つみかさね

CVE-2026-8398

Critical(9.8)

CVE-2026-8398 — DAEMON Tools Lite サプライチェーン攻撃

公開日: 2026-05-29データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
DAEMON Tools LiteAVB Disc Soft12.5.0.2421〜12.5.0.2434（2026年4〜5月配布分）

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 12026年4月8日〜5月5日の間にDAEMON Tools Lite（バージョン12.5.0.2421〜12.5.0.2434）をインストールまたは更新したシステムを特定する
  2. 2該当システムで侵害の痕跡（IoC）を調査する
  3. 3DAEMON Tools Liteをアンインストールし、EDRや各種ログで不審な挙動がないか確認する
  4. 4クリーンが確認できたら最新の修正済みバージョンを再インストールする

影響対象

DAEMON Tools Lite利用者（Windows）

補足

  • -CISA KEV掲載済み（実際の悪用が確認された脆弱性）
  • -改ざんバイナリは正規の署名証明書で署名されているため、署名検証のみでは検出できない
CVEサプライチェーンDAEMON ToolsWindowsCISA-KEVマルウェア

概要

2026年4月8日〜5月5日の間、仮想ドライブソフトウェア「DAEMON Tools Lite」の公式ウェブサイト（daemon-tools.cc）から配布されたインストーラが改ざんされていたサプライチェーン攻撃です（CVSS 9.8）。

攻撃者はベンダー（AVB Disc Soft）のビルドまたは配布インフラへの不正アクセスに成功し、以下の3ファイルに悪意のあるコードを埋め込みました。改ざんされたファイルはすべて正規のコード署名証明書で署名されており、署名ベースの検知をすり抜けます。

改ざんされたバイナリ:

  • DTHelper.exe
  • DiscSoftBusServiceLite.exe
  • DTShellHlp.exe

本件はCISAの既知悪用脆弱性リスト（KEV）に登録されており、実際の悪用が確認されています。

CVSSベクトル

指標値
Attack VectorNetwork
Attack ComplexityLow
Privileges RequiredNone
User InteractionRequired
ScopeUnchanged
Confidentiality ImpactHigh
Integrity ImpactHigh
Availability ImpactHigh
CVSSスコア9.8 (Critical)

影響を受けるソフトウェア

製品バージョン期間
DAEMON Tools Lite12.5.0.2421〜12.5.0.24342026年4月8日〜5月5日

上記期間外・上記バージョン外のインストール分は影響を受けません。

修正バージョンと回避策

  • 調査手順: 上記期間（2026年4月8日〜5月5日）にDAEMON Tools Liteをインストールまたは更新したシステムは、侵害の痕跡（IoC）を調査することが推奨されます
  • 対処: 侵害を確認後またはリスク除去のため、ソフトウェアをアンインストールし、クリーンインストールを実施
  • 最新版: ベンダー公式サイトから提供される修正済みバージョンを使用

関連リンク

データソース: NVD (NIST), CISA KEV AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-45321TanStack npm サプライチェーン攻撃CVSS 9.6

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-8398
CISA KEV:https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-8398
ベンダーブログ:https://blog.daemon-tools.cc/post/security-incident
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。