今回の脆弱性「CVE-2026-22769」は、ハードコーディング（ソースコードに直接記述）された認証情報に関する脆弱性だ。この脆弱性を悪用すると、認証されていない攻撃者が、製品の背後で動作するOSなどの基盤システムにアクセスし、管理者レベルの権限で持続的に侵入状態を維持できる可能性がある。この脆弱性の深刻度を示すスコアは、CVSS（共通脆弱性評価システム）で最高値となる10という評価だ。

　MandiantとGTIGが「UNC6201」として追跡している攻撃者は、遅くとも2024年にはCVE-2026-22769を攻撃に悪用している。侵入後も排除されることなくアクセスを維持し続け、ネットワーク内部でさまざまなシステムに侵入範囲を広げ、「BRICKSTORM」「SLAYSTYLE」「GRIMBOLT」といったバックドアを展開できる能力を持つ。

　研究者によると、BRICKSTORMはプログラミング言語「Go」で開発されたバックドアだ。VMwareの管理サーバ「VMware vCenter」を標的とする攻撃に使用されているという（注2）。今回新たに明らかになった攻撃では、UNC6201はBRICKSTORMに代えて、より検出が困難なGRIMBOLTを使用している。

　Mandiantのセキュリティ専門家集団Mandiant Consultingのチャールズ・カーマカル氏（最高技術責任者兼ボードアドバイザー）が、ビジネスSNS「LinkedIn」への投稿で明らかにしたところによると（注3）、GRIMBOLTはプログラミング言語「C#」で開発されたバックドアであり、実行前に機械語（ネイティブコード）へ変換される。そのため解析やリバースエンジニアリングが困難だという。

　GTIGのオースティン・ラーセン氏（プリンシパル脅威アナリスト）によると、Mandiantは被害組織のIT環境内にあるRP4VMを調査する過程で、CVE-2026-22769を発見した。ラーセン氏は、今回の攻撃キャンペーンの影響を受けた組織は12社未満にとどまるとの認識を示す。ただし、これまでにBRICKSTORMの攻撃対象となった組織に対しては、社内にGRIMBOLTが存在しないかどうかを確認するよう注意を促す。

　Dellは公開したセキュリティアドバイザリー（セキュリティに関する注意喚起）の中で、顧客に対してアップグレードの実施と、同社が提供する緩和策の即座の適用を呼び掛けている（注4）。同社の広報担当者は「限定的ではあるものの、CVE-2026-22769が実際に悪用されているとの報告を受けている」と説明する。

　2026年2月11日（現地時間）、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）はCVE-2026-22769について、既知の悪用済み脆弱性カタログに追加した（注5）。CISAでサイバーセキュリティを担当するニック・アンダーセン氏（エグゼクティブ・アシスタントディレクター）によると、同機関は政府や業界、国際的なパートナーとの連携を通じて、複数年にわたって続くBRICKSTORMの攻撃キャンペーンへの対処を積極的に進めている。

　ハードコーディングされた認証情報は「依然として重大なリスクだ」とアンダーセン氏は述べる。CISAは全ての組織に対して、リスク低減と侵害防止に向けて、今すぐ断固とした対策を講じるよう強く求めているという。