← ブログに戻る

セキュリティブリーフィング 2026年4月18日: ActiveMQ悪用、Windowsゼロデイ、LSASSパッチ余波

本日のセキュリティブリーフィングは3つの具体的なシグナルを追います。CISAはApache ActiveMQの悪用を警告し、Huntressは漏えいしたWindows権限昇格ゼロデイが実侵害で使われていると確認し、Microsoftは一部のパッチ適用済みドメインコントローラーでLSASSクラッシュループを認めました。

---

---

1. ActiveMQはパッチ待ちから実運用の悪用へ移った

CISAはCVE-2026-34197の活発な悪用を確認し、KEVカタログに追加しました。この欠陥はApache ActiveMQ Classicに影響し、不十分な入力検証により認証済みのリモートコード実行を許します。Apacheは6.2.3と5.19.4で修正しましたが、公開されたbrokerは依然として狙いやすい標的です。Shadowserverは7,500超のインターネット公開システムを追跡しています。

• 公開されたActiveMQ Classicノードを直ちにパッチし、実際の稼働バージョンを確認する。
• brokerログで brokerConfig=xbean:http:// と VM transport の不審な利用を確認する。
• brokerがインターネット公開かつ業務上重要なら、否定できるまで事後侵害の可能性を前提にする。

---

2. 漏えいしたWindowsゼロデイは実侵害の一部になった

HuntressはBlueHammer、RedSun、UnDefendの手法が実際の攻撃で使われていると報告しました。BlueHammerは4月に修正されましたが、RedSunとUnDefendにはまだ完全なベンダー修正がありません。観測された活動にはSSL VPNユーザー侵害の後に続く対話型の攻撃者行動が含まれます。もうGitHub上の研究PoCではありません。

• 最近のVPN起点アクセスは、特にDefender有効なWindowsホストでは権限昇格の足掛かりとして扱う。
• 4月のPatch Tuesdayで完全に閉じたと考えない。2つの手法は補完策と厳密な監視がまだ必要です。
• Defender更新抑止と突然のSYSTEM権限操作が同時に見えるなら、クリーンアップ前に端末証跡を確保する。

---

3. 4月のサーバーパッチには可用性の罠もある

Microsoftは、KB5082063がPrivileged Access Management環境の一部non-Global CatalogドメインコントローラーでLSASSクラッシュと再起動ループを引き起こす可能性を認めました。つまり通常のセキュリティ展開が、アイデンティティ停止リスクに変わります。展開統制が弱いと、認証の不安定さが迅速なパッチの効果を消します。

• PAM関連のnon-GCドメインコントローラーでは、Microsoft条件を確認するまで広範展開を止める。
• パッチ波の前にセキュリティとアイデンティティチームを連携させる。今のリスクは悪用可能性と認証障害の両方です。
• 起動初期の認証を処理するドメインコントローラーに触る前に、ロールバックとサポート経路を準備する。

---

セキュリティチームが今日やるべきこと

1. まずActiveMQの緊急トリアージを終える。特に公開brokerと古いClassic展開を優先する。
2. 最近のVPNアクセスや管理者昇格が怪しい場所でBlueHammer、RedSun、UnDefendの痕跡を探す。
3. KB5082063を広げる前に、PAMドメインコントローラーが影響範囲にあるか確認する。
4. 経営層には、悪用圧力とパッチ不安定リスクを分けた簡潔な更新を送る。

---

Bottom line: 今日の成熟した防御とは、3つの速度で同時に動くことです。公開brokerをパッチし、Windowsの足掛かりを狩り、アイデンティティを落とす可能性のある展開は減速する。