概要 Adobeは2026年7月1日、ColdFusionとCampaign Classicに存在する最大深刻度(CVSS 10.0)の脆弱性7件を含むセキュリティアップデートを公開した。中でも注目されているのがColdFusionのパストラバーサル脆弱性CVE-2026-48282で、認証なしでリモートからの任意ファイル書き込みが可能というものだ。KEVIntelの創業者Ryan Dewhurst氏によると、この脆弱性はパッチ公開からわずか2時間以内に、同氏が運用するグローバルハニーポットネットワーク上で実際の悪用が観測されたという。Shadowserverの調査では、インターネット上に露出しているColdFusionインスタンスが約800台確認されており、パッチ未適用の環境は深刻なリスクにさらされている。 修正された脆弱性の詳細 今回のアップデートでは、ColdFusionに6件、Campaign Classicに1件、合計7件のCVSS 10.0の脆弱性が修正された。ColdFusion側の内訳は、危険な種類のファイルの無制限アップロードを許してしまうCVE-2026-48276とCVE-2026-48283、不適切な入力検証に起因しリモートコード実行につながるCVE-2026-48277・CVE-2026-48281・CVE-2026-48316、そして任意ファイル書き込みを許すパストラバーサル脆弱性CVE-2026-48282である。これらはいずれも特権を持たない攻撃者が、ユーザー操作を必要とせず低い攻撃複雑度で悪用できる点が特徴だ。このほかCVSS 9.3の任意ファイル読み取り(CVE-2026-48313)と権限昇格(CVE-2026-48315)も修正されている。影響を受けるのはColdFusion 2025.9および2023.20以前のバージョンで、それぞれColdFusion 2025 Update 10、2023 Update 21で修正済みだ。Campaign Classic側では、不適切な認可に起因し任意コード実行を許すCVE-2026-48286(CVSS 10.0)が修正されたが、こちらはオンプレミス展開のみが影響を受け、Adobeがホストするインスタンスは既にパッチ適用済みとなっている。 実悪用の状況 Adobeは今回のアップデートを全てPriority 1(悪用リスクが高い脆弱性への対応を要する最優先区分)に分類し、管理者に対して「72時間以内」のアップデート適用を強く推奨していた。当初Adobe自身は「これらの脆弱性が実際に悪用されている事実は確認していない」としていたが、その直後にCVE-2026-48282を狙った攻撃が現実のものとなった。インド発とみられるIPアドレスからのファイルシステム読み取りを狙った悪用試行が確認されているほか、Ryan Dewhurst氏はパッチ公開後2時間というごく短時間でハニーポットへの攻撃が捕捉されたと警告している。Shadowserverによれば、約800台のColdFusionインスタンスがオンラインで露出した状態にあるが、この中にどれだけのハニーポットや、既に緩和策が講じられたシステムが含まれるかは不明だとしている。 今後の対応 カナダのサイバーセキュリティセンター(CCCS)は、ユーザーと管理者に対し、進行中の攻撃から自システムを守るため速やかなアップデート適用を呼びかけている。また、Adobeは今回のアップデートに合わせて、セキュリティ情報の公開頻度を見直す方針も発表した。2026年7月14日以降、これまで月1回だったセキュリティ情報の公開を、毎月第2・第4火曜日の月2回に増やすとしており、脆弱性対応の迅速化を図る狙いがあるとみられる。今回のように公開直後から実悪用が始まるケースが相次いでいることを踏まえると、ColdFusionやCampaign Classicの管理者は本アップデートの適用状況を早急に点検する必要がある。

概要 イスラエルのセキュリティ企業Check Point Researchは、中国のAIモデル「DeepSeek」を使って生成されたマルウェアが、Chromium系ブラウザの「File System Access API」を悪用し、ブラウザの中だけでファイルを暗号化する新型ランサムウェア手法を実現していたことを明らかにした。このマルウェアは「InfernoGrabber v9.0」と名付けられたPython Flaskアプリケーションで、2026年1月25日にVirusTotalへアップロードされていたことが確認されている。これまで理論上のリスクにとどまっていた「ブラウザ完結型ランサムウェア」を、AIが実用的な攻撃チェーンへと初めて橋渡しした事例だとされる。 悪用されたAPIと攻撃の仕組み File System Access APIは、ユーザーが明示的に許可した場合にウェブサイトがローカルフォルダ内のファイルを直接読み書きできるようにするブラウザネイティブの機能である。InfernoGrabberは、Discord風のアバターAIアップスケーラーを装ってユーザーをフィッシングし、このAPI経由でファイルシステムへのアクセス権を取得すると、ローカルフォルダのファイルを列挙・読み取り、内容を暗号化した上で上書きし、恐喝メッセージを表示する。ネイティブなペイロードのインストールやブラウザ自体の脆弱性、ルート権限は一切不要である点が特徴で、従来のランサムウェアとは異なる感染経路を持つ。 このマルウェアは暗号化機能に加え、Discordトークンの窃取、クレジットカード番号や暗号資産のシードフレーズの収集、キーストロークロギング、ウェブカメラ・マイクの不正監視といった多機能を備え、WinLocker風のランサムウェア画面を表示してビットコインでの支払いを要求する。窃取したデータはハードコードされたDiscordのwebhookを通じて外部に送信される仕組みだった。 影響を受ける範囲 この攻撃はChromiumベースのブラウザを搭載するWindows、macOS、Linux、AndroidおよびWindows版Microsoft Edgeで動作が確認されており、iOSのみ再現できなかったという。Check Point Researchのマルウェア分析チームを率いるPedro Drimel Neto氏は、この結果について、攻撃面が当初の想定より広く、デスクトップおよびAndroidユーザーの大多数に影響し得ると指摘している。 DeepSeekが悪用された背景 研究者によれば、攻撃者がDeepSeekを選んだ理由は、Anthropic・Google・OpenAIといった西側企業のモデルと比較して悪意あるサイバー攻撃関連のリクエストに対する拒否率が低く、ウェブインターフェース経由で無料アクセスできる点にある。さらに「単一の広範なプロンプト」から完全に機能するマルウェアを生成できる効率性も指摘されており、研究者は「DeepSeekモデルは高度な悪意あるアイデアを、競合プラットフォームよりも少ない専門知識で具体的な攻撃コードへ変換できる」と述べている。 今後の影響と対応 Check Point Researchの研究部門責任者Eli Smadja氏は、「初めて、AIモデルが正当なプラットフォームの機能から独立的に攻撃手法を推論し、人間がこれまで理論化するにとどまっていた実用的な攻撃技術を発見した証拠を得た」と強い警告を発している。同氏は、複雑な攻撃を実行するための技術的障壁が崩壊しつつあり、AIセキュリティの将来を「モデルが明白な悪意あるリクエストを拒否すること」への期待だけに依存させることはできないと指摘する。現時点でこの手法が実際の攻撃キャンペーンで悪用された痕跡は確認されていないものの、脅威アクターの関心の高さから今後の悪用拡大が懸念されている。Check Point Researchは対策として、配信層でのセキュリティ強化、権限ベースの信頼体制の見直し、そしてブラウザが表示する権限リクエストのプロンプトすべてをセキュリティ上の重要な判断として扱うことを推奨している。

概要 Microsoftは2026年7月6日、全従業員の約2.1%にあたる4,800人規模の追加人員削減を発表した。最も大きな打撃を受けたのはXbox部門で、1,600人が削減対象となった。Xbox部門では2027会計年度末(2027年6月30日)までに合計約3,200人が削減される見込みで、うち1,600人は今回の4,800人削減に含まれ、残る約1,600人が2027会計年度中に順次削減される。今回の発表は一連のリストラの一部に過ぎない。Xbox CEOのAsha Sharma氏はこれを「Xbox史上最大の再編成」と表現し、「我々のビジネスは健全ではない」と自ら認める異例のコメントを残した。同氏はまた、ゲーム業界全体が「歴史上最も深刻なハードウェア危機に直面している」と指摘しており、ゲーム機のハードウェアコスト高騰が業績を圧迫している実態が背景にあるとみられる。 Xbox部門の組織改革 今回の再編では、Xbox部門の意思決定構造そのものにもメスが入る。現状14階層にも及ぶ管理層を最大5階層(理想的には3階層)にまで圧縮する方針が示された。あわせて、Helen Chiang氏がコンテンツ・ハードウェア・プラットフォーム・サービス部門の損益責任を一手に担う新設の最高執行責任者(COO)に就任する。組織のスリム化と権限の一元化を同時に進めることで、意思決定の迅速化とコスト構造の見直しを図る狙いとみられる。 スタジオのスピンオフ・売却 再編の中でも特に注目されるのが、傘下ゲームスタジオの扱いだ。Compulsion GamesとDouble Fine Productionsの2社は独立した企業として再びMicrosoftの傘下を離れることになる。一方、Ninja TheoryとUndead Labsについては新たな所有者への移行が進められる予定で、いずれも進行中のプロジェクトを完成させるための資金が付与されるという。これにより、Microsoftは開発リソースを『Minecraft』のMojangや『Candy Crush』のKingといった主力タイトルを抱えるスタジオへ集約する方針を鮮明にしている。 背景と今後の見通し Microsoftの最高人事責任者であるAmy Coleman氏は、今回の一連の職務変化について「AIによる置き換えではなく自動化によるもの」との立場を強調した一方で、「業務の自動化が進む中、全従業員が継続的にスキルを習得していく必要がある」とも述べている。ハードウェアコストの高騰や市場環境の厳しさを背景に、Xboxはコンソール事業からコンテンツ・サービス中心の事業モデルへとさらに舵を切りつつあるとみられ、今後も追加のリストラや事業再編が続く可能性がある。

概要 Microsoftは2026年7月1日、Visual Studio Codeの最新版となる1.127をリリースした。今回のアップデートでは、AIエージェントによるブラウザ操作機能が正式版(GA)となったほか、サイトごとのブラウザ権限管理、macOS/Linux向けターミナルコマンドのサンドボックス実行、複数チャットセッションの整理機能など、AIエージェントを軸にした開発体験の強化が中心となっている。 ブラウザ操作機能のGA化とサイトごとの権限管理 エージェントが統合ブラウザ上でWebアプリをビルド・テストできる機能が、設定workbench.browser.enableChatToolsのもとで正式提供された。この機能により、エージェントは外部のMCPサーバーを介さずに、スクリーンショットの取得、ページ内要素の選択、テキスト入力、ページ遷移といった操作を直接実行できる。 これに合わせて、サイトごとのブラウザ権限設定も新たに導入された。位置情報、カメラ・マイク、加速度計・ジャイロスコープ、クリップボード、Bluetooth・USB・シリアル・HIDといった各種Web APIへのアクセスについて、サイトごとに許可・ブロックを選択でき、「Site Permissions」メニューから一元管理できる。 ターミナルのサンドボックス実行とAgentsウィンドウの改善 セキュリティ面では、macOSおよびLinux環境において、エージェントが実行するターミナルコマンドをサンドボックス内で実行できるようになった。ネットワークアクセスのブロックやファイルシステムアクセスの制限を伴う環境でコマンドを動かすことで、サンドボックス外での実行が必要な場合にのみ承認を求める仕組みとなり、これまで頻発していた承認プロンプトを削減しつつ安全性を確保している。 Agentsウィンドウでは、関連するセッションをグループ化してヘッダーで折りたたんだり、ドラッグ&ドロップで並び替え・グループ追加・ピン留めを行えるようになった。また、1つのエージェントセッション内で複数の独立したチャットを同時に実行できるようになり、各チャットの進捗や変更内容がまとめて集約表示される。CI失敗やプルリクエストのコメントに対しては、チャット入力欄上部に表示される「Chat input banner」から直接対応できるほか、コード行にホバーすると表示される「Add Feedback」グリフを使って、エージェントへのフィードバックをインラインコメントとして挿入することも可能になった。 今後の展望 このほか、サブエージェントが消費したAIクレジットをホバー表示で確認できるコスト管理機能や、カスタム指示が無視される原因や応答遅延を診断する/troubleshootコマンドも追加された。エンタープライズ向けには、managed-settings.jsonによるCopilot設定のファイルベース配信や、BrowserChatTools・ChatAgentNetworkFilterといったポリシーによるブラウザツール制御機能も強化されており、組織単位でのAIエージェント機能の管理・統制がより容易になった。なお、組み込みのOllamaプロバイダーは非推奨となり、公式拡張への移行が推奨されている。一連の変更から、VS Codeがエージェントによる自律的な開発作業を前提に、安全性と管理性を両立させる方向へ舵を切っていることがうかがえる。

概要 国連が主催する初の「AIガバナンスに関するグローバル対話」が7月6日、スイス・ジュネーブで開幕した。「グローバル・デジタル・コンパクト」に基づいて設立されたこの枠組みには、各国政府、テック企業、研究者、市民社会が参加し、7日までの2日間にわたってAIの安全性、説明責任、アクセス格差、能力構築、国際協調といったテーマを議論する。開幕演説に立ったグテーレス国連事務総長は、AI技術そのものに人類の未来を「vibe-code」させてはならないと述べ、各国に国際的なガバナンス体制の構築を急ぐよう呼びかけた。 グテーレス事務総長の警告と提言 グテーレス氏は、AIが「暴走的な速度」で進化する中、「私たちの社会そのものを対象に、計画も同意もないまま実験が行われている」と警告した。AIシステムがコードを書き、オンラインで行動し、人間の監視がますます及ばない形で意思決定を下すようになっている一方、既存の国際機関は「命令に従う機械」を統治するために作られたものであり、「自ら判断する機械」に対応できていないと指摘した。その上で同氏は、子どもがアクセスできるAIシステムの安全性を企業に証明させる「AI子ども安全プレッジ」の導入、途上国のAI能力構築を支援する「グローバルAIファンド」の創設、2030年までにデータセンターを再生可能エネルギーで稼働させることによるAIの気候影響の低減、という3つの優先課題を提示した。 科学者パネルの評価とAI格差への懸念 対話には、チューリング賞受賞者でUN独立国際科学パネルの共同議長を務めるヨシュア・ベンジオ氏や、共同議長のマリア・レッサ氏も出席した。ベンジオ氏は「AIの能力が今後も向上し続けた場合、それが破滅的な被害をもたらさないという科学的な保証は現時点では存在しない」と述べ、安全策の整備が技術の進歩に追いついていない現状に警鐘を鳴らした。レッサ氏は偽情報の拡散を「情報のアルマゲドン」と表現し、恐怖や怒り、憎悪を含んだコンテンツをAIが拡散すると、それが爆発的に広がってしまうと指摘した。同パネルが7月1日に公表した初の報告書も、「AIの能力は科学的理解や各国政府の対応能力を上回るスピードで進歩しており、深刻または破滅的な被害のリスクは今なお排除できない」と結論づけている。加えて、AI開発が米国と中国に集中している現状についても懸念が示され、先進国と巨大テック企業がインフラ・データ・投資・専門知識の大部分を握る一方、途上国は海外のモデルやプラットフォームへの依存を強いられるリスクがあるとされた。 今後の展望 グローバル対話は、並行して開催されている「AI for Good グローバルサミット」やWSISフォーラム2026とも連携しながら進められる。今回の対話では拘束力のある合意には至らないものの、国連は各国・企業・市民社会が共通の指針を持てる「普遍的なガードレール」の策定を目指す方針を示しており、今後の国際交渉の土台になるとみられる。193の加盟国が参加する枠組みとして、AI規制を巡る多国間協調がどこまで実効性を持つかが今後の焦点となる。

概要 Appleは、オンデバイス処理では対応しきれない高度なAIタスク——エージェント的なツール利用や複雑な推論、次世代のApple Foundation Modelsの実行——を担うプライバシー保護基盤「Private Cloud Compute(PCC)」を、自社データセンター以外の環境で初めてGoogle Cloud上に展開すると発表した。WWDC26で示していた計画に沿った動きで、これまで自社ハードウェアに閉じていたPCCが、ライバル企業でもあるGoogleのインフラ上で稼働する異例の提携となる。プレビュー段階は2026年夏まで続く見込みで、既存のApple Silicon基盤と並行運用される「拡張」であり、移行ではないとされる。 技術的な詳細 Google Cloud版PCCは、3層のハードウェアセキュリティを積み重ねた構成を採る。NVIDIA Blackwell GPU上の機密コンピューティング機能、Intel CPU上のTDX(Trusted Domain Extensions)、そしてGoogle独自のTitanチップを信頼の起点(ルート・オブ・トラスト)として組み合わせている。Appleのセキュリティチームは、これらのプリミティブを世界規模で稼働する「包括的でエンドツーエンドの機密推論システム」に統合したのは今回が初めてだとしている。 検証の仕組みとして、Appleは独自の安全策を二重に設けた。ひとつは、PCCフリートに含まれるGoogle Cloud側のハードウェアすべてを対象とする「追記専用の暗号学的台帳」で、Google自身のアテステーションに頼るのではなく、Appleが個々の物理コンポーネントを独立して追跡する。もうひとつは、ソフトウェアのアテステーションにおいて独立したベンダー由来の信頼の起点を最低2つ用いる仕組みで、単一ベンダーが侵害されても検証チェーン全体が崩れないようにしている。Google Cloud上で稼働するPCCのバイナリはこれまで通り一般に検査可能な状態を保ち、Appleのセキュリティ報奨金プログラムもこのホスト環境に適用される。ステートレスな計算、強制力のある保証、特権ランタイムアクセスの排除、非標的性、検証可能な透明性といったPCCの中核原則も変更されていない。 背景にあるビジネス上の関係 今回の提携は、2026年1月に締結されたGoogleのAIモデルとクラウド基盤に関する複数年契約を土台としている。Appleは2024年以降、モデル訓練にGoogleのTPUを利用しており、次世代のApple Foundation ModelsにはGoogleのGeminiファミリーを支える技術が組み込まれているという。防衛分野のアーキテクトであるJonathan Sandhu氏はLinkedIn上で、「今回の提携が実現した理由はプライバシーアーキテクチャではない。次世代のApple Intelligenceを支える基盤モデルをGoogleが作っているからだ」と指摘し、Googleが政府からのデータ開示要請への対応においてAppleとは異なる履歴を持つ点についても懸念を示している。 業界内での位置づけと今後の展望 クラウド推論のプライバシー保護には段階があり、事業者がデータを保持・学習に利用する「eyes-on」、ログを残さない「ゼロデータ保持(ZDR)」、そして暗号学的な証明によって運用者による一切のアクセスを防ぐ「ゼロオペレーターアクセス(ZOA)」に大別される。Google Cloud上のApple PCCはこのうち最高位のZOAを達成しており、AWS Bedrockをはじめとする他社サービスとの差別化点になっている。財務条件や必要な計算能力の規模、具体的に利用されるGoogle Cloudのリージョンなどは明らかにされていない。Appleは2026年後半に、更新版のPCC Security Guideと拡充されたリサーチプログラムの文書を公開する予定で、今回の提携が技術的な先進性とビジネス上の相互依存関係の両方を映し出す事例として注目される。

概要 静的サイトジェネレータ「Astro」の開発チームは、メジャーバージョンとなる「Astro 7.0」を正式リリースした。今回のアップデートの目玉は、コアコンパイラのRust化、ビルドシステムのVite 8への移行、そして新バンドラ「Rolldown」の採用という3つの大きな変更だ。これらの改善により、Astro 7はこれまでのバージョンと比較して動作が15%から最大61%高速になったとされている。 技術的な詳細 コアコンパイラのRust化は、Astro 6で実験的に導入されていたRust製コンパイラを正式採用する形で実現した。従来はGo言語で書かれたコンパイラをWebAssemblyとして実行していたが、これを新たに書き下ろしたRust製の実装に置き換えたことで、処理速度の向上につながっている。 ビルドシステム面では、Vite 8へのアップグレードに伴い、開発時に使われていた「esbuild」と本番ビルド時に使われていた「Rollup」という二層構造のバンドラ体制が、単一の「Rolldown」に統合された。RolldownはRust製のバンドラで、esbuildに匹敵する高速性を持ちながら、Rollupで使われてきた多様なプラグイン資産をそのまま利用できる点が特徴とされている。開発時と本番ビルド時でツールチェーンが分かれていた従来の構成が一本化されたことで、ビルドパイプライン全体の効率化が図られた形だ。 背景:AstroとViteの資本関係 今回の刷新の背景には、AstroとViteがいずれもCloudflareの傘下に入ったという経緯がある。Astroは2026年1月に、Viteは2026年6月にそれぞれCloudflareに買収されており、両プロジェクトが同じ企業グループの中で開発される体制となった。Astro開発チームは、内部で採用している重要なツールが同じ社内のチームによって開発されるようになったことで、今後さらなる連携強化や新機能の展開が期待されるとコメントしている。 なお、今回の高速化について具体的なベンチマーク内訳や個別の破壊的変更の詳細は現時点では公開されていない。CloudflareグループとしてのAstro・Viteの今後の統合的な発展に注目が集まる。

概要 EU最高裁にあたる欧州司法裁判所(Court of Justice)は7月2日、GoogleとAlphabetによるAndroidの独占的地位濫用を巡る41億ユーロ(約47億ドル)の制裁金について、両社が申し立てた最終上訴を棄却した。この裁定は法的拘束力を持ち、これ以上の上訴手段は残されていないため、EU競争法史上最大級となる制裁金がここに確定した。判決文には「General Court(EU一般裁判所)の判断に対するGoogleおよび親会社Alphabetの上訴を棄却し、Android OSに関連するGoogle Searchの市場支配的地位濫用に対して科された制裁を確定する」との文言が記されている。 これまでの経緯 事の発端は2013年、業界団体FairSearchが欧州委員会に申し立てた苦情に遡る。これを受けて欧州委員会は2018年、GoogleがAndroidを利用して検索市場での支配的地位を強化していたとして43億ユーロ規模の制裁金を科した。Googleはこれを不服として一般裁判所に上訴したが、2022年の判決では委員会の判断の大部分が支持されつつ、制裁金額は41億ユーロ(約47億ドル)にわずかに減額された。今回の司法裁判所の裁定は、この2022年の一般裁判所判決に対するGoogle側の最終上訴を退けたもので、Case C-738/22 Pとして審理されていた。 認定された3つの反競争的行為 欧州委員会が問題視し、各審級で一貫して認定されてきたのは主に次の3つの行為である。 端末メーカーがPlay Storeへのアクセス権を得る条件として、Google検索とChromeのプリインストールを義務付けていたこと 端末メーカーや通信キャリアに対価を支払い、Google検索を排他的にプリインストールさせていたこと メーカーがGoogleアプリの搭載を望む場合に、Androidの非公式フォーク版(Android互換だが独自仕様のバージョン)の採用を事実上禁じていたこと これらの行為により、GoogleはAndroidエコシステムを通じて検索エンジン市場での支配的地位を不当に強化していたと判断された。 Googleの反応と今後の影響 Googleは今回の裁定について、Androidを「オープンで相互運用可能、かつ無償」であり続けさせるための自社の投資の意義が正当に評価されていないとの立場を示した。一方で、2018年の委員会決定を受けてすでに事業慣行の是正を行っており、今回の確定判決によって新たな運用変更が必要になるわけではないとしている。 今回の裁定が最終的に確定したことで、この訴訟で争われてきた法的な不確実性は解消された形だが、その余波はGoogleにとってこれで終わりとはならない可能性がある。競合他社や、当該の反競争的行為によって不利益を被ったとする端末メーカーなどが、今回の確定判決を根拠に別途の損害賠償訴訟を起こす道が開かれたと見られており、Googleは今後さらなる法的・金銭的リスクに直面する可能性がある。

概要 Microsoftは、企業向けAI導入支援に特化した新会社「Microsoft Frontier Company」の設立を発表した。25億ドルを投じ、業界専門家やエンジニアら約6,000人を顧客企業に配置し、AIシステムの設計から本番環境への実装までを一貫して支援する体制を整える。指揮を執るのはCommercial Business CEOのJudson Althoff氏で、同氏はこの取り組みを単なる「Forward Deployed Engineering（FDE）」モデルの延長ではなく、「業界で最大規模かつ最も能力が高い、成果重視のエンジニア組織」になると位置づけている。初期パートナーには、ロンドン証券取引所グループ、ユニリーバ、Land O’Lakes、Accentureといった大手企業が名を連ねている。 事業の狙いと体制 Microsoft Frontier Companyの狙いは、企業が抱えるAI導入の壁――概念実証(PoC)から実際の業務プロセスへの組み込みまでの間にある実装ギャップ――を埋めることにある。エンジニアや専門家を顧客企業に常駐させ、Microsoft自身のツール群を用いて実際の本番環境でAIを稼働させることに重点を置く点が特徴で、コンサルティング的な助言にとどまらず、実装そのものを請け負う「手を動かす」支援を志向している。Microsoftはこれまで築いてきたFortune 500企業を中心とする既存顧客基盤を強みとし、これを新事業の足がかりとする戦略を描いている。 業界の競争環境 こうした「フォワード・デプロイド」型のAI導入支援は、大手テック企業の間で急速に広がっている。Microsoftの発表のわずか2日前には、Amazon(AWS)が10億ドル規模のFDE部門設立を発表したばかりだ。さらにOpenAIは、複数のプライベートエクイティ(PE)ファームと共同で100億ドル規模の「Deployment Company」を展開しており、Anthropicも Blackstone、Hellman & Friedman、Goldman Sachsといった投資家と提携し15億ドル規模の同種事業を進めている。生成AIを「作る」競争から「企業に定着させる」競争へと軸足が移りつつある中、Microsoftは自社の顧客基盤とクラウド・ツール群を武器に、この新たな競争領域で優位を築こうとしている。

概要 セキュリティ企業SOCRadarの調査により、6月中旬に発覚した大規模な認証情報窃取キャンペーン「FortiBleed」が、ランサムウェア集団INC RansomおよびLynxの実際の攻撃活動と直結していたことが明らかになった。FortiBleedのインフラを運用していたオペレーターが、INCとLynx両方の被害者交渉パネルにブラウザセッションでログインしていた痕跡が発見され、さらにFortiBleedで収集された被害組織の情報が、後にINCのリークサイトへ掲載された情報と重複していることも確認された。これにより、ファイアウォールから盗まれた認証情報が実際のランサムウェア展開に使われていたことが初めて実証された形となる。 FortiBleedは金銭目的の攻撃者集団による作戦とみられ、世界約150カ国、約43万台のFortiGateファイアウォールを標的に、推定1億1,000万件以上の認証情報を窃取したとされる。SOCRadarは約1万1,250のFortiGateポータルへのスキャン活動を追跡し、409のターゲットで管理者レベルのアクセスを確認、354組織では侵入からVPN突破、ドメインコントローラーへのアクセス、ドメイン管理者権限奪取に至る完全な攻撃チェーンを確認したという。このうち少なくとも12件で実際にランサムウェアが展開され、数百台規模のエンドポイントが暗号化される被害が出た。 技術的な詳細 攻撃者は「FortiGate Sniffer」（別称FortigateSniffer）と呼ばれる独自開発のパケットスニッフィングツールを侵害済みのFortiGateファイアウォール上に展開し、ファイアウォールを通過するネットワークトラフィックからVPN認証情報やパスワードハッシュを平文のまま傍受していた。報道によりスニッファーの展開台数には差があり、約1万2,000台とする報道と、約1万9,000台に展開され現在も1万1,000台超が侵害状態にあるとする報道があるが、いずれにせよ万単位の規模でパッシブな認証情報収集が行われていたことになる。侵入後の永続化手法としては、“adminin” という名称のバックドア用管理者アカウントを作成する手口も確認された。またこの攻撃者集団は、Nextcloudの少なくとも1件の未修正ゼロデイ脆弱性を保有しており侵害拡大に利用していたほか、Citrix環境への攻撃拡大に向けて約2万9,000のIPアドレスと37のドメインをすでに準備していることも判明しており、FortiGate以外への展開を進めている可能性が指摘されている。 攻撃者の実態と組織構造 SOCRadarのCISOであるEnsar Seker氏によれば、使用ツールやログ、活動時間帯から、ロシア語を話す脅威アクターが初期アクセスブローカーとして関与している可能性が示唆されている。内部の追跡文書の分析からは、この作戦には約20人が関与し、スキャン、認証情報収集、高付加価値ターゲットへの侵入、技術サポートといった役割分担が明確な組織構造を持つことがうかがえるという。SOCRadarは、FortiBleedは単なる認証情報窃取キャンペーンではなく、ランサムウェア経済に直結する「サプライチェーン」の一部であると評価している。なお、INC Ransomは2023年半ばに、Lynxはその約1年後に登場したグループであり、それぞれ独立に活動してきたとみられていたが、今回同一オペレーターが双方の交渉パネルを操作していたことが判明し、両グループ間のつながりが初めて具体的に裏付けられた。 今後の対応 SOCRadarは、侵害の痕跡(IOC)や帰属の証拠、詳細な技術分析を含む続報のホワイトペーパーを近く公開する予定としているほか、ランサムウェアの復号鍵回復に向けた取り組みも継続しているという。FortiGate製品を利用する組織に対しては、認証ログの精査、外部に露出した認証情報のローテーション、多要素認証(MFA)の強制、異常なログイン活動の監視といった対策を早急に実施することが推奨されている。