← ブログに戻る

セキュリティブリーフィング 2026年6月3日：Microsoft Defender の KEV 期限、Android ゼロデイ修正、GitHub Enterprise RCE の未対応、Grindr 情報流出

本日の共通テーマは、「修正は存在する」ことと「修正が実際に適用されている」こととの間のギャップです。悪用が確認された2件の Defender 脆弱性に連邦政府の修正期限が到来し、Android は実際に悪用されている欠陥を修正し、GitHub のバックエンド RCE は大多数の自己ホスト型インスタンスで依然として未修正のままで、そして個人情報の流出は、暴露されたデータがどの単一のパッチサイクルよりも長く残ることを誰もに思い出させます。

---

---

1. 悪用された2件の Microsoft Defender 脆弱性が本日 CISA KEV 期限を迎える

CISA は CVE-2026-41091 と CVE-2026-45498 を既知の悪用された脆弱性（KEV）カタログに追加し、連邦民間機関に対して2026年6月3日の修正期限を設定しました。CVE-2026-41091（CVSS 7.8）は攻撃者に SYSTEM 権限を取得させ、CVE-2026-45498（CVSS 4.0）は Defender に影響するサービス拒否の欠陥です。KEV への掲載は、悪用が理論上のものではなく現実であることを示す最も明確なシグナルです。

• 期限当日まで待つのではなく、本日中にすべてのエンドポイントで Defender のプラットフォームとエンジンのバージョンが最新であることを確認してください。
• KEV 期限を連邦限定の義務ではなく、民間部門の修正の最低ラインとして扱ってください。
• Defender のバージョンが遅れているホストでは SYSTEM レベルの権限昇格を警戒してください。

---

2. Android 6月更新が積極的に悪用されている権限昇格の欠陥を塞ぐ

Google の2026年6月の Android 更新は124件の脆弱性を修正し、そのなかには積極的に悪用されている高深刻度の Framework 欠陥 CVE-2025-48595（CVSS 8.4）が含まれます。これはユーザー操作なしで権限昇格を可能にします。操作不要の権限昇格は最も危険な種類です。なぜなら「リンクをクリックしないで」という防御アドバイスを対策として無効化してしまうからです。

• 通常のサイクルではなく優先事項として、6月のセキュリティパッチレベルを管理対象の Android 端末群に配信してください。
• 企業 ID、MDM トークン、または認証アプリを保持する端末を優先してください。
• 速やかに更新できない端末については、条件付きアクセスを強化し、端末コンプライアンスのゲートを再確認してください。

---

3. GitHub のバックエンド RCE は上流で修正済みだが、大多数の自己ホスト型サーバーでは依然として開いたまま

Wiz が公開した CVE-2026-3854 は、GitHub の内部 Git インフラにある深刻なリモートコード実行の欠陥です。認証済みユーザーが一度 git push を行うだけで、数百万の公開・非公開リポジトリにアクセスできるバックエンドノード上で任意のコマンドを実行できます。GitHub.com は報告された当日に修正され、実環境での悪用は確認されていませんが、公開時点で GitHub Enterprise Server インスタンスの約88%が未修正のままでした。

• GitHub Enterprise Server を運用している場合は、修正済みバージョン（3月10日リリースで対応）であることを確認してください。証明できるまでは、未修正の多数派に属していると想定してください。
• 自己ホスト型の開発者インフラを、この欠陥がまさにそう振る舞ったように、最重要のマルチテナント攻撃面として扱ってください。
• 認証済みのプッシュアクセス権を誰が持っているか、そしてバックエンドノード間でネットワーク分離が行われているかを見直してください。

---

4. 報じられた Grindr の流出は ID とアカウント乗っ取りの問題である

2026年6月3日に報告された情報漏えいは、Grindr ユーザーのパスワードと位置情報を暴露したとされています。まだ確認されていなくても、暴露された認証情報と正確な位置履歴は高い影響を持ちます。パスワードは複数のサービスで使い回され、位置情報はこの機微なユーザー層に現実の身体的安全とゆすりのリスクをもたらします。

• あなた自身またはあなたのユーザーがこのサービスを利用している場合は、使い回しているすべての箇所でパスワードをローテーションし、MFA を有効にしてください。
• 流出したメール／パスワードの組み合わせを使って、あなた自身のログインに対して行われる認証情報スタッフィング攻撃を警戒してください。
• 流出した位置情報と ID データは「パッチ」できないことを忘れないでください。永続的なものと想定し、それに応じて対応を計画してください。

---

セキュリティチームが昼食前にやるべきこと

1. Defender のバージョンを検証し、CVE-2026-41091 と CVE-2026-45498 の CISA KEV 期限を満たす。
2. 悪用された Framework の欠陥を塞ぐため、6月の Android 更新を管理対象端末に配信する。
3. CVE-2026-3854 に対して GitHub Enterprise Server を修正し、バックエンドの Git ノードを分離する。
4. Grindr の流出があなたのユーザーや使い回しのパスワードと重なる箇所では、認証情報のローテーションと MFA を強制する。

---

---

結論：本日のリスクは修正が欠けていることではなく、パッチの遅延と不可逆な暴露です。KEV 期限、モバイル更新、自己ホスト型バックエンドは適用されて初めてあなたを守り、流出した ID データは決して取り戻せません。