ISSコラム

パッチを当てていても、エッジ機器は侵害されます。2026年11月第1週に公表された2件の事例は、そのことをはっきり示しました。

Zyxelのスイッチでは、「すでに修正済みの脆弱性が悪用された」と思われていた攻撃が、実は未知の脆弱性（0-day）によるものでした。約1,000台が侵害されています。同じ週に、SonicWallのファイアウォールOS「SonicOS」の脆弱性も悪用が確認され、米CISAのKEV（悪用が確認された脆弱性カタログ）に追加されました。

VPN装置、ファイアウォール、スイッチといったエッジ機器は、社内ネットワークの入口にあります。それにもかかわらず、修正の優先度は後回しにされがちです。本コラムでは2件の事例と公開データをもとに、「パッチ適用＝安全」という前提の危うさと、実務で今すぐ取るべき対策を整理します。

事例1：Zyxel GS1900、旧パッチでは防げなかった0-day（CVE-2026-107441）

Zyxel GS1900シリーズのスイッチ10機種に、認証なしでOSコマンドを実行される脆弱性がありました。CVE-2026-107441、CVSS 8.8です。管理用CGIの範囲外書き込みが原因で、細工したHTTPリクエストを送るだけで悪用できます。

この事例の本質は「誤認」にあります。9月の攻撃は当初、6月に修正済みの別の脆弱性CVE-2026-7273を悪用したものと見られていました。Binarlyが調べると、攻撃者は未知のエクスプロイトを使っており、CVE-2026-7273のパッチを当てた機器も侵害されていました。被害は約1,000台です。攻撃者は中国系とされ、マルウェアJitterlyとSixzutの亜種を設置していました。

つまり、「注意喚起に出ていたCVEは修正済み」という理由で安心した組織ほど、侵害に気づくのが遅れた可能性があります。修正版が出たのは報告から24日後で、その間も攻撃は続いていました。

事例2：SonicWall SonicOS、悪用確認と同日にKEV追加（CVE-2026-19868）

SonicWallはSonicOSの脆弱性CVE-2026-19868について、悪用を確認したと公表しました。VPNのログインを弱める脆弱性と報じられています。CISAは2026年11月6日にKEVへ追加し、カナダ・サイバーセキュリティセンターも同日に注意喚起（AV26-1133）を出しました。

影響を受けるのは、SonicOS 7.3.4-7013より前と8.2.2-8015より前のバージョンです。同じ週にSonicWallは、GMS（管理製品）の一部の脆弱性を修正しない方針も示しています。

この事例から分かるのは、エッジ機器では「悪用確認」と「KEV登録」がほぼ同時に来るということです。KEVに載ってから動き始めると、その時点で攻撃はすでに始まっています。

データで見る「後回し」：ネットワーク機器の修正は中央値1年超

Microsoftは2026年11月2日、約38万3,000件のCVEを分析した結果を公表しました。それによると、修正までの期間の中央値は、ネットワーク機器が突出して長くなっています（ITmedia）。

攻撃側の速度は反対に上がっています。CISAがKEVに登録するまでの平均日数は、2024年の89日から2026年（9月時点）は20日に縮み、中央値は3日です。2025年に初めて悪用が確認された脆弱性の29%は、CVE公開日より前に悪用されていました（VulnCheck調べ）。

悪用された脆弱性の78%は、RCE・認証回避・権限昇格のいずれかです。今回の2件はまさにその組み合わせで、攻撃者は数日で動き、防御側はネットワーク機器の修正に1年以上かけているのが現状です。

なぜ「パッチ済み＝安全」ではないのか

パッチが防ぐのは「その脆弱性」だけです。攻撃者がその機器を狙う理由までは消えません。理由は次の3つです。

1. 攻撃者は機器を狙っており、個々のCVEにはこだわらない。 Zyxelの事例では、同じ攻撃者が既知の脆弱性を塞がれた後、別の未知の脆弱性に切り替えていました。インターネットに公開された管理画面がある限り、狙われ続けます。

2. パッチ適用前に侵入されていれば、適用後も潜伏は続く。 パッチは、設置済みのバックドアや盗まれた認証情報、追加されたアカウントを消しません。エッジ機器は多くの場合EDRを入れられず、侵害に気づきにくい場所です。

3. 「どのCVEが使われたか」の答えが後から変わる。 初期の報告をもとに「当社は対象外」と判断すると、今回のように誤認が判明したときに対応が遅れます。

つまり、エッジ機器では「修正したか」だけでなく、「すでに侵入されていないか」と「そもそも外から届く構成か」を毎回問う必要があります。

実務者が今すぐやるべきこと

今週中に着手できる順に並べました。

☐ 対象機器の確認： Zyxel GS1900シリーズとSonicOSを使っているか。使っていれば、それぞれの修正版（SonicOSは7.3.4-7013以降、8.2.2-8015以降）を適用する。

☐ 侵害されていないかの確認： 適用前に設定とログを保全する。不審な管理者アカウント、設定の変更、不明な外部通信、ファームウェアの改ざんを確認する。

☐ 認証情報の更新： 侵害されていないと言い切れない場合は、管理者パスワード、VPNの利用者認証情報、証明書を更新する。

☐ 管理画面を外に出さない： 管理用のWeb UIやSSHをインターネットに公開しない。外部の攻撃面調査（ASM）で、自社のIPから何が見えているかを確認する。

☐ 優先順位の付け方を変える： CVSSの点数だけでなく、KEVへの登録とEPSS（悪用予測スコア）、その機器が外から見えるかを判断軸に加える。インターネットに面したエッジ機器のKEV掲載脆弱性は、数日以内に対応する。

☐ サポート終了品と修正されない製品を洗い出す： SonicWall GMSのように「修正しない」と宣言された製品や、サポート終了の機器は、更新計画を立てるか、外部から切り離す。

☐ 委託先との役割を決める： 運用保守の契約で、脆弱性情報の監視、修正の適用、侵害の確認を誰がいつまでに行うかを明記する。

ISMS（ISO/IEC 27001:2022）では、主に「8.8 技術的脆弱性の管理」、「8.20 ネットワークセキュリティ」、「5.19～5.22 供給者関係」の管理策に対応します。

まとめ

エッジ機器の対策では、「パッチを当てたか」だけでなく、「侵入されていないか」と「外から届く構成か」も確かめる必要があります。攻撃者は数日で動き、ネットワーク機器の修正には1年以上かかっているのが現状です。後回しにしてきた入口の機器から、要点を絞って見直してください。

インターネットセキュアサービス株式会社（ISSKK）では、外部から見える攻撃面の調査、エッジ機器を含む脆弱性診断・ペネトレーションテスト、脅威インテリジェンスによる優先順位付け、ISMSの運用改善までを支援しています。自社の入口がどう見えているか気になる方は、お気軽にご相談ください。

出典

• Zyxel Switch Hacks Blamed on Patched Flaw Actually Exploited a Zero-Day（SecurityWeek、2026年11月5日）
• SonicWall security advisory AV26-1133（Canadian Centre for Cyber Security、2026年11月6日）
• SecurityWeek（2026年11月2〜9日の見出し）
• 脆弱38万件のうち悪用されたのは約0.5%　Microsoftが示す「先に対処すべき脆弱性」とは？（ITmedia エンタープライズ、2026年11月5日）
• CISA Known Exploited Vulnerabilities Catalog