【朝のセキュリティ】脅威動向 (2026-09-05) 今日の焦点は2つ。Chromeのゼロデイ（CVE-2026-85046）が悪用確認済みでCISA KEV（KEV＝悪用確認済み脆弱性の米国リスト）に登録。Citrix NetScalerの認証バイパス（CVE-2026-19490）は公開PoCを使った攻撃試行が観測され始めた。どちらも今日中にバージョン確認を。 🚨 脆弱性・パッチ 🔴・Google Chrome → V8エンジンの型混同 CVE-2026-85046。Googleが「悪用コードが存在」と明言、CISAが9月4日にKEVへ追加。修正版は152.0.7977.82/.83（Win/Mac）、.82（Linux）。設定→Chromeについて→更新後に再起動。Edge/Brave等のChromium系は数日遅れで配信。今年6件目のChromeゼロデイ。 🔴・Citrix NetScaler ADC/Gateway → 認証バイパス CVE-2026-19490 / CVSS v4.0 9.3。8月19日のCTX696939で修正済みだが、9月3日に公開PoCと一致するリクエストを3カ国の送信元から観測（Previdian社）。ベルギー当局CCBも9月4日に警告。AAA仮想サーバまたはGateway（SSL VPN等）構成が対象、回避策なし。Citrix自身はまだ「悪用確認」と表明しておらず、侵害成功の確認も未報告。修正版適用と、8月19日以降の認証ログ確認を。 ・キーエンス XG / XG-X VisionTerminal → 画像処理システム設定ソフトのXXE（外部エンティティ参照）CVE-2026-82918 / CVSS v3.1 5.5。細工した設定ファイルを開くとPC内の情報が読み取られる。JVNVU#98062224。工場PCで出所不明の設定ファイルを開かない運用と、更新版の適用を。 🕵️ 攻撃・インシデント 🟡・CrowdStrike Falcon「FalconFlank」→ 匿名研究者Nightmare Eclipseが、Falcon Sensorの「Officeマクロ除去」機能を悪用して最新Windows 11/Server 2025でSYSTEM権限を得るゼロデイPoCを公開。CVE未割当。CrowdStrikeは調査中とし、暫定策として「Microsoft Office File Suspicious Macro Removal」ポリシーの無効化を案内（詳細はサポートポータルのTech Alert）。同研究者は今週KasperskyとAvastの権限昇格PoCも公開しており、動作は第三者が確認済み。 🟡・Coder（開発環境基盤）レジストリ侵害 → 攻撃者がCoderのCloudflare設定に侵入し不正サーバをレジストリのIPプールへ追加。8月31日07:35〜21:45（UTC）に改ざんTerraformモジュールが配信され、クラウド/AIのAPIキー、CI/CD認証情報、OIDCトークン、SSH鍵を窃取してcoder-infra[.]comへ送信。Coderは影響環境を全て特定できないとしている。利用組織は当該ドメインへの通信有無をログで確認し、該当時間帯の取得モジュールを破棄、認証情報を全てローテーション。修正版2.37.0/2.36.4/2.35.7/2.34.9。 ・http://IDScan.net（米ID確認サービス）→ 米加の運転免許証スキャン1億5,300万件超がダークウェブで販売されたとKrebs on Securityが9月1日に報道。Hertz、Target、FedEx、Caesars等の利用企業の顧客が含まれるとされ、集団訴訟が4件以上、FBIが捜査中。同社は「調査中」で詳細未公表。報道ベース。 📜 規制・当局の動き ・仏CNIL（データ保護当局）→ 私立病院Hôpital privé de la Loireに対し、患者・家族72万7,000人分のデータ流出で50万ユーロの制裁金。侵害そのものより「十分な保護措置を怠った」点をGDPR違反として処分した事例。 #サイバーセキュリティ #脆弱性 #セキュリティ
Post summary
The report confirms active exploitation of Chrome’s CVE‑2026‑85046 (listed as a CISA KEV) and observed attack attempts against Citrix NetScaler’s CVE‑2026‑19490, with official patches already released for both, while also noting PoCs and mitigation guidance for other vulnerabilities.