CISA KEV 警告 26/05/21：Trend Micro Apex One の脆弱性 CVE-2026-34926 を KEV に登録

CISA Warns Trend Micro Apex One Vulnerability Is Being Exploited in Attacks

2026/05/22 gbhackers — CISA は、新たに公開された Trend Micro Apex One の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録し、この欠陥が実環境で積極的に悪用されていると警告した。この脆弱性 CVE-2026-34926 が影響を及ぼす範囲は、Trend Micro Apex One のオンプレミス・デプロイメントであり、エンタープライズ環境に深刻なリスクをもたらす。

Trend Micro Apex One の脆弱性

この脆弱性はディレクトリ・トラバーサル (CWE-23) に分類され、認証済みのローカル攻撃者に対して、サーバ・サイド・ファイルの操作を許すものとなる。

この欠陥を突く脅威アクターは、Apex One サーバ内の重要なキーテーブルを改変できる。それにより悪意のコードが注入され、接続されたエンドポイント・エージェントへと配布される。結果として、セキュリティ・プラットフォーム自体が、マルウェア配布メカニズムへと転用される。

CISA によると、実環境での脆弱性 CVE-2026-34926 悪用が確認され、2026年5月21日に KEV カタログへ追加された。

現時点では、ランサムウェア・キャンペーンとの直接的な関連性は報告されていないが、大規模侵害につながる可能性があるため、未パッチの環境は極めて危険な状況にある。攻撃者は、信頼された更新メカニズムを悪用し、エンタープライズ・ネットワーク全体への広範なアクセスを獲得できる。

Trend Micro Apex One は、エンドポイント保護として広く利用されているため、攻撃者にとって価値の高い標的となる。このプラットフォームにおいて、管理されるエージェントに悪意のペイロードが注入されると、影響範囲が大幅に拡大する。その結果、ネットワーク全体の侵害／データの外部送信／ラテラル・ムーブメントなどにつながる可能性がある。

CISA は連邦機関に対し、2026年06月04日までに脆弱性 CVE-2026-34926 を修正するよう指示している。また、民間のユーザー組織に対しても、ベンダーが提供する緩和策を即時適用するよう強く求めている。パッチや対策が存在しない場合には、リスクが解消されるまで、対象システムの使用停止も検討すべきとしている。

セキュリティ・チームは、以下の対応を優先する必要がある。

  • Trend Micro が提供する最新のセキュリティ・アップデートまたはパッチを適用する。
  • Apex One サーバへのローカル・アクセスを制限して攻撃面を縮小する。
  • サーバ側のコンフィグ・ファイルやキー・テーブルの異常な変更を監視する。
  • エンドポイント・エージェントにおける不正コード配布の兆候を確認する。
  • 該当する場合は Binding Operational Directive ( BOD ) 22-01 に従う。

さらに、この脆弱性の性質を踏まえると、侵害指標 (IOC) を特定するための脅威ハンティングの実施が、組織にとって必要となる。現時点で、具体的な IOC は広く公開されていないが、エージェントの異常動作や予期しない更新は悪用の兆候となり得る。

CISA KEV カタログへの CVE-2026-34926 の追加は、対応の緊急性を示している。攻撃者がセキュリティ基盤を標的化する傾向が強まる中、このような脆弱性が示すのは、エンタープライズ全体を制御する管理システムの防御の重要性である。

Trend Micro Apex One のオンプレミス環境を利用する組織は、この脆弱性をクリティカルとして扱い、侵害が広範に拡大する前に即時対応を実施する必要がある。

訳者後書：Trend Micro Apex One の脆弱性 CVE-2026-34926 は、サーバ内のファイル管理において、指定されたディレクトリ以外の場所にアクセスできてしまうディレクトリ・トラバーサルに起因します。 このプログラムの不備により、攻撃者がサーバ内の重要なキーテーブルを不当に書き換えることが可能になっていました。その結果、本来は安全なはずのエンドポイント向け更新メカニズムを悪用され、接続された端末に悪意のコードが配られてしまう状態を招いています。この脆弱性が CISA KEV に登録されたことで、実環境での悪用が証明されました。ご利用のチームは、ご注意ください。よろしければ、CISA KEV ページも、ご参照ください。