トレンドマイクロ製品に複数の脆弱性、TrendAI Apex Oneなど早急なパッチ適用を
JPCERT/CCは2026年、TrendAI Apex Oneをはじめとするトレンドマイクロ製品に複数の脆弱性が存在するとして注意喚起（at260014）を公開した。国内企業・官公庁に広く導入されているエンドポイントセキュリティ製品が対象となるため、情報システム担当者は対象バージョンの確認とパッチ適用を速やかに進める必要がある。
背景
トレンドマイクロのTrendAI Apex Oneは、国内の中堅・大企業および官公庁を中心に広く採用されているエンドポイントセキュリティ製品である。JPCERT/CCが2026年に公開した注意喚起（at260014）では、同製品を含むトレンドマイクロ製品群に対して複数の脆弱性が報告されている。脆弱性の内容は任意コード実行、権限昇格、情報漏えいにわたり、CVSSスコアが高いものも含まれている。トレンドマイクロ自身も修正パッチをリリース済みであり、同社およびJPCERT/CCは適用を強く推奨している。セキュリティソフト自体に脆弱性が存在するという事実は、製品が持つ高い権限と広いシステムアクセスを踏まえると、通常のアプリケーション脆弱性よりも深刻度が増す点に注意が必要だ。
リスクの全体像
TrendAI Apex Oneのエージェントはエンドポイント上でSYSTEM権限またはroot権限で動作するため、権限昇格の脆弱性が悪用されれば攻撃者はホスト全体の制御を取得できる。さらに、Apex Oneはマネージャーサーバーと各エンドポイントが通信する集中管理型のアーキテクチャを持つため、サーバー側の脆弱性が悪用された場合は管理下の全端末に横断的な影響が及ぶリスクがある。加えて、エンドポイントセキュリティ製品はその性質上、EDRログや通信データなど機密性の高い情報を保持しており、情報漏えいが発生した際の被害は業務データの流出にとどまらず、セキュリティ監視体制そのものの情報が外部に露出する可能性もある。パッチ未適用の状態が続くほど、既知の脆弱性情報を持つ攻撃者にとっての標的となりやすい。
チェックリスト
- 社内に展開しているTrendAI Apex Oneおよびその他トレンドマイクロ製品のバージョンを一覧化し、JPCERT/CC注意喚起（at260014）記載の影響バージョンと照合しているか
- Apex Oneマネージャーサーバーへの管理コンソールアクセスを、必要最小限のIPアドレスおよびアカウントに制限しているか
- トレンドマイクロが提供する修正パッチまたはホットフィックスの適用を、サーバー・エンドポイント双方で完了しているか、あるいは適用スケジュールを確定しているか
- パッチ適用が完了するまでの間、Apex Oneのエージェント通信ポートに対する不審なアクセスや権限昇格の試みをSIEMまたはログ監視で検知できる状態にあるか
- グループポリシーや資産管理ツールを用いて、パッチ未適用のエンドポイントを自動的に特定し担当者へ通知するプロセスが機能しているか
打ち手
優先度1：Apex Oneマネージャーサーバーへの修正パッチを最初に適用する。サーバー側の脆弱性が悪用されると管理下の全エンドポイントに影響が波及するため、ここが最優先である。優先度2：資産管理ツールまたはApex Oneのダッシュボードを使い、エージェントバージョンが古いエンドポイントを抽出し、部署・拠点単位で順次適用を進める。優先度3：パッチ適用完了まで、管理コンソールへのアクセスをVPNまたはIPホワイトリストで絞り込み、攻撃対象領域を最小化する。
サーバー→エンドポイントの順でパッチを適用し管理面を先に閉じる
Omamori AI の結論
- 事実: JPCERT/CC at260014が示すとおり、TrendAI Apex Oneを含むトレンドマイクロ製品に任意コード実行・権限昇格・情報漏えいを引き起こしうる複数の脆弱性が存在し、修正パッチはすでにリリースされている。
- 判断軸: Apex Oneはエンドポイント上で高権限で動作し、かつ集中管理型のアーキテクチャを持つため、未パッチのマネージャーサーバー1台の侵害が全管理端末への横展開につながるという連鎖リスクを優先的に評価すべきである。
- 打ち手: まずApex Oneマネージャーサーバーへのパッチ適用と管理コンソールのアクセス制限を実施し、続いてエンドポイントエージェントの更新を資産管理ツールで一括確認しながら段階的に展開する。
経営者視点で考えるべきこと
TrendAI Apex Oneのような集中管理型エンドポイント製品の脆弱性は、単一製品の問題にとどまらず、管理下にある全社端末の信頼性を一度に揺るがす可能性を持つ。経営者が意識すべきは、「セキュリティ製品を導入していること」と「その製品が安全な状態に保たれていること」は別の命題であるという点だ。今回のケースでは修正パッチがすでに提供されているにもかかわらず、展開の遅れが組織のリスクを継続させる。情報システム部門がパッチ適用を完了するために必要なメンテナンス時間の確保や、業務影響を考慮した展開計画の承認を、経営層が積極的に後押しする姿勢が実質的なリスク低減につながる。サプライチェーン上の委託先が同製品を使用している場合は、先方のパッチ適用状況についても確認の働きかけを検討すべきである。
