2026年1月のグローバルなサイバーセキュリティ環境で注目すべき脅威は、新たな攻撃手法や高度なゼロデイの登場ではなく、既知のサービスやインフラが依然として外部に露出したまま残っていたという事実に起因していました。レガシープロトコルである Telnet サービス、企業ネットワークの重要な境界に位置するファイアウォール機器、そして大規模組織のコミュニケーションを担う基幹サーバーに至るまで、攻撃者は技術的難易度よりも到達可能な攻撃対象領域（Attack Surface）を優先して選択していました。
本稿では、2026年1月のグローバルなセキュリティ課題の中から、実際の攻撃成立可能性と運用環境上のリスクが明確に示された3つの事例を分析します。各事例について、脅威の要点、Criminal IP を活用して確認した露出資産の状況、そしてケース別のセキュリティインサイトを整理し、単なる脆弱性の列挙にとどまらない、現実的なリスク判断の視点を提示します。
1. GNU InetUtils telnetd: 11年間潜伏していた認証回避脆弱性（CVE-2026-24061）
要約
最初に取り上げるのは、実に11年間潜伏していた GNU InetUtils telnetd の深刻な認証回避脆弱性です。Telnet は過去の技術として縮小傾向にあるように見えますが、現在でも多くのレガシー機器や産業制御システム（ICS）で利用されています。2026年1月に公開された GNU InetUtils telnetd の認証回避脆弱性（CVE-2026-24061、CVSS 9.8）は、この古い攻撃対象領域を再び最前線へ引き戻しました。本脆弱性は、telnetd がログインプロセスを呼び出す方式に起因しており、特定の環境変数の値を悪用することで、リモートから認証を回避し、root 権限レベルのアクセスが可能になるとされています。影響範囲は GNU InetUtils 1.9.3 から 2.7 とされており、NVD では CISA KEV への登録も併記されていることから、本脆弱性の優先度は一段と高まっています。
特に Telnet は「内部ネットワーク／組み込み機器／OT／旧式機器」に残存しているケースが多く、ひとたび外部に露出した場合、攻撃者は認証情報を窃取することなくシステム掌握を狙える可能性があります。
GNU InetUtils telnetd に関連する資産分析結果
Criminal IP 検索クエリ: service:telnet AND port:23
インターネット上で Telnet サービスが外部に露出している資産を特定するために、上記のクエリを活用できます。
Criminal IP インサイト
今回の CVE-2026-24061 は、外部に露出した Telnet サービスが単なる情報漏えいにとどまらず、即座にシステム掌握へつながり得ることを示唆しています。さらに重要なのは、脆弱性の有無そのものではなく「到達可能であること」に焦点を置くべき点です。Telnet は認証方式以前に、サービスが外部に露出しているという事実自体が重大なセキュリティリスクとなり得ます。
2. Fortinet FortiGate ファイアウォールに対する「自動化された設定攻撃」の急増
要約
Arctic Wolf の最新レポートによると、Fortinet FortiGate ファイアウォールの設定情報を窃取し、不正に構成を変更する自動化攻撃が急増しています。ポイントは単なるスキャンではなく、(1) アカウント作成／持続性の確保 → (2) VPN アクセス付与 → (3) ファイアウォール設定（Configuration）の流出が、数秒以内に連鎖的に進行するパターンです。この動きは、2025年12月に注目された FortiCloud SSO／SAML 関連の脆弱性悪用（例：CVE-2025-59718／59719）と類似した行動特徴を示しており、パッチ適用の有無にかかわらず、運用環境における SSO ログイン構成、管理インターフェースの露出、設定ドリフトが組み合わさると侵害が再現され得るという懸念が示されています。
ファイアウォール設定の流出は、単なる情報公開にとどまりません。設定ファイルには、ネットワークトポロジ、アクセス制御ポリシー、VPN 構成、認証関連設定など、後続の侵害や内部拡散に直接利用され得る運用情報が含まれるケースが多くあります。
Fortinet FortiGate 関連資産の分析結果
Criminal IP 検索クエリ: service:https AND product:FortiGate
FortiGate は複数の管理／サービス用ポートを利用できますが、運用上は HTTPS ベースの管理インターフェースやポータルが外部に露出しているケースが多く見られます。上記のクエリを用いることで、外部に露出している FortiGate 資産を確認できます。
Criminal IP インサイト
FortiGate のようなエッジ機器は、組織における最初の防衛線です。しかし Criminal IP の観点では、多くの管理インターフェースが意図せずパブリックインターネットに露出している状況が確認されています。特に FortiCloud SSO 機能が有効な場合、攻撃者にとって狙いやすい標的になり得ます。パッチ適用はもちろん、管理ページへの外部アクセスを IP ベースで制限することや、多要素認証（MFA）を強制すること、さらに Criminal IP ASM のような攻撃対象領域管理ソリューションを活用した「可視性を前提としたセキュリティ強化」が急務です。
3. Cisco Unified CM: 実際に悪用が確認されているゼロデイ RCE（CVE-2026-20045）
要約
Cisco は 2026年1月21日、Unified Communications 系製品に影響する CVE-2026-20045 に関するセキュリティアドバイザリとパッチを公開しました。本脆弱性は、Web ベースの管理インターフェースに送信される細工された HTTP リクエストを通じて、リモートコード実行（RCE）につながる可能性があり、実際に攻撃が確認されています。CISA は本件を KEV カタログに追加し、単なる「パッチ推奨」の水準を超えて即時対応が必要な問題として位置付けました。Unified CM は企業コミュニケーションの中核インフラであるため、侵害された場合、通話／メッセージング／アカウント／通信フロー全体に影響が及ぶ可能性があります。また、内部拡散の足掛かりとして悪用されるリスクも想定されます。
Cisco Unified CM 関連資産の分析結果
Criminal IP 検索クエリ: service:https AND product:Cisco
Cisco 製品群は対象範囲が広く、さまざまなサービスが HTTPS を介して運用されているため、このクエリはインターネットに露出した Cisco 系の管理インターフェースおよびサービス接点を幅広く特定することを目的としています。特に Unified CM のような UC／コラボレーション系サーバーは Web ベースの管理 UI を含むケースが多く、このクエリによりインターネットから直接到達可能な管理接点を優先的に確認できます。
Criminal IP インサイト
Cisco Unified CM のような UC／コラボレーション基盤は、組織の中核コミュニケーションを担うシステムであり、侵害が発生した場合、単一サーバーの障害にとどまらず、組織全体の運用へ波及する可能性があります。Criminal IP の観点では、これらのシステムが本社・拠点・クラウド環境に分散配置されるケースが多く、一部のインスタンスが管理の死角に置かれたまま外部に露出してしまう事例が繰り返し観測されています。
特にゼロデイ脆弱性では、パッチ適用状況そのものよりも、管理インターフェースが外部から到達可能な状態だったかどうかが、実際の攻撃成立可能性を大きく左右します。テスト環境、移行過程で作成された一時インスタンス、あるいは運用利便性のために許可された外部アクセス設定は、攻撃者の初期侵入ポイントとして悪用されやすい要因となります。そのため Cisco 環境においても、単なるパッチ適用に加えて、外部から識別可能な資産全体の可視性を確保することが重要です。
FAQ
Q1. 2026年1月の脅威に共通する最大の特徴は何ですか？
2026年1月に注目された主要なセキュリティ事例は、それぞれ技術的背景は異なるものの、実際に攻撃が成立した条件には明確な共通点がありました。3つの事例すべてにおいて、攻撃者は新しい侵入手法よりも、外部から直接到達可能な管理接点を主要な侵入経路として利用していた点です。Telnet サービス、ファイアウォールの管理インターフェース、コミュニケーションサーバーの Web ベース管理 UI などは、本来は内部運用を前提として設計された構成要素です。しかし、これらがパブリックインターネットに露出した場合、単一の脆弱性から高権限の取得やシステム掌握に直結する可能性があります。今月の事例は、脆弱性の深刻度以上に「到達可能であること」が攻撃成功を左右したことを明確に示しています。
Q2. ソフトウェアのパッチ適用だけを徹底すれば安全ですか？
いいえ、それだけでは不十分です。Fortinet の事例のように、パッチ適用前にすでに設定ファイルが流出していた場合、パッチ後であっても攻撃者は有効な情報を保持している可能性があります。また、そもそもどの資産がどれだけ外部に露出しているのかを把握できていなければ、対応そのものが成立しません。現代のサイバー脅威は、単なるパッチ適用だけで網羅的に対応することが難しくなっています。そのため、Criminal IP ASM のような攻撃対象領域管理ソリューションを用いて、組織内の露出資産を包括的に可視化することが、パッチ適用に先立って必要となります。
結論
2026年1月のグローバルなセキュリティ事例は、今日の脅威が単一の脆弱性対応だけでは解決できないことを改めて示しました。Telnet、ファイアウォール、コミュニケーションサーバーのいずれの事例でも、攻撃者はまず「到達可能な接点」を選択し、その結果として脆弱性公開直後から実際の悪用が継続して発生しました。いま求められる防御の出発点は、「何が脆弱か」ではなく「何が外部に露出しているか」です。外部から見える資産に対する可視性が確保されてはじめて、パッチ適用や設定変更が実効性のある防御手段として機能します。
なお、関連してMongoBleed（CVE-2025-14847）：MongoDBにおける致命的なメモリ情報漏えい脆弱性とASMに基づく対応戦略 の記事も参考にしてください。
Criminal IP（criminalip.io/ja/register) に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
データソース: Criminal IP(https://www.criminalip.io/ja), Security Affairs(https://securityaffairs.com/187255/security/11-year-old-critical-telnetd-flaw-found-in-gnu-inetutils-cve-2026-24061.html), The Hacker News (https://thehackernews.com/2026/01/automated-fortigate-attacks-exploit.html), BleepingComputer (https://www.bleepingcomputer.com/news/security/cisco-fixes-unified-communications-rce-zero-day-exploited-in-attacks/)