米CISA、連邦政府各機関に1年以内のEoLデバイス撤去を指示

nosa

2026.02.06

米CISA、連邦政府各機関に1年以内のEoLデバイス撤去を指示

The Record – February 6th, 2026

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は5日、高度なハッカーによる悪用事例が増えていることを受け、製造元のサポートが終了したハードウェアやソフトウェア（EoLデバイス）を1年以内にすべて撤去するよう、連邦政府各機関に指示した。

CISAが「新規または既知の脆弱性を悪用する執拗なサイバー脅威アクターに対して特に脆弱」として注意を呼びかけたのは、ロードバランサー、ファイアウォール、ルーター、スイッチ、無線アクセスポイント、ネットワークセキュリティアプライアンス、モノのインターネット（IoT）エッジデバイスなど。記者会見に応じたサイバーセキュリティ担当エグゼクティブアシスタントディレクターのNick Andersen氏は、エッジデバイスを標的とする攻撃者に「国家とつながりのある者も含まれる」と述べた。ただし、関与が疑われる国の名前や、今回の指令の発端となったインシデントについては具体的な言及を避けている。

「これは特定のインシデントや侵害への対応ではなく、サポート対象外のデバイスが連邦政府のシステムに深刻なリスクをもたらすとの認識に基づくものだ」とAndersen氏は説明した。今回の指令により、連邦政府民間機関は直ちに全デバイスをサポート対象バージョンに更新した上で、CISAのEOS（サポート終了）エッジデバイスリストに記されたネットワーク内の全デバイスのインベントリを3か月以内に提出することが義務付けられる。また、特定されたデバイスを1年以内にすべて撤去するだけでなく、EoLデバイスをセキュリティアップデートが提供されるデバイスに適宜交換しなければならないほか、サポートが受けられなくなる可能性のあるデバイスを継続的に検出するプロセスも2年以内に構築する必要があるという。

EOSエッジデバイスリストには、すでにサポートが終了している、あるいは今後数か月以内に終了するデバイスの情報が含まれているようだが、CISAは同リストを公表していない。また、CISAは支援を必要とする機関をバックアップし、コンプライアンスの進捗状況を追跡すると述べたものの、本指令の発端となった具体的な脅威アクターやインシデントを明らかにしなかった。なお、この指令には「特定のベンダーを標的としたキャンペーンについて最近公開されたレポート」に関する記述があるが、参照したレポートについても詳細は記されていない。

エッジデバイスはネットワークへの侵入口として長らく悪用され続けており、中国やロシアの国家支援型アクターがBarracuda、Ivanti、Fortinetといった企業のデバイスを狙って複数のキャンペーンを展開している。