米Microsoftは2026年8月11日の月例セキュリティ更新(Patch Tuesday)で、400件を超える脆弱性の修正プログラムを公開しました。このうち、Windowsの内部で通信処理を担うカーネルドライバー「AFD.sys(Ancillary Function Driver for WinSock)」に見つかった脆弱性「CVE-2026-68820」は、修正公開の時点ですでに実際の攻撃で悪用されていたことが判明しています。セキュリティ企業Check Point Researchの調査によれば、この脆弱性は、北朝鮮を後ろ盾に持つとされるハッカー集団「Lazarus(ラザルス)」が、偽の求人情報を使って防衛・航空宇宙・軍事関連企業の従業員に接触する長期的な攻撃キャンペーン「Operation Dream Job」の一環で悪用していました。攻撃者は、偽の求人関連文書を使って端末に侵入したうえでこの脆弱性を突き、システムの最高権限(SYSTEM権限)を取得して「FudModule」と呼ばれるカーネルレベルのルートキットを仕込んでいたとされます。米CISA(サイバーセキュリティ・インフラセキュリティ庁)はこの脆弱性を「既知の悪用された脆弱性カタログ(KEV)」に追加し、米連邦政府機関に対して2026年8月25日までの対応を求めています。IPA・JPCERT/CCも、日本国内向けにMicrosoft製品の脆弱性対策を呼びかける注意喚起を公開しています。
Check Point Researchの報告によれば、この脆弱性は2026年7月28日に同社からMicrosoft Security Response Centerへ報告され、Microsoftは7月31日に問題を確認、8月5日にCVE番号が採番され、8月11日の月例更新で修正パッチが公開されました。Check Point Researchはこの脆弱性の悪用を、北朝鮮を後ろ盾に持つとされるハッカー集団「Lazarus」による長期的な攻撃キャンペーン「Operation Dream Job」の一環として確認したとしています。このキャンペーンでは、防衛・航空宇宙・航空・ドローン・ロボット工学・軍事関連技術を扱う組織や技術者を主な標的に、偽の求人情報を装ったPDF関連の文書や、細工されたソフトウェアを使って初期侵入が行われていました。
IT Postでは、今回の攻撃が、防衛・航空宇宙という高度なセキュリティ意識が求められるはずの業界の従業員でさえ、偽の求人情報という基本的な手口で突破されてしまったという事実を重く受け止めるべきだと考えます。「怪しいメールやファイルには気をつけましょう」という注意喚起は、個人の警戒心に対策の責任を負わせる構造になりがちですが、5週間にわたって発覚しなかったという経緯を踏まえると、個人の注意力だけに頼った防御にはやはり限界があるのではないかとIT Postでは考えます。組織としては、従業員への啓発と並行して、不審なファイルの実行を技術的に検知・遮断する仕組みや、万が一侵入を許した場合でも被害を最小限にとどめる仕組みを整えることが、働く人個人の負担を減らすうえでも重要ではないかとIT Postでは考えます。※個人の感想です
今後どうなりそうか
生成AIによるイメージ。実物や実際の画面ではありません。
CISAが米連邦政府機関に求めている対応期限は2026年8月25日で、今後もこの脆弱性を悪用した攻撃の続報が出る可能性があります。Check Point Researchなどのセキュリティ企業は、Lazarusによる同種の攻撃キャンペーンを継続的に監視しているとみられ、新たな手口や標的が明らかになることも考えられます。IT Postでは、日本国内での被害状況やIPA・JPCERT/CCからの追加の注意喚起が確認され次第、あらためて取り上げます。
