チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
「CISAのKEVカタログに新しい脆弱性が追加されたって聞いたけど、自社のWindows環境は大丈夫？」
「ScreenConnectなんて使ってないし、関係ないよね？」
チップスボス、CISAが急にKEVカタログに2件も追加したでしゅよ！しかも対応期限が5月12日って、ゴールデンウィーク直撃でしゅ……。
ボスふふふ、これは要注意だな。特にWindows Shell脆弱性（CVE-2026-32202）はゼロクリックでNTLMv2ハッシュが流出する。Akamaiの研究者が指摘した通り、フォルダを開くだけで認証情報が攻撃者の手に渡るぞ。
休暇前のこのタイミングでKEV追加が出たのは偶然ではありません。
長期休暇中は管理者の対応が遅れがちで、攻撃者が好んで狙う期間だからです。
本記事では、追加された2件の脆弱性の本質と、日本企業が今すぐ取るべき行動を整理します。
休暇前にパッチを当てておくか、休暇明けに被害報告を受けるか、その分かれ道がここにあります。
記事を最後まで読み、あなたの組織のリスクを把握してください。
オススメ案件
【M365・セキュリティ運用およびテクニカルサポート支援】飯田橋（リモート併用）／Entra ID・Intune・Defender
【企業内アプリ開発のゼロトラスト環境整備・運用】麹町（月1回出社）／AWS・Terraform・セキュリティツール
【決済端末ソフトウェア開発（PCI DSS対応エンジニア）】フルリモート／PCI DSS・決済システム
【既存システムのISMAP対応】東京・汐留（リモート併用）／Gap分析・監査対応支援
【開発グループ向けインフラ構築・セキュリティ強化】東京都／Trellix（旧 McAfee）・リモート併用
【CSIRT/SOC体制構築支援】東京・新高島／大手造船業・運用プロセス策定
【クラウド基盤NWサービス維持管理】東京・春日（リモート併用）／FortiGate管理基盤設計・構築
【セキュリティ推進課向けプリセールス支援】フルリモート（稼働80～100%）／提案・PM・コンサル
【メガバンク向けSASE導入支援】東京・中野（リモート併用）／Zscalerトラブルシューティング・テックリード
【金融機関向けAVD・Zscaler導入】フルリモート／アーキテクチャ策定・上流設計支援
4月28日にCISAがKEVカタログへ追加した2件は、いずれも積極的な悪用が確認されています。
CISAは4月28日付けで、ConnectWise ScreenConnectのパストラバーサル脆弱性（CVE-2024-1708）とMicrosoft Windows Shellの保護機構失敗脆弱性（CVE-2026-32202）をKEVカタログに登録しました。
米国連邦民間機関（FCEB）への対応期限は5月12日と定められており、日本企業もこの基準に合わせて動くべきタイミングです。
2件の概要は以下のとおりです。
| CVE | 製品 | 種別 | CVSS |
|---|---|---|---|
| CVE-2024-1708 | ConnectWise ScreenConnect | パストラバーサル（Zip Slip） | 8.4 |
| CVE-2026-32202 | Microsoft Windows Shell | 保護機構失敗（NTLMハッシュ漏洩） | 4.3 |
チップスあれ、Windows Shellの方ってCVSSが4.3なんでしゅね。意外と低いような……？
ボススコアの数字に騙されるな。CISA KEV入りした時点で「実際に悪用されている」という事実が重要なんだ。CVSSは理論値だが、KEVは現場で起きている脅威を示す。
ScreenConnectは中堅企業のリモートサポートやMSP事業者で広く使われており、Shadowserverによれば世界で約8200台が外部公開されていると報告されています。
Windows ShellはほぼすべてのWindows 10／11／Serverに影響するため、日本企業の業務環境のほぼ全域がスコープに入ります。
影響を受けやすい環境は以下のとおりです。
2件の脆弱性は手口が大きく異なります。それぞれの攻撃シナリオを押さえましょう。
CVE-2026-32202は、悪意あるLNKファイル（ショートカット）の中に細工した「LinkTargetIDList」構造を仕込み、攻撃者のサーバーへのUNCパス（例：\\attacker.com\share\payload.cpl）を埋め込みます。
ユーザーがそのフォルダを開くだけでWindowsが自動的にSMB接続を開始し、Net-NTLMv2ハッシュが攻撃者へ送信されます。
本脆弱性は2026年2月に修正されたCVE-2026-21510の不完全なパッチが原因で、Akamaiは2025年12月にAPT28がウクライナ・EUへの攻撃で類似手口を使ったと報告しました。
チップスつまり、添付ファイルを開かなくても、フォルダを覗いただけでアウトってことでしゅか！？怖すぎでしゅ！
ボスそうだ。流出したハッシュはオフラインでクラッキングされるか、NTLMリレー攻撃で横展開に使われる。一度流出すれば取り返しがつかんぞ。
ScreenConnectの脆弱性は、拡張機能（.zip）アップロード時にファイル名のディレクトリトラバーサル文字（../../）を検証していなかったことが原因です。
攻撃者は悪意あるZIPに「../../malware.exe」のようなパスを含めることで、Webシェルをアプリケーションのルートディレクトリに直接配置できます。
結果としてリモートコード実行が成立し、リモート保守対象の全顧客環境への侵入経路となります。
取るべき対策は以下のとおりです。
CISA KEVに追加された2件は、いずれも休暇期間中の悪用に直結する脅威です。
Windows Shellのゼロクリック攻撃はファイルを開かずとも被害が発生し、ScreenConnectのZip Slipは保守経由で多数の顧客環境を巻き込みます。
パッチ適用とSMB遮断、運用ログの強化を5月12日までに完了させ、休暇中の侵害を未然に防いでください。
チップスボス、ありがとうございましゅ！連休前にちゃんとパッチ当てるでしゅ！
ボスその意気だ。攻撃者は休まないからな。我々も準備を怠らずいこう。
セキュリティ運用の最前線で経験を積みたい方、休暇中の脅威対応で実力を発揮したい方は、ぜひセキュリティフリーランス案件への参画をご検討ください。
オススメ案件
【M365・セキュリティ運用およびテクニカルサポート支援】飯田橋（リモート併用）／Entra ID・Intune・Defender
【企業内アプリ開発のゼロトラスト環境整備・運用】麹町（月1回出社）／AWS・Terraform・セキュリティツール
【決済端末ソフトウェア開発（PCI DSS対応エンジニア）】フルリモート／PCI DSS・決済システム
【既存システムのISMAP対応】東京・汐留（リモート併用）／Gap分析・監査対応支援
【開発グループ向けインフラ構築・セキュリティ強化】東京都／Trellix（旧 McAfee）・リモート併用
【CSIRT/SOC体制構築支援】東京・新高島／大手造船業・運用プロセス策定
【クラウド基盤NWサービス維持管理】東京・春日（リモート併用）／FortiGate管理基盤設計・構築
【セキュリティ推進課向けプリセールス支援】フルリモート（稼働80～100%）／提案・PM・コンサル
【メガバンク向けSASE導入支援】東京・中野（リモート併用）／Zscalerトラブルシューティング・テックリード
【金融機関向けAVD・Zscaler導入】フルリモート／アーキテクチャ策定・上流設計支援
