CISA KEV 警告 26/02/17：Chrome／ThreatSonar／Zimbra／Windows の脆弱性を登録

CISA Flags Four Security Flaws Under Active Exploitation in Latest KEV Update

2026/02/18 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実環境におけるアクティブな悪用の証拠を根拠として、Known Exploited Vulnerabilities (KEV) カタログに 4 件のセキュリティ欠陥を追加した。 それらの脆弱性は、Google Chrome／TeamT5 ThreatSonar Anti-Ransomware／Synacor Zimbra Collaboration Suite／Microsoft Windows Video ActiveX Control に存在するものだ。

追加された脆弱性の内容は、以下のとおりである。

  • CVE-2026-2441 (CVSS 8.8)：Google Chrome における解放後メモリ使用 (use-after-free) 脆弱性。リモートからの攻撃により、細工された HTML ページを介して、ヒープ破損が悪用される可能性がある。
  • CVE-2024-7694 (CVSS 7.2)：TeamT5 ThreatSonar Anti-Ransomware バージョン 3.4.5 以下に存在する任意ファイル・アップロード脆弱性。攻撃者が悪意あるファイルをアップロードし、サーバ上で任意のシステム・コマンド実行を引き起こす可能性がある。
  • CVE-2020-7796 (CVSS 9.8)：Synacor Zimbra Collaboration Suite (ZCS) におけるサーバサイド・リクエスト・フォージェリ (SSRF) 脆弱性。攻撃者が細工された HTTP リクエストをリモート・ホストへ送信することにより、機密情報へ不正アクセスに至る可能性がある。
  • CVE-2008-0015 (CVSS 8.8)：Microsoft Windows Video ActiveX Control におけるスタック・ベースのバッファ・オーバーフロー脆弱性。攻撃者が、特別に細工した Web ページを介して、リモート・コード実行に至る恐れがある。

1 つ目の脆弱性 CVE-2026-2441 が KEV カタログへ追加されたのは、Google が「CVE-2026-2441 のエクスプロイトが実環境で存在している」と認めた数日後のことである。現時点で、具体的な武器化の手法は明らかにされていないが、他の脅威アクターによる便乗的な悪用を防止するために、大半のユーザーが修正プログラムを適用するまで、詳細情報は公開されない。

2 つ目の TeamT5 ThreatSonar Anti-Ransomware の脆弱性 CVE-2024-7694 については、現時点で悪用の方法や詳細が明らかにされていない。

3 つ目の Zimbra の脆弱性 CVE-2020-7796 について、GreyNoise が 2025年3月に公表したレポートで明らかにしたのは、約 400 の IP アドレスで構成されるクラスターが、この欠陥を含む複数の SSRF 脆弱性を、積極的に悪用していたことだ。標的は米国／ドイツ／シンガポール／インド／リトアニア／日本に存在する脆弱なインスタンスであった。

4 つ目の脆弱性について Microsoft は、「Exploit:JS/CVE-2008-0015 が埋め込まれた Web ページを閲覧すると、そのユーザーはリモート・サーバに接続され、他のマルウェアをダウンロードする可能性がある」と、Threat Encyclopedia で説明している。また同社は、リムーバブル・ドライブ経由で拡散するワーム Dogkild のダウンロードと実行で、このエクスプロイトが使用されたインシデントを把握していると述べている。

Dogkild は追加バイナリの取得と実行の機能を備え、特定のシステム・ファイルの上書き／多数のセキュリティ関連プロセスの終了／Windows hosts ファイルの改竄などの能力を有する。これにより、ユーザーがセキュリティ関連 Web サイトへアクセスすることを妨害する。

FCEB 機関に対して CISA は、2026年3月10日までに必要な修正を適用し、最適な防御を確保するよう指示している。

CISA が KEV に、4 件の脆弱性を登録しました。いずれも入力検証やメモリ管理の不備に原因があるものです。悪用が確認されたのは米政府内の実環境ですが、いずれの脆弱性も、民間組織に対して影響を及ぼすものです。ご利用のチームは、ご注意ください。よろしければ、CISA KEV ページも、ご参照ください。