026-6875：ServiceNow の認証前サンドボックスエスケープ
- 🛠️ 脆弱性ウォッチ
- LegacyHive：Windows ユーザープロファイル脆弱性に非公式マイクロパッチ
- 🔐 データ侵害ウォッチ
- Clover Health：ソーシャルエンジニアリングにより3つの従業員アカウントが侵害
- 🛡️ 本日の防御アクション
- P0 — 直ちに対応
- P1 — 侵害の痕跡をハンティング
- P2 — アイデンティティ制御の強化
- エンドポイントの優先事項
- 📌 最終評価
⚡ グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月22日
対象期間： 2026年7月21日 08:00 ～ 2026年7月22日 08:00（UTC+8）
本号では、報告対象期間中に初めて公開された、または重要な更新が行われた動向を優先して取り上げます。
公式ベンダーアドバイザリおよびインシデント対応に関する一次調査を優先しました。実際の悪用について、影響を受けるベンダーまたは政府機関の確認ではなく、第三者のテレメトリに基づいている場合は、その違いを明示しています。
📝 エグゼクティブサマリー — 10秒で把握
🔴 CVE-2026-50522 が、インターネットに公開されたオンプレミスの Microsoft SharePoint サーバーに対して悪用されています。 公開されたエクスプロイトコードは、安全でない .NET デシリアライゼーション経路を標的としており、確認された攻撃者は SharePoint のマシンキーを窃取しています。これにより、脆弱なコードを修正した後もアクセスを継続したり、アプリケーションのアーティファクトを偽造したりできる可能性があります。
🔴 複数の Qilin ランサムウェア侵入が、PAN-OS の CVE-2026-0257 の悪用を起点としていました。 GlobalProtect の認証バイパス脆弱性により、影響を受ける構成では不正な VPN セッションを確立でき、その後、資格情報の窃取、ラテラルムーブメント、データ流出、ドメイン全体の暗号化へと進展します。
🔴 ServiceNow の CVE-2026-6875 は、引き続き緊急性の高いエンタープライズプラットフォーム上のリスクです。 第三者テレメトリでは、公開済みの認証前エクスプロイトチェーンの使用と整合する活動が確認されていますが、攻撃者およびその意図は特定されていません。ServiceNow は、自社がホストするインスタンスに対する当該活動は確認していないと述べています。
🟠 アイデンティティとエンドポイントの信頼は、依然として主要な攻撃対象です。 Clover Health は、3つの従業員アカウントが関与するソーシャルエンジニアリング事案を公表しました。一方、未修正の Windows「LegacyHive」脆弱性には第三者製マイクロパッチが提供されていますが、Microsoft の公式修正はまだありません。
🔍 重大インシデント：技術分析
1. CVE-2026-50522：SharePoint のデシリアライゼーション RCE がマシンキー窃取に悪用
ステータス： 報告対象期間中に新たな悪用報告
Microsoft CVSS v3.1： 9.8 — Critical
ZDI 技術評価： CVSS 8.1 — 攻撃複雑性は高
アナリストによる運用上の優先度： 🔴 Critical
直接的な影響： リモートコード実行
確認された侵害後の目的： SharePoint マシンキーの窃取
残存リスク： パッチ適用後も、認証アーティファクトの偽造やアプリケーションレベルの継続アクセスが可能となる恐れ
悪用状況： watchTowr と Defused が実際の悪用を報告。Microsoft の当初のアドバイザリでは、当初この脆弱性は悪用済みとされていなかった
インシデント概要
実用的な概念実証コードが公開された直後から、攻撃者が CVE-2026-50522 を利用し、脆弱なオンプレミスの Microsoft SharePoint サーバーを攻撃していることが確認されています。
この脆弱性は、Microsoft SharePoint Server に影響する安全でないデシリアライゼーションの問題として分類されています。Microsoft の CVE 記録では、ネットワーク経由で到達可能で、攻撃複雑性が低く、権限もユーザー操作も不要と評価されています。
一方、Zero Day Initiative の技術評価では攻撃複雑性が「高」とされ、この脆弱性が他の SharePoint 脆弱性と組み合わせて利用される可能性が指摘されています。
watchTowr は、公開エクスプロイトの登場から数時間以内に、同社のグローバルハニーポットネットワークが成功した悪用試行を捕捉したと報告しています。
確認された攻撃者は SharePoint のマシンキーを取得していたとされ、セキュリティ更新を適用した後も侵害が継続する可能性があります。
情報源間の相違
Microsoft の CVE 説明と CVSS ベクトルでは、この脆弱性は認証不要とされています。
AV:N / AC:L / PR:N / UI:N
しかし、メディアが引用したアドバイザリの一部では、攻撃者は少なくともサイト所有者（Site Owner）として認証されている必要があると説明されていました。
Defused の第三者テレメトリでは、認証情報を含まない悪用リクエストが捕捉されたと報告されています。
Microsoft が相反する記述を明確化するまでは、インターネットに公開された環境は、認証前攻撃にさらされる可能性があるものとして扱うべきです。
セキュリティチームは、以下も区別する必要があります。
脆弱性が直接提供するコード実行能力
個々の研究者が説明している追加の前提条件やチェーン条件
実際の攻撃で確認された、侵害後の暗号化素材の窃取
技術詳細
公開された概念実証は、SharePoint の WS-Federation サインイン処理エンドポイントを標的としています。
/_trust/default.aspx
大まかには、エクスプロイトチェーンは次のように動作します。
攻撃者が偽造した WS-Federation サインイン応答を作成します。
悪意のある .NET
BinaryFormatterオブジェクトグラフを、偽造したSecurityContextToken内に埋め込みます。トークンを SharePoint の信頼エンドポイントへ送信します。
脆弱な SharePoint コンポーネントが、攻撃者制御のオブジェクトをデシリアライズします。
再構築処理中に、提供されたオブジェクトグラフ内のメソッドが呼び出されます。
その結果となるガジェットチェーンが、SharePoint サーバーのコンテキストで攻撃者制御のコードを実行します。
デシリアライゼーションが危険なのは、アプリケーションが単に受動的なデータを復号・解析しているだけではないためです。
コンストラクター、プロパティ、デシリアライゼーションコールバック、その他のメソッドが自動的に実行される可能性がある複雑なオブジェクトを再構築します。
マシンキー窃取と残存リスク
確認された攻撃では、得られたコード実行能力を利用して SharePoint のマシンキーを取得していたと報告されています。
これらのキーは、アプリケーション状態、認証アーティファクト、署名済みデータの保護または検証に使用されます。
キーが窃取されると、攻撃者はアプリケーションが正当と判断するアーティファクトを生成できる可能性があります。
これは、インシデント対応上の重要な違いを生みます。
パッチを適用すると、脆弱なデシリアライゼーション経路は閉じられます。
ただし、攻撃者がすでに取得したマシンキーやその他の暗号化素材は無効化されません。
そのため、影響を受けたシークレットがローテーションされるまで、パッチ適用済みサーバーであっても偽造アーティファクトにさらされ続ける可能性があります。
影響を受ける製品
公式 CVE データでは、以下の製品ビルドが影響対象として挙げられています。
Microsoft SharePoint Enterprise Server 2016
Microsoft SharePoint Server 2019
Microsoft SharePoint Server Subscription Edition
SharePoint Online は、CVE 記録で説明されている影響対象のオンプレミスサーバー製品群には含まれていません。
緩和策と脅威ハンティング
該当する 2026年7月の SharePoint セキュリティ更新を直ちに適用してください。
ファーム内の該当するすべての SharePoint サーバーに更新を適用してください。
適切な
PSConfigまたはサポート対象のファームアップグレードワークフローを含む、必要な SharePoint 構成アップグレード処理を完了してください。Windows Update の履歴や単一ノードのインストール状態だけに依存せず、アップグレード後のファームビルドを確認してください。
インストール済みビルドが、Microsoft が示す該当修正版以上であることを確認してください。
SharePoint Enterprise Server 2016：
16.0.5561.1001SharePoint Server 2019：
16.0.10417.20175SharePoint Subscription Edition：
16.0.19725.20434
未修正の SharePoint サーバーを、一時的にインターネットへの直接公開から外してください。
パッチ適用前に外部公開されていたシステムでは、Microsoft がサポートする手順を使用して SharePoint のマシンキーおよび関連するアプリケーションシークレットをローテーションしてください。
以下を調査してください。
/_trust/default.aspxへのリクエスト異常または不正な形式の WS-Federation 応答
予期しない
w3wp.exeの子プロセスIIS ワーカープロセスからの PowerShell またはコマンドシェル実行
新たに作成された
.aspxファイル不明なアセンブリ
新しいスケジュールタスクまたはサービス
SharePoint アプリケーションプールからの外向き通信
マシンキーを含む構成ファイルまたは保存場所へのアクセス
セキュリティ更新の適用前に発生した悪用試行について、SharePoint および IIS ログを確認してください。
侵害の兆候が見つかった場合は、影響を受けたサーバーを隔離し、インシデント対応を開始してください。
パッチを適用したことだけをもって、環境がクリーンである証拠とはしないでください。
参考資料
Microsoft Security Response Center — CVE-2026-50522
BleepingComputer — Critical SharePoint RCE Exploited to Steal Machine Keys
The Hacker News — Critical SharePoint RCE CVE-2026-50522
2. CVE-2026-0257：GlobalProtect 認証バイパスから Qilin ランサムウェアへ
ステータス： 報告対象期間中に大きく注目が高まった事案。Arctic Wolf の一次調査は 2026年7月20日に公開
ベンダー深刻度： 🟠 High — CVSS v4.0 7.8
ベンダー緊急度： 最高
アナリストによる運用上の優先度： 🔴 公開構成では Critical
影響： 不正な VPN アクセス、ドメイン侵害、データ流出、ランサムウェア
悪用状況： 実際の悪用を確認済み
インシデント概要
Arctic Wolf は、Palo Alto Networks の PAN-OS ファイアウォールに対する CVE-2026-0257 の悪用を起点とする、複数の Qilin ランサムウェア侵入を調査しました。
攻撃は、不正な GlobalProtect VPN セッションから始まり、その後、以下へ進展しました。
資格情報ダンプ
Active Directory の侵害
ラテラルムーブメント
防御回避
データ窃取
ランサムウェア展開
侵害後の活動は、被害組織ごとに異なっていました。
一部の環境では限定的な偵察後すぐに暗号化が行われた一方、別の環境では長期間の資格情報窃取や二重恐喝活動が確認されました。
この差異は、複数の Qilin アフィリエイトが同じ初期アクセス手法を使用している可能性を示します。ただし、共有インフラ、協調的な活動、または単一の攻撃者が異なるプレイブックを使い分けている可能性も排除できません。
脆弱な構成
この脆弱性は、以下のように構成された GlobalProtect ポータルおよびゲートウェイに影響します。
Authentication Override Cookie が有効
別の公開機能を通じて Authentication Override の公開鍵を取得できる証明書構成
Authentication Override により、一度認証済みのユーザーは、その後の接続で完全な認証フローを繰り返す代わりに Cookie を提示できます。
技術詳細
Palo Alto Networks は、この脆弱性を次のように分類しています。
CWE-565 — Reliance on Cookies without Validation and Integrity Checking
影響を受けるバージョンでは、アプライアンスが Authentication Override Cookie を復号し、十分に独立した整合性検証を行わずに、復元されたフィールドを信頼します。
脆弱な処理フローは次のように要約できます。
GlobalProtect 環境で Authentication Override Cookie が有効になっています。
その Cookie に使用する証明書が、GlobalProtect HTTPS サービスまたは別の外部公開機能でも再利用されています。
対応する公開鍵を、未認証の攻撃者が取得できる状態になります。
攻撃者が、その公開鍵を使用して偽造した Authentication Override Cookie を作成します。
アプライアンスが Cookie の復号に成功します。
復元されたアイデンティティ情報が、独立した整合性検証なしに受け入れられます。
攻撃者は、有効なユーザー資格情報を提示せずに、不正な GlobalProtect VPN セッションを確立します。
修正版では、より厳格な HMAC ベースの検証が導入され、より安全な方法で Cookie が再生成されます。
旧 Cookie は信頼されなくなるため、アップグレード後はユーザーが再認証する必要があります。
確認された Qilin 攻撃チェーン
GlobalProtect セッションを確立した後、攻撃者は迅速に資格情報主導の操作へ移行しました。
永続化
確認されたツールとアーティファクトには以下が含まれます。
AnyDesk
Ngrok
LogMeIn
MeshAgent
次のパターンに一致するレジストリの Run 値
*[a-z]{6}
ランサムウェアのペイロードは、一般的に次の場所へステージングされていました。
C:\PerfLogs\win.exe
資格情報窃取
攻撃者は、以下を使用して LSASS メモリをダンプしていました。
rundll32.execomsvcs.dll
一部の事例では、単純なファイル名ベースの検知を回避するため、生成されたダンプに通常とは異なる .odt 拡張子が付けられていました。
攻撃者は ntdsutil.exe とその Install From Media 機能も使用し、Active Directory データベースをコピーしていました。これにより、ドメイン内のすべてのアカウントのパスワードハッシュが漏えいする可能性があります。
ラテラルムーブメント
主な横展開の実行パターンには以下が含まれます。
侵害された管理者アカウント
C$などの Windows 管理共有PsExec
PSEXESVC.exeリモートデスクトッププロトコル
防御回避
ランサムウェア実行前に、攻撃者は以下を行っていました。
Windows イベントログの消去
PowerShell 運用ログの消去
Microsoft Defender のリアルタイム保護の無効化
Veeam バックアップインフラの標的化
データ流出
二重恐喝事案では、以下が使用されました。
Rclone
MEGA
Proton Drive
FileZilla
別の侵入では、データ窃取が確認されないまま、直接暗号化へ進んでいました。
緩和策と脅威ハンティング
影響を受けるすべての GlobalProtect ポータルおよびゲートウェイを、Palo Alto Networks のアドバイザリに記載された修正版 PAN-OS へアップグレードしてください。
Authentication Override Cookie を生成または受け入れるすべてのコンポーネントをアップグレードしてください。
古い Cookie 生成または検証動作が残る部分的なアップグレードは避けてください。
パッチ適用後、すべてのアクティブな GlobalProtect セッションを終了してください。
有効な資格情報を使用して、ユーザーに再認証を要求してください。
直ちにパッチを適用できない場合は、以下を実施してください。
Authentication Override Cookie の生成および受け入れを無効化する、または
Authentication Override Cookie 専用の証明書を生成する
Authentication Override 用に、ポータル、ゲートウェイ、その他の外部公開証明書を再利用しないでください。
以下を調査してください。
対応する認証活動がない成功済み VPN セッション
ホスト名が
kaliと識別されるクライアント異常なデバイス ID
空欄または不自然なドメインフィールド
正当なユーザー認証と関連付けられないセッション
新たなリモートアクセスツール
C:\PerfLogs\win.exePSEXESVC.execomsvcs.dllを介した LSASS へのアクセスntdsutilの Install From Media 操作一般消費者向けクラウドストレージサービスへの大量転送
複数チャネルにわたるイベントログの消去
パッチ適用前に発生した過去の GlobalProtect セッションを確認してください。
VPN テレメトリを以下と相関分析してください。
アイデンティティプロバイダーの認証
エンドポイント活動
Active Directory ログオン
特権アカウントの使用
クラウドストレージへの転送
- 成功した悪用の証拠は、単なるファイアウォールのパッチ問題ではなく、ネットワーク侵害として扱ってください。
参考資料
Palo Alto Networks — CVE-2026-0257
Arctic Wolf — Exploitation of CVE-2026-0257 Leads to Qilin Ransomware
BleepingComputer — GlobalProtect Authentication Bypass Exploited in Ransomware Attacks
The Hacker News — Qilin Ransomware Attacks Exploit PAN-OS CVE-2026-0257
3. CVE-2026-6875：ServiceNow の認証前サンドボックスエスケープ
ステータス： 報告対象期間中に重要な更新。最初の公表は対象期間以前
ベンダー深刻度： Critical — CVSS v4.0 9.5
攻撃複雑性： 高
アナリストによる運用上の優先度： 🔴 Critical
影響： 影響を受ける ServiceNow インスタンス内での、未認証かつ高権限のコード実行
悪用状況： 第三者テレメトリで、公開済みエクスプロイトチェーンと整合する活動を確認。攻撃者および意図は未確認
インシデント概要
CVE-2026-6875 は、ServiceNow AI Platform のサーバーサイドスクリプティングおよびサンドボックス制御に影響します。
Searchlight Cyber は、2026年4月1日にこの問題を ServiceNow へ報告しました。
ServiceNow は約24時間以内に、自社ホスト型クラウドインスタンスへ即時緩和策を展開し、その後、根本的な脆弱性を修正する更新を公開しました。
Defused は後に、Searchlight Cyber の調査で文書化されたものと同じ認証前エンドポイントに対する活動を確認したと報告しました。
同社は当初、捕捉したペイロードが異なるサンドボックスエスケープ手法を使用していると説明しました。その後、その評価を訂正し、ペイロードは Searchlight Cyber が公開した概念実証と一致すると述べています。
攻撃者の身元および意図は、公には特定されていません。この活動は、悪意ある悪用、セキュリティ研究、または機会的スキャンである可能性があります。
ServiceNow は、自社がホストするインスタンスと当該活動を結び付ける証拠は確認していないと述べています。
そのため、セルフホストおよびパートナー管理型の顧客は、実際のパッチ適用状況を直接確認する必要があります。
技術詳細
攻撃は、次の認証前ページから始まります。
/assessment_thanks.do
次のユーザー制御可能なパラメーターが、
sysparm_assessable_type
ServiceNow の GlideRecord クエリへ渡されます。
ServiceNow のエンコード済みクエリは、次の文字列で始まる値をサポートしています。
javascript:
これにより、提供された式は、その結果がデータベースクエリへ挿入される前に評価されます。
最初の実行は GlideSystemSandbox 内で行われます。このサンドボックスは、危険な JavaScript および Java 機能へのアクセスを制限することを目的としています。
サンドボックスは、以下のような直接的な手法をブロックします。
evalの直接使用Functionコンストラクターの直接使用関数宣言
制限対象の Java クラスへのアクセス
ServiceNow の Script Include が別の評価経路を通じて読み込まれるため、エスケープが可能になります。
公開研究では、攻撃者が、制限付きクエリサンドボックスと Script Include 実行コンテキストの差異を悪用して、コード生成プリミティブを取得できることが示されています。
大まかには、チェーンは次の手順で構成されます。
Script Include を介して既存の JavaScript 関数へ到達します。
JavaScript の
Functionコンストラクターへアクセスします。一般的に使用されるオブジェクトメソッドを置き換えます。
攻撃者制御のプロトタイプ内容を提供します。
置き換えられたメソッドを呼び出す別の Script Include を読み込みます。
攻撃者の文字列を、本来の制限外で実行可能な JavaScript に変換します。
悪用に成功すると、影響を受ける ServiceNow インスタンス内で高権限アクセスを取得できる可能性があります。
研究者は、攻撃者が以下を実行できると報告しています。
機密性の高いプラットフォームテーブルの読み取り
管理者アカウントの作成または変更
スクリプトおよびアプリケーションロジックの変更
接続済みの MID Server またはプロキシサーバーを介したコマンド実行
ServiceNow 統合を内部システムへの侵入経路として利用
重要性
ServiceNow は一般的に、以下と接続しています。
アイデンティティおよびアクセス管理プラットフォーム
CMDB レコード
クラウド管理システム
エンドポイントツール
人事ワークフロー
特権サービスアカウント
企業ネットワーク内部の MID Server
そのため、アプリケーションレベルの侵害は、単一の ITSM インターフェース内にとどまらず、複数の下流システムへの橋渡しとなる可能性があります。
緩和策と脅威ハンティング
CVE-2026-6875 に関連するすべての ServiceNow 更新を適用してください。
セルフホストおよびパートナー管理型インスタンスの実際のビルドを確認してください。
導入済みリリースに、該当する Guarded Script 制限が含まれ、かつ強制されていることを確認してください。
ログから以下を検索してください。
/assessment_thanks.dosysparm_assessable_typejavascript:式エンコードまたは難読化されたクエリ値
異常に長い認証前クエリ文字列
以下を確認してください。
新たに作成された管理者アカウント
変更された Script Include
プラットフォームのセキュリティ制御変更
機密テーブルへの異常なアクセス
予期しない MID Server ジョブ
ServiceNow 統合を介して実行されたコマンド
ワークフロー自動化からの新たな外向き通信
新たに登録された OAuth アプリケーションまたは統合資格情報
現在の特権ロールを、既知の正常なベースラインと比較してください。
承認済みの自動化と関連付けられないコマンドがないか、MID Server の活動を確認してください。
不審な活動が確認された場合は、API トークン、統合資格情報、シークレットをローテーションしてください。
悪用を確実に排除できない場合、ServiceNow インスタンスを単なる脆弱な Web アプリケーションではなく、侵害された可能性のあるアイデンティティおよび自動化プラットフォームとして扱ってください。
参考資料
ServiceNow — Security Advisory KB3137947
Searchlight Cyber — Smashing the ServiceNow Sandbox: Pre-Authentication RCE
BleepingComputer — ServiceNow Code-Execution Flaw Reportedly Exploited
SecurityWeek — Reported Exploitation of ServiceNow Vulnerability
🛠️ 脆弱性ウォッチ
LegacyHive：Windows ユーザープロファイル脆弱性に非公式マイクロパッチ
ステータス： 報告対象期間中に新たな緩和策が更新。最初のゼロデイ公表は対象期間以前
運用上の優先度： 🟡 Medium
CVE ステータス： CVE 未割り当て
Microsoft 公式パッチ： 未提供
第三者緩和策： 一部の Windows バージョン向けに 0patch のマイクロパッチを提供
悪用状況： 実際の悪用は未確認
インシデント概要
LegacyHive は、未修正の Windows User Profile Service の脆弱性であり、管理者ではないユーザーが、別のユーザーのレジストリハイブを過剰な権限でマウントできる可能性があります。
簡略化された公開概念実証には追加の前提条件があり、主としてユーザー間のレジストリハイブアクセスを示しています。
公開分析によると、以下の情報が必要です。
別の標準ユーザーアカウントの資格情報
対象ユーザー名
影響を受けるデバイスへのローカルアクセス
独立した研究者は、基礎となるプリミティブを拡張することで、別のユーザーの Classes レジストリハイブを変更し、そのユーザーが後にサインインした際に、攻撃者制御のコードを実行できる可能性があると評価しています。
この違いは重要です。
公開された概念実証が直接示しているのは、ユーザー間のハイブアクセスです。
管理者コンテキストでのコード実行は、簡略化された PoC が直接示した唯一の動作ではなく、当該プリミティブの拡張として評価されているものです。
技術概要
基礎となる処理では、緩いアクセス制御が設定された一時プロファイルファイルを、ステージングディレクトリ内に作成します。
プロファイル読み込みワークフローを操作することで、攻撃者は、攻撃者の影響下にある条件で別のユーザーのハイブを Windows にマウントさせられる可能性があります。
標的となり得るものには、次が含まれます。
UsrClass.dat
および対応するユーザー単位の Classes レジストリハイブです。
このハイブを変更すると、以下のようなメカニズムを通じて永続化できる可能性があります。
ユーザー単位の COM 登録
シェル拡張
ファイル関連付けハンドラー
その他のログイン時に実行されるレジストリ位置
影響を受けるユーザーが管理者で、その後同じデバイスへサインインした場合、攻撃者制御のコードがそのユーザーのコンテキストで実行される可能性があります。
緩和策
低権限ユーザーと管理者が同じ共有エンドポイントを使用しないようにしてください。
管理者が、侵害されている可能性のあるユーザーワークステーションへサインインしないようにしてください。
異常なユーザーハイブのマウント、および以下への変更を監視してください。
UsrClass.datユーザーの Classes レジストリハイブ
ユーザー単位の COM 登録
ログイン時に実行される永続化位置
シェル拡張設定
以下を強く分離してください。
ジャンプホスト
特権アクセスワークステーション
管理用 VDI システム
共有サポート用エンドポイント
非公式の 0patch マイクロパッチは、互換性、セキュリティ、運用面のテスト後にのみ評価してください。
導入前に、対象の Windows リリースが利用可能なマイクロパッチの対象であることを確認してください。
以下について Microsoft のガイダンスを監視してください。
公式 CVE
ベンダー緩和策
セキュリティ更新
脆弱性の影響評価の変更
参考資料
BleepingComputer — Windows LegacyHive Zero-Day Receives Free Unofficial Patches
ThreatLocker — LegacyHive Demonstration and Analysis
🔐 データ侵害ウォッチ
Clover Health：ソーシャルエンジニアリングにより3つの従業員アカウントが侵害
ステータス： 報告対象期間中に大きく注目が高まった事案。SEC への開示は 2026年7月17日
運用上の優先度： 🟠 影響を受ける個人にとって High
攻撃ベクトル： ソーシャルエンジニアリングおよび従業員アカウントの侵害
恐喝状況： ランサムウェアまたは恐喝グループによる犯行声明はなし
データ影響状況： アクセスまたは取得された情報の範囲は調査中
インシデント概要
Clover Health Investments は、脅威アクターがソーシャルエンジニアリングを利用し、管理職ではない3人の従業員アカウントを侵害したと公表しました。
影響を受けた従業員は、以下の業務を担当していました。
会員の受診スケジュール調整
ブローカー向け営業
それらのアカウントは、一部の個人識別情報および保護対象保健情報へアクセスできました。
Clover Health によると、影響を受けたアカウントから同社の企業財務システムまたは請求処理システムへアクセスすることはできませんでした。
同社は、不正アクセスを封じ込め、終了させたとしています。
ただし、アクセスまたは取得された情報の正確な内容と範囲については、引き続き調査中です。
防御上の重要性
この事案は、重大な医療データ漏えいを引き起こすために、攻撃者が中核の請求処理システムや財務システムを侵害する必要はないことを示しています。
権限の低い従業員アカウントであっても、以下へアクセスできる可能性があります。
会員の識別情報
連絡先情報
予約の詳細
ブローカーとの関係情報
保護対象保健情報
したがって、アカウントの業務上の機密性は、正式な管理権限レベルだけでなく、アクセス可能なデータとワークフローに基づいて評価する必要があります。
緩和策
PII または PHI にアクセスできるアカウントへ、フィッシング耐性のある MFA を導入してください。
ヘルプデスクおよびアカウント復旧時の本人確認を強化してください。
以下の操作には追加認証を要求してください。
MFA のリセット
デバイス登録
パスワード復旧
連絡先情報の変更
新しい認証方式の追加
アカウント侵害が疑われる場合は、セッション、リフレッシュトークン、アプリケーショントークンを失効させてください。
以下の異常を検知してください。
デバイス登録
地理的位置またはネットワーク位置の変化
OAuth 同意
大量のレコードアクセス
エクスポート活動
従業員の通常業務フロー外のアクセス
ユーザーアイデンティティと管理対象デバイスの状態の両方に基づき、条件付きアクセスを適用してください。
以下を題材とする標的型ソーシャルエンジニアリングに備え、従業員を訓練してください。
医療保険の会員
ブローカー
スケジューリングワークフロー
アカウント復旧
ヘルプデスクのなりすまし
スケジュール調整担当者およびブローカー対応担当者が必要とする最小限の情報を見直してください。
業務上必要でない限り、一括エクスポートおよび大量レコードアクセスを制限してください。
参考資料
SecurityWeek — Clover Health Investments Discloses Data Breach
🛡️ 本日の防御アクション
P0 — 直ちに対応
インターネットに公開されたすべてのオンプレミス SharePoint サーバーへパッチを適用してください。
SharePoint ファームの構成アップグレード処理を完了してください。
パッチ適用前に公開されていたシステムでは、SharePoint のマシンキーおよび関連シークレットをローテーションしてください。
影響を受けるすべての PAN-OS GlobalProtect ポータルおよびゲートウェイへパッチを適用してください。
パッチ適用後、アクティブな GlobalProtect セッションを終了してください。
過去の VPN セッションを調査し、認証バイパスの兆候を確認してください。
すべてのセルフホストまたはパートナー管理型 ServiceNow インスタンスに、CVE-2026-6875 の更新が適用されていることを確認してください。
P1 — 侵害の痕跡をハンティング
SharePoint サーバーで、異常な信頼エンドポイントへのリクエストと IIS ワーカープロセスの子プロセスを検索してください。
SharePoint システムで、マシンキーへのアクセスと侵害後の永続化を確認してください。
C:\PerfLogs\配下にある Qilin のステージングファイルを検索してください。PsExec、LSASS ダンプ、NTDS 抽出、大規模なクラウドストレージ転送を検知してください。
GlobalProtect セッションを、正当なアイデンティティプロバイダー認証イベントと相関分析してください。
ServiceNow ログから、認証前 JavaScript クエリ式を検索してください。
MID Server の活動と特権統合資格情報を確認してください。
P2 — アイデンティティ制御の強化
医療、ITSM、管理者アカウントに、フィッシング耐性のある MFA を必須化してください。
アカウント復旧およびヘルプデスクのリセット手順を制限してください。
不審なサインイン後は、リフレッシュトークンを失効させてください。
VPN、エンドポイント、Active Directory、クラウドストレージのテレメトリを相関分析してください。
非人間アイデンティティ、サービスプリンシパル、統合資格情報をインベントリ化してください。
承認済みワークフローに対応しない特権 SaaS 活動を検知してアラートを出してください。
エンドポイントの優先事項
管理者活動を共有ユーザーワークステーションから分離してください。
特権ユーザーが、侵害されている可能性のあるエンドポイントへサインインしないようにしてください。
レジストリハイブのマウントとユーザープロファイル操作を監視してください。
ジャンプホストおよび特権アクセスワークステーションで LegacyHive の緩和策を評価してください。
第三者製マイクロパッチは、将来の Microsoft 更新の代替ではなく、リスクベースの補完的コントロールとして扱ってください。
📌 最終評価
本日の各インシデントには、共通する運用上のパターンがあります。
攻撃者は、信頼された企業のコントロールプレーンを、より広範な侵害へ直結する経路へと変えています。
SharePoint の信頼処理フローが、RCE とマシンキー窃取の仕組みとなりました。
GlobalProtect の認証 Cookie が、ランサムウェア侵入の入口となりました。
ServiceNow のスクリプティングサンドボックスが、高権限ワークフローへの橋渡しとなりました。
Windows のユーザープロファイル処理により、ローカルアクセスから別ユーザーのコンテキストでのコード実行へ至る可能性のある経路が生まれました。
侵害された医療機関の従業員アカウントは、中核の請求処理または財務システムへアクセスせずとも、機密情報へ到達する可能性を生みました。
これらのインシデントは、対処を最初に露出したコンポーネントだけで終わらせてはならないことも示しています。
侵害されたプラットフォームでは、すでに以下が露出している可能性があります。
暗号鍵
アクティブなセッション
管理者アイデンティティ
下流の統合
内部ネットワークへのアクセス
機密性の高い業務記録
防御上の教訓も一貫しています。
露出したコンポーネントへパッチを適用すると同時に、そのコンポーネントがすでに露出させた可能性のある、すべての信頼関係を調査してください。
#CyberSecurity #ThreatIntelligence #CISO #SOC #SharePoint #PANOS #GlobalProtect #ServiceNow #Ransomware #IdentitySecurity #VulnerabilityManagement #IncidentResponse