Cisco ISEに重大なRCE脆弱性2件——CVE-2026-20186・CVE-2026-20147（いずれもCVSS 9.9 Critical）、Patchで即時対応を

シスコシステムズ（Cisco）は2026年4月15日（米国現地時間）、ネットワークアクセス制御（NAC）製品である Cisco Identity Services Engine（ISE）と Cisco ISE Passive Identity Connector（ISE-PIC）に深刻な脆弱性が複数存在するとして、セキュリティアドバイザリと修正パッチを公開しました。中でも CVE-2026-20186（cisco-sa-ise-rce-traversal-8bYndVrZ）と CVE-2026-20147（cisco-sa-ise-rce-4fverepv）はいずれも CVSSv3.1 基本値 9.9（Critical）で、認証された攻撃者がリモートからroot権限で任意コマンドを実行できる内容です。

CVE-2026-20186 は Cisco ISE 3.4 およびそれ以前を対象とした RCE/パストラバーサル系の脆弱性で、Read Only Admin（最小権限の管理アカウント）以上の認証情報があれば、Web管理インターフェースに対する細工したHTTPリクエストで管理外OSにアクセスし、コマンド実行とroot昇格が可能です。CVE-2026-20147 は ISE 3.5 以前が影響を受け、こちらも Read Only Admin 以上の認証情報からコマンドインジェクションでroot権限を奪取できる構造です。Cisco は本件アドバイザリの中で「軽減策（workaround）は存在しない」と明記しており、設定変更だけでは塞げないことが示されています。

修正版は ISE 3.1 Patch 11、3.2 Patch 10、3.3 Patch 11、3.4 Patch 6、3.5 Patch 3 として配布されています。同時に4月15日付で Cisco Webex に関する CVE-2026-20184・CVE-2026-20180 を含む4件のCriticalも公表されており、企業向け認証・コラボ製品まわりが今月の重点リスクとして浮上しています。CCB（ベルギー連邦サイバーセキュリティセンター）は同日、加盟組織に「即時パッチ適用」を勧告しました。

影響を受けるバージョン（要対応）

PayPay送金を悪用するフィッシング、4月だけで3件の緊急情報——「国民健康保険料」「保険会社」「クレカ請求」を装い被害者自身に送金させる新型手口

フィッシング対策協議会は2026年4月、PayPayアプリでの送金を悪用したフィッシング詐欺について複数回の緊急情報を発出しました。4月2日に「クレジットカード月額請求や通信料金支払い」を装う手口、4月13日に「国民健康保険料の差額催告」を装う手口、4月16日に「保険会社からの保険料請求」を装う手口について、それぞれ警告が出されています。新型手口の特徴は、攻撃者がPayPay正規アプリの送金機能（送金リンク）を悪用しているため、被害者は不審に思わずに本人の意思で送金してしまう点です。

4月13日の事例では、メールの件名は「国民健康保険料差額（未納分）のお知らせ（催告）」など。本文中の「納付手続き（PayPay）はこちら」リンクをタップするとスマートフォンのPayPayアプリが起動し、送金画面が立ち上がります。アプリ自体は本物（偽アプリではない）で、送金先と金額があらかじめ攻撃者の口座情報で埋まっているため、ユーザが「確認」をタップしてしまえば即座に攻撃者へ送金されます。

4月16日の事例は、件名「【重要】2026年4月 保険料ご請求予定金額のお知らせ」など、保険会社の通常通知に酷似する文面が使われています。決済者が経理担当（個人名義クレカ・QR決済を業務支払いに併用しているケース）の場合、業務メールを装った偽請求から会社資金が抜かれるリスクもあります。協議会は「メール経由でPayPayアプリを開くよう誘導された場合、いったん操作を止めて、送信元・支払先情報を確認してほしい」と呼びかけています。

Next.js 開発元の Vercel が内部システムへの不正アクセスを公表——第三者AIツール経由でGoogle Workspaceアカウント侵害、サプライチェーン懸念が拡大

Web基盤プラットフォーム Vercel（Next.js の開発元）は2026年4月19日、自社の内部システムの一部に第三者による不正アクセスがあったことを正式に公表しました。Vercel は調査と封じ込めのために Google Mandiant および Context（被害発生元のAIツールベンダー）と連携し、被害範囲の特定とログ精査を進めています。Next.js は世界中のWebサービスのフロントエンド基盤として広く利用されているJavaScriptフレームワークで、npm 経由で大量のダウンロードがあります。

Vercel の発表によれば、攻撃の起点は同社従業員が利用していた第三者AIツール「Context.ai」の侵害でした。攻撃者はこの侵害から従業員の Google Workspace アカウントを乗っ取り、Vercel の一部内部環境および「sensitive とマークされていなかった」環境変数へアクセスしました。Vercel は影響を受けた環境変数のローテーション・無効化を実施し、現時点で顧客の本番デプロイへの影響は確認されていないとしています。

一方、4月19日に BreachForums 上で「ShinyHunters」を名乗る人物が Vercel のデータベース・アクセスキー・従業員アカウント・ソースコードを総額200万米ドルで売却すると主張しました。「これがうまくいけば、史上最大級のサプライチェーン攻撃になる」とも投稿されています。BleepingComputer の取材に対して既知の ShinyHunters メンバーは関与を否定しており、模倣もしくは別アクターの可能性があるとされています。Vercel は売り出されたとされるデータの正当性を継続調査中です。