[META] { “status”: “Production”, “security_level”: “High”, “author_role”: “CSIRT/Senior Security Engineer”, “target_audience”: “IT Infrastructure Managers / Security Analysts”, “technical_focus”: [“Vulnerability Management”, “Detection Engineering”, “Incident Response”], “compliance”: [“NIST SP 800-61”, “MITRE ATT&CK”], “format_version”: “1.1” } [/META]

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

【緊急対策】Microsoft Office ゼロデイ (CVE-2026-21509) による国家的標的型攻撃への対応

【脅威の概要と背景】

2026年初頭、Microsoft Officeの特定コンポーネントに起因するRCE（遠隔コード実行）脆弱性CVE-2026-21509が発覚。国家支援型攻撃グループが初期侵入に悪用。

【攻撃シナリオの可視化】

本脆弱性は、特定の文書ファイルを開くだけで、保護ビュー（Protected View）を回避して任意のコードを実行するものです。以下にMITRE ATT&CKに基づいたキルチェーンを示します。

graph TD
    A["攻撃者: 国家支援型グループ"] -->|フィッシングメール| B("悪意のあるOffice文書 .docx/.xlsx")
    B -->|ユーザーがファイルを開く| C{"CVE-2026-21509 悪用"}
    C -->|Mark-of-the-Web 回避| D["メモリ内シェルコード実行"]
    D -->|子プロセスの生成| E["LOLBins: PowerShell/MSBuild"]
    E -->|C2通信| F["外部サーバーからの追加ペイロード"]
    F -->|内部探索・窃取| G["最終目的の達成"]

【安全な実装と設定】

本脆弱性はアプリケーション側の欠陥であるため、場当たり的なコード修正ではなく、OSレベルおよびグループポリシー（GPO）での「攻撃表面の縮小（ASR）」が最も有効な防御策となります。

1. 脆弱な設定（デフォルト状態）

Officeのデフォルト設定では、信頼済みドキュメントやマクロの実行制限が不十分な場合があります。

2. 安全な代替案（PowerShellによる緩和策の適用）

公式パッチが適用できない環境下での、レジストリ操作による一時的な緩和策（Workaround）の例です。

# 1. Microsoft Office 2016/2019/365 での OLE オブジェクトの読み込みを制限


# 特定の CLSID に対するアクティブ化を拒否する設定

$registryPath = "HKCU:\Software\Microsoft\Office\16.0\Common\COM\Compatibility\{Specific-Vulnerable-CLSID}"
if (!(Test-Path $registryPath)) {
    New-Item -Path $registryPath -Force
}
Set-ItemProperty -Path $registryPath -Name "Compatibility Flags" -Value 0x00000400

# 2. Windows Defender ASR (Attack Surface Reduction) ルールの強制


# 「Office アプリケーションによる子プロセスの作成をブロックする」 (D4F940AB-401B-4EFC-AADC-AD5F3C50688A)

Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled

【検出と緩和策】

パッチ未適用の期間を乗り切るための、多層防御戦略を推奨します。

1. EDR/SIEMでの検知ポイント

• 親プロセスの監視: winword.exe, excel.exe, powerpnt.exe が powershell.exe, cmd.exe, wscript.exe, msbuild.exe を起動した際にアラートを生成。

• ファイル整合性監視: %TEMP% ディレクトリ下での不明なDLL（特にリフレクティブDLLロード）の作成を監視。

2. 応急的な緩和策 (Workaround)

• Office Trust Centerの設定: 「信頼できない場所にあるファイルに対する保護ビュー」を強制し、例外を最小限にする。

• ネットワーク分離: 業務上必須でない限り、Officeアプリからの外部ドメイン（特に新規取得ドメイン）へのHTTP/HTTPSリクエストをプロキシで遮断。

【実務上の落とし穴】

• 可用性への影響: ASRルールやマクロ制限を強化しすぎると、VBAを活用している基幹業務システムや、外部データ参照を行っているExcelツールが動作不全を起こすリスクがあります（可用性と機密性のトレードオフ）。

• 誤検知（False Positive）: アドインソフトウェア（翻訳ツール、リサーチツール等）がOfficeプロセスから子プロセスを起動する場合、正規の動作をブロックしてしまう可能性があります。導入前に監査モードでのログ確認が必須です。

【まとめ】

組織が直ちに実施すべき3つの優先事項：

1. ASRルールの適用: Officeからの子プロセス生成をブロックする。

2. EDR監視の強化: Officeプロセスツリーの異常な挙動をリアルタイムで検知・遮断する体制を確認する。

3. 資産の棚卸しとパッチ計画: 修正プログラム公開後、即座に検証・展開できるよう、配布対象の優先順位（重要資産/VIP）を確定させる。

参考文献

• Microsoft Security Response Center (MSRC)

• JPCERT/CC: 脆弱性対策情報

• MITRE ATT&CK: Software Component Discovery (T1518.001)