概要
米CISA(サイバーセキュリティ・インフラセキュリティ庁)は9月2日、実際に悪用が確認された7件の脆弱性を既知悪用脆弱性(KEV)カタログに追加した。対象はSonicWall SMA 1000アプライアンス、Sangoma Switchvox、JFrog Artifactory、Kludex Starlette、Kestra OSS、Berri LiteLLMと多岐にわたる。Horizon3.ai、watchTowr、Microsoftの報告によれば、脅威アクターはこれらの脆弱性を突いてリバースシェルを展開し、管理者トークンを生成してユーザーや認証情報を列挙するほか、暗号資産マイナーを仕込んでホストのリソースをハイジャックしている。特にLiteLLMやKestraといったAI関連基盤を狙った攻撃が目立っており、AIインフラそのものが新たな標的として狙われている実態が浮き彫りになった。
追加された脆弱性の詳細
今回KEVに加わった7件のうち、最も深刻度が高いのはSonicWall SMA 1000アプライアンスのサーバーサイドリクエストフォージェリ(SSRF)であるCVE-2026-83548(CVSS 10.0)で、認証なしのリモート攻撃者が機密機能へ無許可アクセスできる。同アプライアンスには認証後のOSコマンドインジェクションであるCVE-2026-83549(CVSS 7.8)も存在し、認証済み管理者権限を奪われればリモートコード実行に至る。Kestra OSSのCVE-2026-49869(CVSS 10.0)も同じく最高スコアで、認証なしの攻撃者が任意のワークフローを認証情報なしで作成・実行できてしまう。
このほか、Sangoma SwitchvoxのSQLインジェクション(CVE-2026-9586、CVSS 9.3)はバックエンドPostgreSQLデータベースへの任意のSQL文実行を許し、JFrog Artifactoryの不適切な認証(CVE-2026-82329、CVSS 9.8)はデフォルト構成下で管理者権限の奪取につながる。AI関連ツールではBerri LiteLLMの不適切な認証(CVE-2026-59822、CVSS 8.8)が任意のBearerトークンによる認証済みMCPセッション確立を許し、Kludex Starletteのリクエスト/レスポンススマグリング(CVE-2026-48710、CVSS 6.5)はパス検証回避による認証バイパスを引き起こす。
攻撃活動とAIインフラ標的化の実態
Horizon3.aiとwatchTowrの報告では、脅威アクターがCVE-2026-9586とCVE-2026-82329を悪用してリバースシェルを展開し、管理者トークンを生成した上でユーザー・グループ・認証情報セットを列挙する動きが確認されている。さらにMicrosoftの分析によると、攻撃はAIインフラそのものへと及んでいる。Kestraに対してはワークフローエンジン経由でシェルを実行し、Dockerソケットへのアクセスによってコンテナ環境を露出させたうえで暗号資産マイナーを展開し、ホストリソースをハイジャックする手口が報告された。
LiteLLMに対してはCVE-2026-42271とCVE-2026-48710を連鎖させ、XMRigマイナーのELFバイナリを配置するとともに、PostgreSQLデータベースを直接標的にしてLiteLLMのテーブルからモデル設定やプロバイダーキーを抽出する攻撃が確認されている。同様にRAGFlowでもCVE-2026-45312などの複数の脆弱性を組み合わせ、LLMプロバイダーキーやメタデータを窃取する事例が報告された。MicrosoftとWizの調査は、LiteLLM、Flowise、LangChainといったAIインフラがAPIキーの窃取、バックエンドアクセス、永続化、プロンプトインジェクション、暗号資産マイニングの標的になっていると指摘しており、AIスタックの運用基盤自体が攻撃対象として定着しつつあることを示している。
対応期限と今後の展望
CISAはBinding Operational Directive(BOD)26-04に基づき、連邦機関に対してほとんどの脆弱性を9月5日までにパッチ適用するよう義務付けた。ただしStarletteとLiteLLMの脆弱性については対応期限を9月16日まで猶予している。今回の一連の事案は、Web管理アプライアンスやデータベース連携製品といった従来型の攻撃対象に加え、AIワークフローエンジンやLLMゲートウェイといった比較的新しいコンポーネントが実運用で狙われ始めていることを示すものだ。組織はAIインフラのデプロイに際しても、通常のWebアプリケーションと同水準のパッチ管理・認証設定の見直しが急務となっている。