CISA、SimpleHelp等4脆弱性をKEVに追加、DragonForceとMirai悪用が並行進行

「リモート保守ツールに脆弱性が見つかったらしいけど、自社のMSP契約は大丈夫？」
「CISAの緊急対応指示って、米国機関だけの話ですよね？」

チップス

ボス、CISAが新しく4件も脆弱性をKEVに追加したらしいでしゅ！しかもCVSS 9.9って…ヤバくないでしゅか？

ボス

うむ、SimpleHelpやSamsung MagicINFO、D-Linkといった日本でも使われる製品が含まれている。
MSP経由で連鎖的に被害が広がる構造を、まず押さえておく必要があるな。

米CISAが2026年4月24日にKEV（悪用が確認された脆弱性カタログ）へ追加した4件は、いずれも日本企業の業務環境にも入り込んでいる製品です。
本記事では脆弱性の中身、悪用の手口、担当者が今週中に取るべき対応を整理します。

リモート管理ツールやデジタルサイネージ、家庭向けルーターを扱う担当者は、5月8日の対応期限を区切りに、自社環境の棚卸しと優先度判断に役立ててください。

CISAが4件の脆弱性をKEVに登録した経緯

今回CISAが追加した4件はリモート保守、デジタルサイネージ、家庭ルーターと攻撃面が広く、日本でも実利用が多い製品ばかりです。

KEVに加わった4件のCVE一覧

The Hacker Newsの報道によると、登録された脆弱性は以下のとおりです。
いずれも実際の攻撃で悪用されており、対応の優先度はきわめて高い案件です。

KEV登録の意味と日本企業への波及

KEV登録はBOD 22-01に基づき米連邦機関へ期限内修正を義務づける仕組みです。
今回の期限は5月8日ですが、攻撃者が無差別に狙うシグナルでもあり、民間企業も同じ目線で見ておくべきです。

とくに気をつけたいポイントはこのような点です。

DragonForceとMiraiが悪用する攻撃の仕組み

同じKEV登録でも悪用主体で被害の出方が変わります。
SimpleHelp系はランサムウェア、Samsung・D-Link系はボットネット拡大が中心です。

SimpleHelp三連鎖でMSPを侵害するDragonForce

SecurityWeekによると、DragonForceは3件のSimpleHelp脆弱性を連鎖させて未パッチMSPに侵入し、顧客環境へ一括でランサムウェアを展開しました。
侵害の段取りは概ね以下のとおりです。

チップス

えっ、自社が直接やられなくても、契約しているMSPが落ちたら一発アウトでしゅか？

ボス

そのとおりだ。RMMの正規通信に紛れて配信されるため、エンドポイント側では検知が遅れがちになるのだ。

PoC公開から実攻撃までのスピード感

SimpleHelpは2025年1月中旬のパッチ公開から2週間以内に未パッチ機が攻撃対象となり、Samsung MagicINFOもPoC公開後ほどなくMiraiが取り込みました。
「修正したから安心」ではなく「公開された瞬間にスキャンが始まる」前提で動く必要があります。

担当者がまず確認したい点は次のとおりです。

まとめ

チップス

MSPも自社も両方見ないと足元をすくわれるんでしゅね…

ボス

うむ。KEVは攻撃者の本気サインだ。
5月8日を区切りに、自社で使う製品を一覧化しておけば次の登録にも備えられる。

KEV登録は米連邦機関だけの話ではありません。
SimpleHelpはMSPからの連鎖、Samsung・D-LinkはMirai感染拡大と、日本のサプライチェーンや拠点ネットワークにも直結します。
パッチ適用と外部公開面の見直し、MSPベンダーへの対応状況確認まで一気に進めましょう。

こうしたKEV情報をリアルタイムに翻訳・優先度付けできるセキュリティ人材は、現場で常に引っ張りだこです。
腕に覚えがあるなら、案件ベースで力を試せる場所もあります。