期限は今日と昨日、両方来た — 北朝鮮ゼロデイとZimbraの穴、更新を止めた代償（2026/8/25 Linux・OSSトレンド）

Tue, 25 Aug 2026 00:00:00 +0900

はじめに

今日は、締め切りが2つ重なった日です。米国の連邦機関に課されたパッチ適用期限が、ひとつは今日、もうひとつは昨日でした。どちらも「すでに攻撃に使われている」と確認済みの脆弱性で、どちらもパッチはとっくに出ています。出ているのに、当てられていない。

そう並べたうえで後半のデスクトップ系トピックを眺めると、妙に対称的な景色が見えてきます。ターミナルエミュレータもデスクトップ環境もディストリビューションも、今日もどこかが更新されている。更新し続けているソフトウェアは、便利になりながら同時に安全でもあり続けます。逆に、更新が止まったところから順番に突かれていく。 動き続けることそのものが防御になる — 今日の5本は、その一点で貫かれています。

1. 5週間、野放しだったWindowsゼロデイ — CVE-2026-68820とCISA期限「本日」

まずは重い話から。Windows のソケット通信を支えるカーネルドライバ AFD.sys（Ancillary Function Driver for WinSock）に Use-After-Free（解放済みメモリの再利用）の脆弱性が見つかり、北朝鮮の国家支援グループ Lazarus がこれをゼロデイとして悪用していました。

NVD の CVE-2026-68820 エントリによれば、CVSS v3.1 スコアは 7.0（HIGH）、ベクターは AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H、分類は CWE-416（Use After Free）で、公開日は 2026年8月11日です。ローカル権限が必要（PR:L）で攻撃複雑度も高い（AC:H）ため、数字だけ見れば派手ではありません。ですが実戦投入されたエクスプロイトの前ではスコアは目安にすぎない、という見本のような一件でした。

脆弱性を発見・報告した Check Point Research のレポートがタイムラインを公開しています。悪用の開始は 2026年7月初旬、Microsoft Security Response Center への報告が7月28日、Microsoft による確認が7月31日、CVE 採番が8月5日、修正の配布が8月11日の Patch Tuesday。報告から14日での修正は迅速な部類ですが、裏を返せば、報告される前の約4週間はまったく気づかれないまま悪用されていたということです。攻撃で使われた FudModule ルートキットのコンパイル時刻は 2026年7月7日でした。

攻撃チェーンも念入りに組まれています。入口は偽の求人オファーで標的を釣る「Operation Dream Job」。そこから Microsoft Graph API 経由で OneDrive を C2 に使うインメモリ・ダウンローダー MISTPEN が動き、CVE-2026-68820 で SYSTEM 権限を取ったうえでカーネルモードルートキット FudModule v3.1 が起動します。FudModule は ETW（Windows のイベントトレース）プロバイダを無効化し、プロセス・スレッド・イメージの通知コールバックを除去して、EDR から見える情報そのものを断ちます。その先で長期的なリモートアクセスを担うのが ForestTiger 、そして今回新たに確認された 17個のオペレータコマンドを備えるバックドアが Troy です。侵害された拠点に置かれた PHP ウェブシェル RelayShell が中継役を務めていました。

標的は防衛・航空宇宙分野に集中しており、Check Point が挙げている被害確認地域はフランス・ドイツ・インドです。影響を受ける Windows は Windows 10 / 11 の主要バージョンと Windows Server 2012 以降と広範囲で、実際の攻撃は Windows 11 の新しいビルドに集中していました。

そして今日という日付です。CISA の KEV（既知の悪用された脆弱性）カタログには 2026年8月11日に追加され、米連邦機関の対応期限は 2026年8月25日、つまり本日 。根拠となるのはリスクベースの期限を定めた BOD 26-04 です。対策は8月11日の累積更新プログラムの適用しかありません。AFD.sys 単体のパッチは提供されず、有効な公式ワークアラウンドもない。当てるか、当てないか、それだけです。

2. ターミナルが「作業場」になる — Contour 0.7.0.8982

重い話のあとは、手元の道具の話を。C++ 製のターミナルエミュレータ Contour が v0.7.0.8982 を 2026年8月17日に公開しました。前バージョン 0.6.3 から約4か月、リリースノートが1万語を超える大型リリースです。

最大の変更は、ウィンドウが単なる端末ではなく「ワークスペース」になったことでしょう。クライアントサイドデコレーションのタイトルバーにネイティブ GUI タブが載り、従来のステータスライン上のタブリストを置き換えました。スプリットペインは垂直（Ctrl+Shift+E）と水平（Ctrl+Shift+O）に分割でき、ペイン間のフォーカス移動は Alt+Shift+矢印 、隣接ペインとの入れ替えは Ctrl+Alt+矢印 、リサイズは Ctrl+Shift+Alt+矢印 。Ctrl+Shift+Z でアクティブペインをタブ全域に拡大するズームも用意されています。タブはドラッグで並べ替え・別ウィンドウへの移動・新規ウィンドウへのティアオフが可能。レイアウトは layouts.yml に保存でき、起動時に default_layout や CLI の --layout NAME で呼び出せます。

Ctrl+Shift+P で開くコマンドパレットは、キーバインドが割り当てられていないコマンドまで検索して実行できます。GUI の設定ページも追加され、ui_style: terminal にすればタブバーもメニューも設定画面もターミナルフォントの固定幅セルで描かれる、徹底した TUI ルックに切り替わります。

面白いのが実験的な デーモンモード です。contour daemon でバックグラウンドプロセスがシェルセッションを保持し、ウィンドウを閉じてもセッションは生き続けます。contour client で接続すれば画像もハイパーリンクもサイズ付きテキストも扱えるフル機能のウィンドウとして戻ってこられる。さらにこのデーモンは tmux のコントロールモードプロトコルを双方向で話すため、contour client --tmux で普通の tmux サーバーにも接続できます。Linuxiac の解説記事も、これを tmux や screen の置き換えではなく、共存できる新しい選択肢として紹介しています。既存の tmux 運用を壊さずに、ターミナル側でもセッションを持てるようになった、という位置づけが実態に近いでしょう。ネットワーク越しの利用は --listen-tcp HOST:PORT で有効化でき、常時 TLS 暗号化と事前共有トークン認証が必須です。

グラフィクス面では kitty グラフィクスプロトコル、iTerm2 の OSC 1337 インライン画像に加えて、DEC VT330/VT340 のベクターグラフィクス言語 ReGIS まで実装されました。1980年代の規格を2026年のターミナルに載せる執念は、このプロジェクトらしいところです。

なお、アップグレード前にひとつ確認を。tab_bar_position と tab_bar_visibility の記述場所が profiles: 内からトップレベルへ移動する BREAKING CHANGE が入っています。設定ファイルを引き継ぐ人は先に直しておいてください。

3. パスワード管理の「顔」を統一する — KDE Gear 26.08

デスクトップ側の話題も。KDE コミュニティが 2026年8月20日、KDE Gear 26.08「Enjoy Shiny Stuff」をリリースしました。

個人的にいちばん気になったのは、パスワードマネージャー KeepSecret です。KDE Apps の KeepSecret ページを見ると、バージョンが 26.08.0 で公開日が 2026年8月20日 — Gear と同じ番号体系・同じ日付に揃っています。単体アプリとして育ってきたものが、今回のリリースで Gear のバージョニングに合流したかたちです。単体版 v1.0 が 2025年12月11日でしたから、そこから約8か月での合流ということになります。

設計思想が独特で、KeepSecret はパスワードの保管庫を自前で持ちません。freedesktop.org の Secret Service API に準拠した既存のバックエンドに対する「顔」として振る舞います。公式に挙げられている対応バックエンドは KeePassXC・KWallet・GNOME Keyring・oo7 の4種類と、Secret Service 互換のその他のバックエンド。KWallet を使う環境と GNOME Keyring を使う環境が混在していても、操作する UI は同じ、という発想です。デスクトップとモバイルの両対応を意識したレスポンシブ設計になっているのも今どきでしょう。

Kdenlive も細かく手が入りました。公式アナウンスによれば、Transform エフェクトで回転軸を中心以外に動かせるようになり、グラデーションマップは複数ストップに対応、カーブは各チャネルを独立して調整できるようになっています。タイムライン側でも、ビデオクリップ配置時のオーディオトラック自動作成、トラックの並べ替え、クリップ色のカスタマイズなどが入りました。

日常的に触るところでは、Dolphin のフィルターがプレーンテキスト・グロブパターン・正規表現に対応したのが効きます。ファイル名の一部で絞り込むだけだった機能が、正規表現まで通るようになるとぐっと実用的です。Konsole はドラッグ＆ドロップの対象がリンク・メールアドレス・カラーコードにまで広がり、端末に表示された URL をそのまま別アプリへ放り込めるようになりました。Okular は設定ダイアログの統合、トリプルクリックでの行全体選択、注釈のコピー＆ペースト対応と、地味ですが毎日効くところが改善されています。

派手な新機能というより、「毎日触る場所の摩擦を1つずつ削る」タイプのリリースです。こういう更新の積み重ねが、結局いちばん体感を変えます。

4. リリースから8日でカーネルを迎え入れる — Manjaro 26.1.1

ディストリビューション側からは Manjaro です。2026年8月24日、26.1 系初のポイントリリースとなる 26.1.1 が公開されました。

Linuxiac の記事がいちばん大きな変更として挙げているのは、Linux 7.2 が Manjaro の公式サポート対象カーネル系列に加わったことです。ここは正確に読んでおきたいところで、「デフォルトカーネルが 7.2 に切り替わった」ではなく「選べるサポート系列に 7.2 が加わった」が実態です。Manjaro は複数のカーネル系列を並行サポートし、ユーザーが選択できるようにしている点が特徴のディストリビューションなので、この違いは小さくありません。

それでも、8月16日にリリースされたカーネルが8日後のポイントリリースに載っているという速度は、ローリングリリースの面目躍如です。同梱される KDE Frameworks は 6.29.0、Mesa は 26.1.7。Mesa 26.1.7 はバグ修正専用リリースで、AMD 環境での D3D12 頂点バッファ属性取得エラー、Stoney Ridge での HEVC ハードウェアデコード回帰、NVK/Kepler でのコンパイラパニック、RADV でのセグメンテーション違反などが潰されています。AMD GPU ユーザーにとっては素直にありがたい内容でしょう。

ここで注意しておきたいのが、ポイントリリースの意味合いです。既存の Manjaro ユーザーはローリングリリースの仕組み上、これらの更新を sudo pacman -Syu の通常アップデートですでに受け取っています。ポイントリリースの ISO は「新規インストール用の最新スナップショット」であって、既存ユーザーが何かをダウンロードして当て直すものではありません。既存環境で必要なのは、いつもの pacman -Syu だけです。

ひとつだけ先回りしておくと、NVIDIA の Pascal 世代（GTX 10xx 系）を使っている人は、カーネル系列を 7.2 に切り替える前にドライバの対応を確認してください。legacy ドライバが DKMS で新しいカーネル向けに正しくビルドされるかどうかは、切り替えてから気づくと面倒な部類の問題です。

5. 「入れた覚えのないパッケージ」が穴になる — Zimbra CVE-2026-73570、期限は昨日

最後にもう一度、重い話です。オープンソース系のコラボレーション基盤 Zimbra Collaboration Suite（ZCS）に、SNMP 通知処理を経由した OS コマンドインジェクションの脆弱性が見つかりました。

NVD の CVE-2026-73570 エントリによれば、CVSS v3.1 スコアは 8.9（HIGH）、ベクターは AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L 、分類は CWE-78（OS コマンドインジェクション）です。ネットワーク経由（AV:N）、事前認証不要（PR:N）、ユーザー操作不要（UI:N）、しかもスコープ変更あり（S:C）。攻撃複雑度が高い（AC:H）ことだけが救いという組み合わせです。

条件を正確に押さえておきましょう。NVD の記述では、影響を受けるのは 10.1.20 より前の ZCS のうち、 オプションの zimbra-snmp パッケージがインストールされていて、かつ SNMP 通知が有効になっている環境 です。すべての Zimbra が即座に危険というわけではありません。逆に言えば、ネットワーク監視ツールと連携させるために zimbra-snmp を入れた組織は、その時点で条件を半分満たしています。攻撃者は細工した SMTP リクエストを送り込んでログエントリを生成させ、SNMP 通知処理のパイプラインでシェル特殊文字が十分にエスケープされていない箇所を突いて、zimbra ユーザー権限で任意コマンドを実行します。SMTP を投げると SNMP 側が刺さる、という直感に反する経路です。

権限が root ではなく zimbra ユーザーどまりなのは幸いですが、慰めにはなりません。Zimbra サーバー上の zimbra ユーザーは、メールボックスのデータにも LDAP ディレクトリにも設定ファイルにもフルアクセスできます。メールサーバーは組織の機密通信が集約される場所で、しかも性質上インターネットから到達可能でなければならない。攻撃者にとっては費用対効果の高い標的です。

そして日付の話です。Security Affairs の記事によれば、修正版の ZCS 10.1.20 がリリースされたのは 2026年7月20日。ポーランドの CERT Polska が野外での積極的な悪用を確認したのは8月中旬と報じられています。パッチが出てからおよそ1か月、攻撃は「まだ当てていないサーバー」を探して回っていたことになります。CISA は 8月21日に KEV カタログへ追加し、連邦機関の対応期限は 2026年8月24日、つまり昨日 でした。同記事によれば、Shadowserver がインターネットから到達可能な Zimbra サーバーとして把握しているのは 12,100台超（欧州 4,382台、アジア 4,492台）です。

対応は ZCS 10.1.20 以降へのアップグレードが本筋。すぐに上げられない場合の暫定策としては、zimbra-snmp パッケージの削除または SNMP 通知の無効化、ネットワーク境界での UDP/161 のアクセス制限が挙げられます。すでに侵害が疑われるなら、snmpd や snmptrapd を親プロセスとするシェルが起動していないか、/opt/zimbra/jetty/webapps/ や /tmp/ に見覚えのないファイルが置かれていないかを確認し、Zimbra 管理者・LDAP バインド・サービスアカウントのパスワードを全面更新してください。

まとめ

今日の5本を並べ直すと、こうなります。

Windows の AFD.sys ゼロデイは、報告される前の約4週間、誰にも気づかれずに使われていた。パッチは8月11日に出て、期限は今日。
Zimbra の SNMP の穴は、7月20日にパッチが出たあと約1か月、当てていないサーバーを探して攻撃が回っていた。期限は昨日。
Contour は4か月ぶりの大型リリースで、ターミナルをワークスペースに変えた。
KDE Gear は毎日触る場所の摩擦を削り、パスワード管理の「顔」を統一する新しいアプリを迎え入れた。
Manjaro は8日前に出たカーネルを、もうサポート系列に載せている。

前半2本と後半3本は、同じことを裏表から言っています。ソフトウェアが動き続けている限り、穴は塞がれ、道具は良くなっていく。止まった瞬間から、そこだけが古い状態で取り残される。攻撃者が探しているのは新しい穴ではなく、 古いまま止まっている場所 です。

今日のパッチ期限は連邦機関に課されたものですが、期限が設定されていないからといって、私たちの手元のサーバーが安全なわけではありません。むしろ期限がない分だけ、放置は静かに長引きます。zimbra-snmp のように「入れた覚えはあるが、その後は意識していないパッケージ」が、あなたのサーバーにもありませんか。

Lazarus on 思いつきそうで思いつかなくていたときに