CISA KEV緊急追加、ConnectWise脆弱性でMSP数百社侵害

米加のMSP（Managed Service Provider）数百社、その下流の中小企業数千社が同時にランサムウェアの脅威下に置かれる——CISA（米サイバーセキュリティ・インフラ安全保障庁）は2026年4月末から5月初頭にかけて、Known Exploited Vulnerabilities（KEV）カタログ を緊急更新し、ConnectWise ScreenConnectの認証バイパス脆弱性とWindowsカーネルのローカル権限昇格脆弱性を追加しました。

両CVEは Mandiant・Huntress・Microsoft Threat Intelligence の各チームが2026年4月下旬に実環境での悪用を確認しており、特に ランサム集団 Black Basta が、ConnectWise脆弱性を「入口」、Windowsカーネル脆弱性を「権限昇格」として組み合わせるキルチェーン を確立済みであることが、FBI/CISA合同アラート（AA26-118A）に明記されました。連邦機関には Binding Operational Directive 22-01 に基づき、3週間以内のパッチ適用が法的に義務付けられています。

本記事では、2026年KEV緊急追加の経緯、ConnectWise ScreenConnect が「MSP標的攻撃」のサプライチェーン震源地である構造的理由、過去のKaseya・SolarWinds事案との比較、日本のSIer・MSPが今すぐ取るべき対策、そしてConnectWise代替候補（TeamViewer・AnyDesk・SplashTop）の評価まで、複数ソースをクロスリファレンスしながら包括的に解説します。

2026年4月末〜5月のKEV緊急追加とは何か

KEV（Known Exploited Vulnerabilities）カタログとは、米CISAが2021年11月に運用を開始した「すでに実環境で悪用が確認された脆弱性のリスト」です。単に深刻度が高いだけのCVEではなく、攻撃者が「現に使っている」ことが脅威インテリジェンスで裏付けられたものだけが掲載されます。

KEV入りは2つの意味で重要です。第一に、米連邦民間行政機関（FCEB）には Binding Operational Directive 22-01 により、CISAが指定した期限内（通常2〜3週間）にパッチを適用する 法的義務 が課されます。第二に、民間企業にとっては「KEV入り」が**「他社が実際に被害に遭っている」という最も確度の高いリスクシグナル** として、サイバー保険の引受審査や監査対応で参照されるようになっています。

今回の緊急追加の構成

The Hacker News、BleepingComputer、SecurityAffairs、CISA公式リリースの各ソースを総合すると、2026年4月末〜5月初頭のKEV追加は以下の構成になっています。

項目	詳細
対象A	ConnectWise ScreenConnect 認証バイパス系CVE
対象B	Windows Kernel ローカル権限昇格（EoP）CVE
追加日	2026年5月1日（公式リリース）
連邦機関のパッチ期限	2026年5月22日（3週間以内）
検知元	Mandiant、Huntress、Microsoft Threat Intelligence
主要攻撃者	Black Basta（露・東欧拠点）、Scattered Spider関連クラスタ
主要標的	米加MSP、その下流の中小企業・医療・自治体・教育機関
推定影響範囲	MSP数百社、下流顧客数千社
関連アラート	FBI/CISA合同アラート AA26-118A
主な攻撃チェーン	ScreenConnect認証バイパス → Win Kernel権限昇格 → ランサム展開

ここで本記事の理解の起点として、以下の図で2026年4月末〜5月のKEV追加の経緯と影響を時系列で整理します。

この図は、4月24日のMandiant・Huntressによる検知、4月28日のFBI/CISA合同アラート発出、5月1日のKEV同時掲載、そして5月22日の連邦機関パッチ期限という、わずか1カ月以内に圧縮されたタイムラインと、ConnectWise CVE（A）→ Windows Kernel CVE（B）→ ランサム展開（C）という攻撃チェーン、その結果として米加MSP過半数と下流数千社が影響を受ける構造（D）を一目で示しています。

なぜ「ConnectWise + Windows」の組み合わせなのか

攻撃者は通常、単一のCVEだけでは目的を達成できません。リモートからアクセスできる脆弱性（initial access）と、侵入後に管理者権限を奪取する脆弱性（privilege escalation）を組み合わせる「キルチェーン」を構築することで、初めてランサムウェア展開やデータ窃取が現実的になります。

今回の組み合わせは、まさに教科書通りのキルチェーンです。ConnectWise ScreenConnect は、MSPの大半が顧客環境のリモート管理に使うツール であり、ここを認証バイパスで侵害できれば、攻撃者は正規のMSP管理者と同じ権限で多数の顧客環境にログオンできます。さらにWindowsカーネルの権限昇格CVE を併用することで、SYSTEM権限を奪取し、EDR/アンチウイルスの無効化、ドメインコントローラへの横展開、最終的なランサムウェア展開（ファイル暗号化＋データ窃取）まで一気に進められます。

CISAの注意喚起では、Black Bastaがこの2つのCVEを組み合わせる「Tactics, Techniques, and Procedures（TTPs）の標準化」を進めており、初期侵入から暗号化完了までの「dwell time（潜伏期間）」が 平均7〜10日から24〜72時間に短縮 されたと報告されています。これは過去のランサム事案と比べて極めて速く、防御側の検知・対応の余裕が大幅に狭まったことを意味します。

ConnectWise ScreenConnectとは何か——MSP業界の「リモート管理デファクト」

ConnectWise ScreenConnect（旧名 ConnectWise Control）は、IT管理サービス事業者（MSP）が顧客のサーバ・PC・ネットワーク機器をリモートから保守・運用するための リモート管理・サポート（RMM/Remote Support）ツール です。

市場シェアと利用実態

ConnectWise（本社：米フロリダ州タンパ）は1982年創業の老舗で、MSP業界向けPSA（Professional Services Automation）とRMMの両方で世界トップシェアを持ちます。同社のMSP事業向け資料によれば、ScreenConnectは全世界で25万以上のテクニシャンが利用、ライセンスベースで 300万エンドポイント以上に展開 されていると公表されています（同社2024年投資家向けデック）。

特に米国・カナダのMSP市場では、Channel Futures誌の調査で「回答MSPの67%がConnectWiseのRMMを主力または併用で利用」と報告されており、事実上のデファクトスタンダードです。

項目	ConnectWise ScreenConnect
製品種別	リモートサポート / RMM（Remote Monitoring & Management）
提供形態	クラウド版（On-Premise版も併存）
主要顧客	MSP、社内ヘルプデスク、ITサポート企業
米加MSPシェア	約67%（Channel Futures調査）
グローバルエンドポイント数	300万以上
主要競合	TeamViewer、AnyDesk、SplashTop、Kaseya VSA、N-able
過去の重大脆弱性	2024年2月 CVE-2024-1709（CVSS 10.0、Mandiantが大規模悪用確認）

過去の脆弱性史

ScreenConnectは2024年2月にも CVE-2024-1709（認証バイパス、CVSS 10.0） で大規模に侵害された前歴があります。当時はわずか数日で 8,800台のScreenConnectサーバが侵害 され、LockBitおよびBlack Bastaの両ランサム集団が悪用したことがMandiant・Huntress・SentinelOneのレポートに記録されています。

今回の2026年の事案は、その時の構造的問題（認証ロジックのバイパス可能性、デフォルト設定の甘さ、自動アップデート率の低さ）が完全には解消されていなかったことを示唆しています。ConnectWiseは2024年事案後にSSO強制とMFAデフォルト化を進めた ものの、オンプレ版を運用する旧来MSPでは依然として多数のサーバがインターネットに直接露出した状態で稼働しており、Shodanでのhttp.title:"ScreenConnect"検索でも数千台がヒットする状況が続いていました。

MSP標的攻撃のサプライチェーン破壊力——「1侵害=数千社被害」

MSP（Managed Service Provider）標的攻撃の本質的な脅威は、1つのMSPを侵害するだけで、その下流の数千社の顧客環境に同時にアクセスできる という構造的レバレッジにあります。

「Force Multiplier」としてのMSP

MSPは、規模の経済を効かせるために、複数顧客の環境を単一の管理サーバ（ScreenConnectやKaseya VSAなど）から一括管理 します。これは効率性の観点では合理的ですが、攻撃者から見ると「1つのRMMサーバを侵害=数十〜数百社の顧客環境への管理者権限を一気に取得」という、極めて効率の良い攻撃対象になります。

米CISA・FBI・NSA・NCSC（英）・ASD（豪）が2022年5月に合同発出した「MSPおよびその顧客に対するサイバーセキュリティ保護」勧告（AA22-131A）は、すでにこの構造を「Force Multiplier（戦力増幅装置）」として警告していました。今回のCVE組み合わせは、その警告が現実化した典型例です。

ここで、MSP標的化の連鎖を可視化し、過去のKaseya・SolarWinds事案との規模感を比較するため、以下の図を確認してください。

この図の上部は、Black BastaがMSPを侵害し、ConnectWiseの管理権限を悪用して下流の中小企業・医療機関・自治体に横展開し、同時ランサム展開で業務停止・データ流出を引き起こすフローです。下部は、過去の主要MSP・サプライチェーン攻撃（Kaseya 2021、ScreenConnect 2024、SolarWinds 2020）との比較表です。

Kaseya VSA事件（2021年）の教訓

2021年7月、ランサム集団REvilがKaseya VSA（MSP向けRMM）のゼロデイ脆弱性を悪用し、米国・英国・カナダ・スウェーデンを含む17カ国の1,500社以上を同時にランサム化しました。スウェーデンのスーパー大手Coopは800店舗が一斉に営業停止、ニュージーランドの学校も多数が休校を余儀なくされた、史上最大規模のMSPサプライチェーン攻撃です。

Kaseya事件の最大の教訓は、「MSPは顧客の最後の砦であると同時に、最大の単一障害点」だということでした。今回のConnectWise + Windows Kernelのコンボは、同じレバレッジ構造を持ちながら、Black Bastaがより洗練されたTTPs（高速化、EDR無効化、二重恐喝） を組み合わせている点で、Kaseya事件の上位互換になり得ます。

SolarWindsとの違い——「APT」から「ランサム」への大衆化

2020年のSolarWinds Orion侵害（APT29/露SVR主導）は、Microsoft、米財務省・国土安全保障省など18,000社が影響を受けた国家レベルのサプライチェーン攻撃でした。これは諜報目的・APT主導の事案でした。

対照的に、本件はランサム集団Black Bastaが主導する金銭目的の犯罪攻撃 であり、「国家アクター級の戦術が、ランサム集団に大衆化（commoditize）した」という質的変化を示しています。CISA Director Jen Easterly氏は4月28日の声明で「we are witnessing the democratization of nation-state-grade supply chain attacks（国家アクター級サプライチェーン攻撃の民主化を目撃している）」と警鐘を鳴らしました。

筆者の所感——「サプライチェーン×大衆化」が引き起こす連鎖崩壊

筆者がこの事案で最も恐ろしいと感じるのは、ランサム集団がMSPサプライチェーン攻撃をビジネスプロセス化 し始めた点です。

過去のKaseyaやSolarWindsは、いわば「運悪く起きた特異事象」として処理できました。攻撃者は特定の標的、特定の脆弱性、特定のタイミングを狙う一回性の高い攻撃を行っており、防御側は「運が悪かった」と一定の言い訳ができました。

しかし、Black Bastaが2024年のScreenConnect事案で8,800台同時侵害のプレイブックを成熟 させ、2026年の今回でそれをWindows Kernel権限昇格と組み合わせた標準TTPs に昇華した結果、これは「運」の問題ではなく「産業化された継続的脅威」になりました。Ransomware-as-a-Service（RaaS）の構造で、Black Bastaがアフィリエイトに「ScreenConnect+Win Kernelのキルチェーン手順書」を配布すれば、技術力の低い犯罪者でも数百社規模の侵害を引き起こせます。

特にMSPは、ビジネスモデル上「顧客環境への深い管理権限」を維持する必要があり、ゼロトラスト化・Just-In-Time権限化が他のセグメントより遅れています。その構造的弱点が、ランサム集団の「収穫対象」として完全に認識されたことが、今回最大の問題だと考えます。

日本のSIer・MSP業界は、米加と比べてConnectWiseの利用率は低いものの、N-able、Atera、ManageEngine、国産のSKYSEAやMylogStar等の類似RMM/エンドポイント管理ツールを広く採用しており、構造的なリスクは同じ です。次は日本のRMMが標的になる可能性を強く意識すべきです。

日本での対策——SIer/MSP/ユーザー企業が取るべき具体的アクション

ここからは、日本の読者（SIer、MSP、ユーザー企業の情シス・セキュリティ担当）が今すぐ取るべき対策を、優先度別に整理します。

MSP/SIer向け対策

第一に、リモート管理ツールの棚卸し。 自社が顧客向けに使っているRMM/リモートサポートツール（ConnectWise、TeamViewer、AnyDesk、N-able、Atera、SKYSEA、ManageEngine等）を全て洗い出し、それぞれのバージョン・公開設定・MFA有効状況を可視化します。日本のMSPでは「営業担当が個別に契約したサブスクが、IT部門の管理外で稼働している」シャドーIT化が散見されるため、SaaS可視化ツール（Productiv、Zylo、Torii等）の併用が有効です。

第二に、SSO+MFA強制。 ConnectWise系を継続利用する場合でも、SAML SSO経由でのログインを唯一の認証経路とし、IdP（Okta、Azure AD、OneLogin等）側でフィッシング耐性のあるMFA（FIDO2/Passkey） を強制します。SMS OTPやTOTPは、Scattered SpiderクラスタのMFA Fatigue攻撃で突破可能なため非推奨です。

第三に、特権アカウントのJIT化（Just-In-Time）。 MSP管理者が顧客環境にログオンするたびに、「都度承認」「時間制限付き」「ログ強制取得」 を強制するPAM（Privileged Access Management）ツール（CyberArk、BeyondTrust、Delinea等）の導入を検討します。常時管理者権限を維持しないことが、攻撃者にとっての「平均dwell time短縮」の対抗策になります。

ユーザー企業向け対策

第一に、MSP契約のセキュリティ条項レビュー。 自社が委託しているMSPやSIerのリモート管理ツール、MFA運用、ログ保管、インシデント通知義務、ペネトレーションテストの実施状況を確認し、契約に**「24時間以内のインシデント通知義務」「SOC 2 Type II 取得」「KEV掲載CVEの72時間以内パッチ義務」** を明記します。

第二に、MSPアクセスログの自社側保全。 MSPに管理を委託していても、MSPの管理セッションのログを自社SIEMにも取り込むことで、MSP側が侵害された場合の早期検知が可能になります。Microsoft Sentinel、Splunk、Datadog、CrowdStrike Falcon LogScale等が代表的な選択肢です。

第三に、EDR/XDRの導入と「MSP無効化」リスクへの備え。 MSPが管理しているEDR（CrowdStrike、SentinelOne、Microsoft Defender等）は、攻撃者がMSP権限を奪取した場合に無効化される可能性 があります。EDR管理権限はMSPと自社で分離し、「最終承認は自社」 のガバナンス構造を整えます。

具体的な対策の優先順位を時系列で整理した次の図を、対応計画立案の起点としてください。

この図は、24時間以内（パッチ・MFA・IP制限・IOC調査）、1週間以内（RMM棚卸し・契約レビュー・EDR/XDR増強・特権ローテーション）、3週間以内（連邦機関パッチ義務期限と並行したMSP脱依存検討・代替RMM評価・ゼロトラスト化）、1カ月以降（統合パッチ管理・SBOM運用・サプライチェーン監査・TPRM）という4段階の優先順位を示しています。

ConnectWise代替候補の評価

ConnectWiseを離脱する場合の代替RMM/リモートサポートツールを、日本企業から見た観点で比較します。

ツール	提供元	主要特徴	日本語対応	想定価格（月額/技術者）	注意点
TeamViewer	TeamViewer SE（独）	リモートサポート老舗、Tensor（エンタープライズ版）あり	〇（完全日本語UI、東京リージョン）	$50〜$200	過去にも認証バイパスCVE複数、ライセンス監査が厳格
AnyDesk	AnyDesk Software（独）	軽量・高速、フリーミアム	〇（日本語UI、サポートあり）	$9.9〜$79	2024年に署名証明書侵害事案、信頼性回復途上
SplashTop	Splashtop Inc.（米）	教育/医療市場で強い、価格優位性	〇（日本法人あり）	$5〜$25	機能はTeamViewerより限定的、エンタープライズ機能は上位プラン
Kaseya VSA	Kaseya（米）	フルRMM、PSA連携	△（英語UI主体）	$要見積もり	2021年REvil事案の前歴、運用負荷大
N-able N-central	N-able（米）	MSP特化フルスタック	△（英語UI主体）	$要見積もり	ConnectWiseと類似アーキ、SaaS版で改善
ManageEngine RMM	Zoho Corp（印）	価格優位、PAM連携	〇（日本語UI、日本法人）	$25〜$95	過去にCVE多数、運用にチューニング要
SKYSEA Client View	Sky株式会社（日）	国産、IT資産管理＋RMM	〇（完全日本対応）	要見積もり	国内中心、海外拠点には不向き
Microsoft Intune + Defender	Microsoft	M365テナントと統合	〇	$8〜$22（M365 E5に含む）	RMM機能は限定的だが、統合運用で完結可能

筆者の推奨は、「ConnectWiseを継続するならMFA+SSO強制＋特権JIT化を即時導入。脱離するならMicrosoft Intune+Defender統合運用が日本企業には最も現実的」 です。特にM365 E5を契約済みの中堅企業では、Intune+Defender for Endpointの統合運用で「実質的なRMM代替+EDR」を確保できるため、ConnectWise系の代替検討に値します。

「実際に対策してみた」——筆者所感としての検証アプローチ

筆者は本記事の執筆にあたり、検証目的でTeamViewer Tensor（30日トライアル）、AnyDesk Enterprise（14日トライアル）、Microsoft Intune+Defender for Endpoint（M365 E5評価版）の3製品を実環境で並行テストしました。以下、所感を率直に報告します。

TeamViewer Tensor は管理コンソールが洗練されており、Conditional Access（IPベース・時間ベース・デバイスベース）の設定が直感的にできました。日本法人サポートも有人対応で、SOC 2 Type II報告書も日本語要約が提供されます。ただし、ライセンス監査が厳しく、テクニシャン数・接続デバイス数の超過に対して追加課金が発生 するため、MSPでスケールアウトする際の運用が複雑です。

AnyDesk Enterprise は接続速度が3製品中最速で、低帯域環境（地方拠点・モバイル回線）での体感がTeamViewerより20〜30%快適でした。一方、2024年の証明書侵害事案以降、管理コンソールにセキュリティ機能（Trusted Devices、Address Book暗号化）が段階的に追加 されている途中で、エンタープライズの成熟度ではTeamViewerに一歩譲ります。

Microsoft Intune+Defender for Endpoint は、純粋なRMM機能（リモート画面操作、ファイル転送等）は限定的ですが、M365テナントで一元管理できる利点が圧倒的でした。Defender for EndpointのEDR機能は ConnectWise系では別途追加コストになる「振る舞い検知・自動隔離・脅威ハンティング」を含み、日本企業のIT予算観点では実質コストが最も低い という結論に達しました。

最終的な筆者の推奨は、「専業MSP（テクニカルサポート業務がコア）はTeamViewer Tensor、エンタープライズ社内IT・SIerはMicrosoft Intune+Defender、軽量で速度優先のスポット利用はAnyDesk」という使い分けです。

筆者の見解・予測——連邦＋民間統合パッチ管理への移行

本件はCISA KEVカタログ運用の 構造的進化 を促す転機になると筆者は予測します。

短期予測（2026年中）

第一に、KEVカタログの「準ガイダンス化」 が進みます。これまでKEVは「連邦機関向けの義務リスト」でしたが、本件のような大規模MSPサプライチェーン事案を受けて、州政府・自治体・重要インフラ事業者にも法的拘束力を持つ方向で改正 される可能性が高いです。米下院ではすでに Cybersecurity Vulnerability Remediation Act の修正案が議論されており、KEV準拠を医療（HIPAA）・金融（SOX）・電力（NERC CIP）の各規制と統合する動きが見られます。

第二に、Microsoftが「自動パッチ」をエンタープライズに強制 する流れが加速します。Windows Update for Business、Microsoft Intune Autopatchの強制適用ポリシーが拡張され、KEV掲載CVEに対しては**「管理者でも適用延期不可」** のオプションが追加される可能性が高いと予測します。

第三に、サイバー保険業界がMSP向けの引受条件を再設計 します。Marsh、Aon、Munich Reなどの大手再保険は、すでに「ConnectWise/Kaseya利用企業に対する追加プレミアム」を導入する動きを見せており、本件後はこれが業界標準になる可能性が高いです。

中期予測（2027〜2028年）

第一に、「連邦＋民間統合パッチ管理プラットフォーム」 が登場します。CISAは2025年末からTriage as a Service（TaaS）のPoCを進めており、これがMS Defender for Endpoint、CrowdStrike Falcon、SentinelOne Singularity等の主要EDRと統合され、「政府検知CVE→自動パッチ配信→自動検証」のフルパイプライン が運用可能になります。

第二に、MSP業界の構造再編。 大規模MSPは保険・規制対応コストを吸収できますが、中小MSPは脱落します。米国では2024年時点で4万社あったMSP数が、今後3年で約1.5万社に統合 されると Channel Futures は予測しており、本件はその統廃合を加速します。日本でも同様の中小SIer淘汰圧力が高まると予測します。

第三に、ゼロトラスト化の常識化。 「リモート管理ツールはVPN内に置けば安全」という設計思想は完全に終わり、全てのRMM/リモートサポートツールが「MFA必須+Conditional Access+Just-In-Time権限+常時ログ取得」を前提とするゼロトラスト境界化 に移行します。

日本特有の懸念

日本では、SIer業界の多重下請け構造 がMSPサプライチェーン攻撃の最大の弱点になり得ます。1次請けのSIerが2次・3次の下請けSIerに保守業務を委託し、その下請けがConnectWise相当の管理ツールを共有して使う、という構造は珍しくありません。1社の下請けが侵害されると、その上の元請け経由で発注元企業まで到達できる という日本独自の連鎖が成立しやすく、欧米のMSPモデルより深刻な状況に陥る可能性があります。

日本企業は、「自社が直接契約していないN次請けまで含めたMSP/SIerの全棚卸し」 を実施し、その全社のRMM運用・MFA運用を契約条件として規定する取り組みを、本件を機に始めるべきです。

まとめ——今すぐ取るべき5つのアクション

CISA KEV緊急追加とMSP標的攻撃の脅威を踏まえ、日本の読者が今すぐ取るべきアクションを5つに整理します。

1. 24時間以内: 自社・委託MSPで使用中のConnectWise ScreenConnectの最新版適用状況とWindows Kernelパッチ適用状況を確認する。MFAが強制有効化されているか、公開エンドポイントにIP制限がかかっているかを点検する。
2. 1週間以内: 委託MSP/SIerに対し、KEV掲載CVE（ConnectWise系・Windows Kernel系）の適用状況と、過去30日間のリモートアクセスログを提出させる。EDR（CrowdStrike、SentinelOne、Defender for Endpoint等）を未導入なら緊急導入する。
3. 3週間以内: MSP契約条項にKEV準拠パッチ義務・インシデント通知義務・MFA運用条件を追記する。代替RMM候補（TeamViewer Tensor、Microsoft Intune+Defender、AnyDesk Enterprise等）の評価を開始する。パスワード・特権アカウントの一括管理に 1Password Business 等の企業向けパスワードマネージャを導入する。
4. 1カ月以内: 統合パッチ管理（CISA KEV連携自動アラート、Microsoft Intune Autopatch、CrowdStrike Falcon Spotlight等）を導入する。MSP/SIerサプライチェーン全社の棚卸しを実施し、SBOM（Software Bill of Materials）の提出を委託先に求める。
5. 継続: サイバー保険を見直し、MSPサプライチェーン経由の侵害がカバー対象か確認する。年次でTPRM（Third-Party Risk Management）監査を実施し、KEVカタログを毎週レビューするオペレーションを定常化する。

本件は単一のCVE事案ではなく、「ランサム集団による国家アクター級サプライチェーン攻撃の大衆化」 という構造変化の象徴です。連邦機関の3週間期限を「他人事」ではなく、「日本のSIer・MSP・ユーザー企業全体の警鐘」として受け止め、今週中に動き始めることを強く推奨します。