サイバーセキュリティ事業を営むVulnCheckの研究者は2024年9月23日にこのような矛盾について発表した。

　ある危険な攻撃者が66件のセキュリティ脆弱性（CVE）を狙っているものの、米政府機関が監視している既知の脆弱性のカタログには、これらのCVEのうち27件しか掲載されていない。

　この攻撃者は中国政府と関係があるとされている「Flax Typhoon」で、botネットを利用して66件の脆弱性を標的にしているという。2024年9月16日の週に、ファイブアイズの情報パートナーは、グローバルな脅威勧告において、このbotネットを名指しした経緯がある（注1）。

　VulnCheckの研究者によると、標的になっている66件のCVEのうち、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の公式カタログ（KEV）に掲載されているのは27件と少ない。この状況は（電力やガス、鉄道、空港などの）重要インフラプロバイダーや民間企業、政府機関が直面しているセキュリティ脅威の特定における長年の遅れを浮き彫りにしているという。

CISAにも言い分がある

　CISAの広報担当者はKEVのカタログに新たな脆弱性を追加する際の3つの基準を挙げたガイダンスに言及した（注2）。

・脆弱性にCVE IDが割り当てられていること
・悪用されたことを示す信頼できる証拠が存在すること
・ベンダーのアップデートなど、脆弱性を修正するための明確なガイダンスが存在すること

　連邦政府機関は悪質な活動が民間企業の業務に損害を与えるリスクを軽減するため、カタログに追加された脆弱性を緩和する措置を講じることを義務付けられている。

危険な66件の脆弱性はこれだ

　2024年9月18日に、FBIのクリス・レイ氏（ディレクター）は、全世界で26万台以上のIoTデバイスを悪用したMirai型botネットを破壊する作戦を公開した（注3）。このうち半数弱は米国内に設置されていた。

　このbotネットにはFlax Typhoonが関与しており、米国や他国の重要インフラプロバイダーを標的にして、DDoS攻撃やデータ窃盗などの悪質な活動を続けているとFive Eyesは警告した。

　Flax Typhoonはルーターやインターネットプロトコルを用いるカメラ、ネットワーク接続ストレージデバイスを標的にするためにCVEを悪用している。

　VulnCheckのレポートによると、66件の脆弱性のうち、数が多かったものは以下の通りだ＊。

Apache Software Foundation（10件）
Cisco Systems（5件）
Zyxel Communications（3件）
QNAP Systems（3件）
Fortinet（3件）
DrayTek（3件）

＊より詳細な情報はVulnCheckのWebページを参照（Exploring Targeted Technologies and Countries of the Flax Typhoon Botnet）

問題があるのはCISAだけではなかった

　連邦政府当局が悪質な活動に使用されている全ての重要な脆弱性を適切に分析し、記録するためのリソースを十分に持っているかどうかについても、長年の懸念がある。

　VulnCheckのパトリック・ギャリティ氏（セキュリティ研究者）は、「Cybersecurity Dive」に対して次のように語った。

　「連邦機関がある脆弱性に気付いていなかった、あるいは連邦機関内でそれほど広く影響が及んでいなかったというのが、追加されなかった理由として考えられるだろう」

　VulnCheckが2024年5月に発表したレポートによると、アメリカ国立標準技術研究所（NIST）は、同年2月以降に「National Vulnerability Database」に追加された脆弱性のうち10％未満しか分析していないことが分かった（注4）。

　NISTは分析の遅れを改善するために外部企業と連携した（注5）。NISTの広報担当者は「私たちは遅れの改善に向けて前進している（注6）。ただし進捗（しんちょく）状況に関してはまだ更新していない」と述べた。