Apex Oneゼロデイ問題とは？守るはずのセキュリティソフトが穴になる怖さ

Apex One（アペックスワン）は、Trend Microが企業向けに提供しているエンドポイントセキュリティ製品です。「エンドポイント」というのは、社員が使っているパソコン1台1台のことで、それをまとめて管理・保護するシステムです。

中堅〜大企業の社内ネットワークでよく使われていて、ウイルス対策・不正アクセス検知・ランサムウェア対策などをまとめてカバーしてくれる、いわゆる「会社のセキュリティの要」です。個人用のウイルス対策ソフトとは違い、サーバーから社内の全パソコンを一元管理できる点が特徴です。

2026年5月、Trend MicroはCVE-2026-34926というコードが付けられたゼロデイ脆弱性を公表しました。

「ゼロデイ」というのは、修正パッチが公開される前から攻撃に使われていた、という意味です。つまり防ぎようがない状態で、すでに実害が出ていたということです。

ここが今回の話で一番重要なところです。

Apex Oneはセキュリティのために入れているはずのソフトです。なのに、そのApex Oneのサーバーが侵入口になって、社内の全パソコンにウイルスをばらまかれてしまう可能性がある。

なおかつ、司令塔が乗っ取られているわけですから、社員のパソコンには「正規の更新」として悪意のあるプログラムが届くかもしれない。ウイルス対策ソフト自体が、ウイルスの配送業者になってしまうわけです。

店長より

「セキュリティソフトが入っているから安心」というのは、鍵をかけているから安心、に似ています。でも鍵自体に欠陥があったら？という話ですよね。ソフトを入れること自体は正しいんですが、そのソフトも常に最新の状態に保つ必要がある、ということです。

ちょっと驚くかもしれませんが、Apex Oneはここ数年、毎年のようにゼロデイ脆弱性が見つかっています。

CISAのデータベースには、Trend Micro Apex関連の脆弱性が12件「悪用済み」として記録されています。これだけの数が繰り返し狙われているということは、攻撃者にとってApex Oneを狙うことが「有効な手口」として定着してしまっているということです。

今回の話で、もうひとつ気になるポイントがあります。

2025年8月に見つかった前の脆弱性（CVE-2025-54948）は、台湾が標的になっているケースが多く、中国系のAPT（高度な技術を持つハッカー集団）が関与している可能性が指摘されていました。

「APT」というのは国家やそれに準じる組織がバックにいる、プロ中のプロの攻撃者集団です。個人の愉快犯とは違い、特定の企業・政府機関・インフラを狙って、長期間かけて潜入する手口が特徴です。

今回の脆弱性、直接の対象は「Apex Oneのオンプレミス版を使っている企業」です。個人ユーザーや小規模なお店には直接関係ありません。

ただ、ここで考えてほしいのは「取引先や関係先が被害に遭ったらどうなるか」という視点です。

店長より

セキュリティのニュースって「大企業の話でしょ」と思いがちですが、実は「大企業が踏み台にされて、そこから中小企業に波及する」パターンが増えています。直接使っていなくても、頭の片隅に置いておくと良いと思います。

もし職場でApex Oneを使っている、あるいは社内システムの管理をされている方がいれば、確認してほしいことを整理します。

• 1 オンプレミス版かどうかを確認する
  クラウド版・SaaS版は今回の影響を受けません。自社サーバーに立てている場合のみ対象です。
• 2 Trend Microの公式アドバイザリを確認する
  CVE-2026-34926のパッチが提供されているか確認し、適用済みかチェックします。
• 3 管理コンソールへのアクセス経路を見直す
  外部から管理画面に直接アクセスできる状態になっていないか、ネットワーク設定を確認します。
• 4 社内のIT担当者・ベンダーに連絡する
  「Apex Oneのパッチは当たってますか？」と一言確認するだけでも違います。

今回の話をひとことでまとめると、「セキュリティソフトを入れたら終わりではない」ということです。

どんな製品にも穴は出てきます。大切なのは、穴が見つかったときに素早くふさぐこと。そのためには、普段から情報をチェックして、パッチ適用のサイクルを回し続けることが必要です。

パソコンや車と同じで、セキュリティも定期的なメンテナンスが欠かせません。「入れっぱなし」にしていると、ある日突然それが弱点になってしまいます。

店長より

「うちのパソコン、セキュリティソフト入ってるから大丈夫」と言う方によくお会いします。入っていること自体はとても大事です。でも、それが最新の状態になっているか、ちゃんと機能しているかも同じくらい大切なんですよね。個人のパソコンでも同じ話で、久しぶりに起動したら更新が何十個も溜まっている、なんてことはよくあります。気になったときがチャンスです。