ラベルがトリアージ機械に入ったとき — SharePoint RCE と MikroTik MikroTrick が同日 KEV に載った 9/25 の 2 件

2026 年 9 月 25 日、CISA は Known Exploited Vulnerabilities (KEV) カタログに実利用の証拠に基づく 2 件の脆弱性を追加した。Microsoft SharePoint Server のコード注入 CVE-2026-65660 と、MikroTik RouterOS の「動作経路の不適切な実行」CVE-2026-67279 の 2 件 (CISA アラートによる)。いずれも修正は数週間前から配布されており、本日の話題は「パッチが存在しなかった」ことではなく、ラベルと優先順位が実態に追いついていなかったことである。

Microsoft SharePoint 側では、CVE-2026-65660 は 8 月 11 日のパッチサイクルで「spoofing (偽装) 影響・CVSS 6.5 (中程度)・悪用可能性は低め」のラベルとともに出荷された。一方 MSRC の同エントリには CWE-94 (コード生成の制御不足、すなわちコード注入) が併記されており、CVE レコードには「権限を持つ攻撃者がネットワーク越しにコードを実行可能」と記載されている。MSRC の改訂履歴では、8 月 27 日に Impact と CVE タイトルが「RCE (リモートコード実行) 側」へ書き換えられ、9 月 25 日の改訂で「本脆弱性の悪用に対する観測された攻撃の確かな証拠がある」とされた。NVD では CVSS 3.1 ベースが 8.8 (高) とされ、改訂日は KEV 登載と同じ 9 月 25 日と報じられている。MSRC の Security Update Guide はなお古い「spoofing」の枠組みを表示し続けている (MSRC / NVD / WindowsForum による)。

利用の確定は極めて速かった。9 月 22 日時点で「KEV には無く、実利用の確証も無い」とする報道があった直後の 9 月 24 日、カナダの国家サイバー機関 (Canadian Centre for Cyber Security、アラート AL26-023) が SharePoint Server への脆弱性の活発な利用を把握していると発表し、別の SharePoint 脆弱性とチェーンすることで匿名アクセスを許可したサーバでは pre-auth RCE になると警告した。CVE レコードの CVSS 向量は低権限前提で、単体ではログインユーザーを要するが、匿名配信系の別の脆弱性と連結すればアカウント不要になる可能性があるという指摘である。脅威インテリジェンス企業の Previdian は、CVE-2026-65660 (認証あり) と @vcslab が文書化した匿名配信の脆弱性をチェーンし暗号化ローダを配信してサーバ制御を確立する攻撃を観測したとして報じられている (SecurityOnline / WindowsForum による)。The Hacker News の報道によれば機構は SharePoint の SafeControls リスト (サーバ側コントロールの安全フィルタ) 周りであり、ToolPane コンポーネントが web part マークアップから Register ディレクティブを再構成する際、属性値の二重引用符内の引用符をエスケープせず書くと、認証済みユーザーがフィルタを突破してサーバ上でコードを実行できるとされる。

修正ビルドは 2016: 16.0.5565.1001 未満が対象 (16.0.5565.1001 で修正)、2019: 16.0.10417.20198 未満が対象 (同で修正)、Subscription Edition: 16.0.19725.20522 未満が対象 (KB5002893 で修正) であり、2016 と 2019 は 2026 年 7 月 15 日で EOL とされている。KB5002893 は Subscription Edition 向けで、Workflow Manager を運用するファームには事前の KB5002799 適用が要し、9 月 2026 年以降の公開更新から ToolPane 機能が既定で無効化される (サイトコレクション単位で再有効化可能)。研究者 (Dinh Ho Anh Khoa) によれば、この脆弱性は Microsoft のアドバイザリ対象外でも SharePoint 2013 にも存在するが、2013 は 2023 年 4 月以来更新がなく、隔離または移行が選択肢となる。本稿が参照した出典には SharePoint Online の影響を示す記述は見当たらず、対象はオンプレミサーバのみと報じられている。CISA は 9 月 25 日に CVE-2026-65660 を KEV に追加し、BOD 26-04 での連邦機関期限は 9 月 28 日。フォレンジック・トリアージの要否は Yes とされ、パッチ適用前に入らなかったかを確認することが求められている。MSRC のアドバイザリはなお「exploited: No」を表示しており、Microsoft のフィードから悪用状態を取得するダッシュボードは古い値を見せる可能性がある (WindowsForum による)。

MikroTik RouterOS 側の CVE-2026-67279 は SSH 接続経路の「動作経路の不適切な実行」 (CWE-841) であり、影響は 7.24 〜 7.24.2 未満、7.0.0 〜 7.23.4 未満、6.0.0 〜 6.49.21 未満。CERT Polska は 9 月に RouterOS の 6 件の脆弱性について共同で開示した。その内の重要な 3 件は、CVE-2026-67276 (SSH 認証バイパス、CVSS 9.2: RSA 公開鍵の照合で指数を無視し、modulus を知っていれば指数 1 の鍵を差し出して有効な署名を偽造し、秘密鍵を持たず SSH コマンドチャネルを開ける)、CVE-2026-86060 (許可されていない文字で始まるユーザ名での特権昇格、CVSS 9.2)、CVE-2026-67277 (bandwidth-test 経由のメモリ開示・DoS、CVSS 8.8) である。2 件の組み合わせは「MikroTrick」と名付けられ、SSH が公開網到達の機器は完全制圧され得る。CVE-2026-67279 単体では、クライアントが rekey を要求した後に認証未実施のまま接続プロトコルへ進む経路があり、非認証クライアントがセッションチャネルを開き exec リクエストを送り、RouterOS 管理ファイル領域のファイル作成・上書き・再構築が可能になるとされる。CERT Polska の確認では、攻撃は少なくとも 9 月 2 日から特定 IP (82.192.72.4) 発で発生し、ログに login failure for user -2 や user <name> added by ssh:-2@<ip> が残り、高権限ユーザ "ops" が追加された観測もある。修正 (6.49.21 / 7.23.4 / 7.24.2 / 7.25beta3) には起動時の設定走査と "Flagged" マーカー機能が同梱されるが、CERT Polska はこれは特定の痕跡のみを検出するもので、マーカーが無いことは機器が無事な証明ではなく、既知外の脆弱性もある可能性を排さないと述べている。MikroTik は 9 月 3 日のセキュリティ・ブレットンで大多数の設定はリスク外だが更新を推奨し、既定設定では SSH がインターネットからブロックされるため、手動で開いた場合のみに限定的に扱うべきと述べている。CISA が KEV に追加したのは 6 件の中の CVE-2026-67279 のみで、期限は 9 月 28 日 (CERT Polska / MikroTik / CISA / NVD / Greenbone による)。

分析 (事実と分離): 注目すべきは「どの CVE が深刻か」ではなく、ラベルがトリアージの機械の一部になったときに何が起きるかである。SharePoint 事例の連鎖は、ベンダーアドバイザリのラベルがトリアージ・キューの根拠になり、キューがパッチ優先順位を決め、優先順位が「悪用される前に修正されるか」を決める、というものである。「spoofing・中程度・悪用可能性低め」とラベルされた脆弱性が実際にはコード実行を持っていた場合、下流のすべての決定は誤ったデータを食んでいた。これは直近でこの観測が扱ってきた構造 — Bitget の承認フローで取引データが偽装されて承認判断の情報が汚染された件、F5 BIG-IP APM OAuth ゼロデイで身元発行側が無認証 RCE された件 — と同型で、壊れたのは「発行側」(ここではベンダー自身の重大度ラベル) であり、判断プレーン (パッチ・キュー) がそのラベルを第 1 情報として消費していた。CWE-94 と CVSS 向量は MSRC エントリから存在し、改訂履歴 (8/27 の Impact 変更) も公開されていたが、読み取られたのは Impact フィールドであった。ラベルと向量はリスク情報の API であり、フィールドの意味が元の意味から乖離する (drift) とき、それを検知する手段を持つ側だけが正しくトリアージできる。

防御側への含意: (1) BOD 26-04 のフォレンジック・トリアージ要件は、パッチ適用「前」に侵入がなかったかを遡って確認することを求める。パッチ適用だけでは要件を満たさない。SharePoint なら固定ビルドへの到達を確認し、IIS・エンドポイント・認証ログで Canadian Centre が挙げる指標 (web part の異変、IIS machine key への不審なアクセス、web shell、デシリアライズ活動、AMSI/Defender の SharePoint 関連検知) を遡る。Subscription Edition は AMSI を Full Mode へ。(2) RouterOS は 7.24.2 / 7.23.4 / 6.49.21 以上へ更新し、SSH を信頼 IP 限定または VPN へ。"Flagged" マーカーは侵入の下界として扱い、未知のユーザ・script・scheduler タスク・tunnel を必ず点検する。(3) プロセスとして、ベンダーラベルをリスクベース優先順位の「一つの入力」として扱い、CWE / CVSS 向量 / KEV / EPSS とのクロスチェックを置く。ラベルの改訂 (8/27 の Impact 変更など) と「パッチ後の実利用信号」 (CISA 登載・CERT 警告) を 1 等イベントとしてパイプラインに載せること。なお本稿の事実関係は CISA アラート (https://www.cisa.gov/news-events/alerts/2026/09/25/cisa-adds-two-known-exploited-vulnerabilities-catalog)、MSRC の CVE-2026-65660 エントリ (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-65660)、NVD の CVE-2026-67279 (https://nvd.nist.gov/vuln/detail/CVE-2026-67279)、Canadian Centre for Cyber Security AL26-023 (https://www.cyber.gc.ca/en/alerts-advisories/al26-023-vulnerability-impacting-microsoft-sharepoint-server-cve-2026-65660)、CERT Polska の RouterOS 警告 (https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/ 及び CVE 一覧 https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve)、MikroTik セキュリティ・ブレットン (https://mikrotik.com/supportsec/september-2026-vulnerability/)、The Hacker News (https://thehackernews.com/2026/09/sharepoint-flaw-initially-listed-as.html 及び https://thehackernews.com/2026/09/sharepoint-rce-and-mikrotik-routeros.html)、WindowsForum (https://windowsforum.com/news/cve-2026-65660-cisa-flags-exploited-sharepoint-code-injection.446015/)、Greenbone (https://www.greenbone.net/en/blog/mikrotik-routeros-ssh-vulnerability/) に基づく。分析部分は事実と分けて記述している。