米サイバーセキュリティ・インフラ安全保障庁（CISA、米政府のサイバー防衛を担う機関）は、企業向けVPN製品「アイバンティ・コネクト・セキュア」に見つかった深刻な脆弱性（システムの欠陥）が実際の攻撃に悪用されているとして、連邦政府機関に対し3日以内の修正を命じました。
VPN機器を狙う攻撃
対象となったのは、社外から社内ネットワークへ安全に接続するためのVPN（仮想専用線）機器です。攻撃者が複数の欠陥を組み合わせて管理者権限を奪い、機器そのものを乗っ取れる恐れがあります。CISAは悪用を確認したとして、既知悪用脆弱性（KEV）のリストに追加しました。
異例の短い修正期限
CISAが連邦機関に与えた修正期限はわずか3日間と、通常より大幅に短いものです。それだけ危険度が高いと判断した表れであり、政府機関以外の企業や組織に対しても早急な対応を強く呼びかけています。
相次ぐVPN製品の欠陥
アイバンティ製品は過去にも標的型攻撃で繰り返し悪用されてきた経緯があります。社外からの入り口となるVPN機器は攻撃者にとって格好の標的であり、修正プログラム（パッチ）の即時適用が欠かせない状況が続いています。
日本への影響
アイバンティのVPN製品は日本国内の企業や官公庁でも広く使われており、今回の警告は対岸の火事ではありません。テレワークの普及でVPN経由の社内アクセスが一般化した日本では、同種の欠陥を突かれれば顧客情報や機密データが流出する恐れがあり、情報システム部門には速やかなパッチ適用が求められます。日本のセキュリティ専門機関であるJPCERTコーディネーションセンターやIPA（情報処理推進機構）も過去に同社製品の脆弱性へ注意を促しており、管理者は自社が対象製品を使っていないかを至急確認する必要があります。サイバー攻撃による被害は事業停止や信用失墜に直結するため、経営層にとってもセキュリティ投資はもはや先送りできない課題となっています。個人の利用者も、勤務先や取引先のシステムが影響を受ける可能性を念頭に、不審なログイン通知やパスワードの使い回しに注意を払うことが大切です。
まとめ：海外のセキュリティ警告は、日本の職場のシステムにも直結します。パッチ適用やパスワード管理という足元の備えを、改めて見直してみてはいかがでしょうか。
出典：
BleepingComputer
The Hacker News
Photo: Denny Bú / Unsplash
