タイの大手ブロードバンド事業者、Fortinet製品の脆弱性通じて侵害される（CVE-2024-21762）

タイの大手ブロードバンド事業者、Fortinet製品の脆弱性通じて侵害される（CVE-2024-21762）

SecurityWeek – September 15, 2026

ある脅威アクターが、FortinetおよびF5製品の脆弱性数件を狙ってタイのブロードバンドプロバイダーを侵害したという。Hunt.ioが報告した。

Hunt社は、タイ国内のインフラ（92.63.180[.]133:8888）上でホストされていたオープンなディレクトリを通じて、この攻撃を発見。ディレクトリは2026年6月3日時点でサブディレクトリ30件にわたる298件のファイルから成り、エクスプロイトスクリプトや特権昇格ツール、ブルートフォース用ユーティリティ、クレデンシャルハーベスティングスクリプト、永続化メカニズム、サーバーの応答内容、Cookieファイル、構成設定のアーティファクトなどが含まれていたとされる。Huntによれば、これらのツールは、タイ最大級の固定ブロードバンドサービスプロバイダーであり、数百万人のユーザーを抱える3BB（Triple T Broadband）社と、かつてTriple T Broadbandを所有していたJasmine社を攻撃するため特別に作成されたものだったという。

Huntによると、初期アクセス経路となったのはFortiGate SSL-VPNエンドポイントだったとされる。攻撃者は、アプライアンスのファームウェアバージョンの判断・脆弱性の調査・エクスプロイトの展開を目的とした8つのシェルスクリプトを使い、同エンドポイントのフィンガープリンティングを慎重に実施。パストラバーサルの脆弱性CVE-2018-13379、ヒープオーバーフローの脆弱性CVE-2022-42475、境界外書き込みの脆弱性CVE-2023-27997、別の境界外書き込みの脆弱性CVE-2024-21762といった脆弱性の有無を調査し、CVE-2024-21762を悪用するためのエクスプロイトを展開してリモートコード実行（RCE）を達成したという。

攻撃者はまた、3BB社のF5 BIG-IPインスタンスに対しても偵察行為を実施。CVE-2021-22986、CVE-2022-1388、CVE-2023-46747など複数の脆弱性の有無を調査したほか、同社の社内向けセールスエージェントポータルに対しても偵察を行ったとされる。

初期アクセス獲得後には、複数のLinuxシステムに対し、PwnKit（CVE-2021-4034）やDirty COW（CVE-2016-5195）のエクスプロイトおよびSUIDバックドアインストーラーを用いたroot権限取得の試みが行われた。

ホストの侵害に成功した攻撃者は、MeshCentralをC2プラットフォームとして利用し永続的なリモートアクセスを確立。続いて、ホスト探索・リモートアクセス・クレデンシャルハーベスティングを目的とした複数のスクリプトを使い、3BB環境内でのラテラルムーブメントを実施したとされる。

攻撃者は環境内でSSH鍵・PHP構成・データベース認証情報・SNMPコミュニティ名・Radius認証データの抽出を試みたほか、内部データベースに対してパスワードレスのMySQL認証を実施しようとした。加えて、機微なファイルの読み取りやPHP Webシェルの展開、SSH鍵の注入、データベース特権の修正を行うために2つのスクリプトを使用。最終的に、脆弱性悪用・バックドア展開・PHP Webシェル・MeshCentral展開用スクリプト・システムログに関連する痕跡を削除するスクリプトを実行したとされる。このスクリプトは隠されたSUIDバイナリの確認やMeshCentralサービスが依然として稼働していることの確認など、永続化メカニズムが正常に機能していることを検証して終了することから、侵害されたシステムへのリモートアクセスを継続させつつ、侵入を隠蔽することを目的としていたことが示唆されるという。

HuntはFortiGate SSL-VPNアプライアンスを稼働させている企業や類似のエンタープライズインフラを使用する組織に対し、CVE-2024-21762への対応状況の確認、FortiGateアプライアンスがサポート対象かつ完全にパッチ済みのファームウェアバージョンになっているかの確認、VPNインフラのレビュー、MeshCentral展開の調査などの対策を実施するよう推奨。ブログ記事の中で、関連するIoCも提供している。

Cisco Secure Email GatewayのゼロデイRCEが攻撃で悪用される：CVE-2026-76461

SecurityWeek – September 15, 2026

シスコは9月14日、Cisco Secure Email Gatewayアプライアンスのゼロデイ脆弱性CVE-2026-76461が実際の攻撃で悪用されている旨を顧客に警告した。

CVE-2026-76461は、AsyncOSソフトウェアにおけるEメールパーシングの問題に起因するSQLインジェクションの脆弱性。認証を経ることなくリモートで悪用可能で、悪用が成功した場合は基盤となるOSにおいてroot権限で任意のコマンドを実行できるようになるとされる。

シスコ社PSIRTは、2026年9月に同脆弱性の悪用を認識したという。しかしこのゼロデイを悪用する攻撃の詳細や、どの脅威アクターが関与したのかなどの詳細は明かされていない。シスコはIoCも共有しているものの、攻撃者はデバイス上でroot権限を取得できることから、追跡を免れるためにIoCを削除または隠蔽することもあり得ると述べた。

米CISAも14日にCVE-2026-76461をKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加し、9月17日までの対応を連邦政府機関に命じている。