Security

概要 GMOインターネットグループが提供するFX自動売買ソフト向けVPSサービス「お名前.com デスクトップクラウド」で、第三者による不正アクセスが発生し、最大2万6,739台の顧客サーバーに不正プログラムが設置されていたことが判明した。同サービスは月額2,640円からMetaTraderなどのFX自動売買ソフトをクラウド上で24時間稼働させられる点が特徴で、累計契約数は20万件を超える。GMOは10月20日に不正プログラムの設置を確認し、被害拡大を防ぐため10月21日午前4時以降、全プランのサーバーを順次停止する措置に踏み切った。 被害の広がりとFX口座の不正利用 サーバー内に保管されていたID・パスワードなどの情報が閲覧された可能性があるとされ、GMOは利用者に対し速やかなパスワード変更を呼びかけている。一方でクレジットカード情報は別システムで管理されており、漏えいの対象には含まれていないという。さらに深刻なのは、攻撃者がMetaTraderなどが稼働する環境に侵入し、FX取引口座の認証情報を窃取して不正な取引を行った実例が複数報告されている点だ。これにより、サーバーの侵害が単なる情報漏えいにとどまらず、利用者の金融資産に直接的な実害を及ぼす事態に発展している。GMOは現時点で「預かっている利用者の個人情報の漏えいや、閲覧された情報が悪用された事実は確認していない」としているが、調査は継続中で全容はまだ明らかになっていない。 GMOの対応と今後の見通し GMOは10月20日に緊急メンテナンスを実施した後、21日に全プランを停止し、セキュリティ専門会社と連携して調査を進めている。利用者にはパスワードの変更に加え、二段階認証の設定やセッションの切断を要請しており、フィッシングなど便乗した詐欺への注意も喚起している。攻撃の侵入手法については各報道とも具体的な説明がなく、現時点で未解明のままだ。サービスの再開時期も未定で、GMOは確定した段階で公表する方針を示している。VPS上で自動売買ソフトを稼働させるという同サービスの性質上、認証情報が盗まれれば直ちに金融取引に悪用され得ることが今回の事案で浮き彫りになり、同種のクラウド型トレーディング環境全般における認証保護の強化が今後の課題となりそうだ。

概要 カプコンは10月22日、ゲームタイトル横断で利用できる共通会員サービス「CAPCOM ID」が不正アクセスを受け、全世界で約1,177万件（1,177万4,247件)の会員情報が流出したと発表した。同社は10月19日に不審な挙動を検知して即座にアクセス遮断などの緊急対応を行い、翌20日に社内対策本部を設置して不正アクセスの事実を確認、21日には警察および個人情報保護委員会への報告を済ませたうえで22日に公表に踏み切った。流出が確認された情報はメールアドレス、アカウント作成日時、最終ログイン日時・ログイン回数、ログイン時のIPアドレスなどで、このうち43件については生年月日・性別・ニックネーム・居住国・地域といった追加の登録情報も含まれていた。さらに196件のアカウントではログインパスワードが何者かによって不正に変更されており、該当アカウントは既にリセット対応が取られている。一方、ユーザーが設定したパスワードそのものやクレジットカード情報は漏洩していないと同社は強調している。 被害の内容と対応状況 各ソース間で流出件数の表記には多少のばらつきがある(BleepingComputerは約1,170万件、ITmediaとGameSparkは11,774,247件と報じている)。流出件数の規模(1,100万件超)は、過去にカプコンが経験した2020年のランサムウェア被害(最大約39万人規模)と比べても大きいが、各ソースはこの点を直接比較・評価してはいない。カプコンは侵入経路・攻撃手段についてはすでに特定し緊急対応を完了させたとしているが、具体的な内容は公表されておらず、影響範囲の調査や再発防止策の策定は現在も進められている。現時点でゲームプレイ自体やCAPCOM IDの各種機能に支障は出ていないといい、影響を受けた利用者には段階的に通知を行うとともに、専用のサポート窓口(0120-801-271、10時~20時対応)を設置して問い合わせに応じる体制を整えた。196件の不正なパスワード変更が実際にどの程度悪用されたかについては、各記事とも具体的な被害報告(なりすましログインによる不正購入など)には触れておらず、現時点では確認中の段階とみられる。 背景と今後の影響 カプコンにとって大規模な不正アクセス被害はこれが初めてではない。2020年にはランサムウェア攻撃を受け、約1TBに及ぶ社内データが流出する事件が発生しており、2021年の調査では老朽化したVPN機器が侵入の足がかりになったことが判明している。今回の「CAPCOM ID」への侵入が同様に周辺システムの脆弱性を起点としたものかどうかは、現段階の報道からは判断できない。メールアドレスや利用履歴中心の流出とはいえ、1,000万件を超える規模はフィッシングなど二次被害の呼び水になりやすく、対象ユーザーはカプコンからの公式通知を装った不審なメールやログイン試行への警戒が求められる。カプコン側が今後発表する詳細な原因調査結果と、再発防止に向けた追加のセキュリティ対策の内容が、今回の事案の評価を左右する焦点になりそうだ。

概要 PHP開発チームは10月23日、新たな未修正のリモートコード実行(RCE)リスク「CVE-2026-115560」を公表した。10月21日にCVE-2026-109618とCVE-2026-109619(通称「PHP2Shell」)の緊急パッチを公開してからわずか2日後の発表であり、PHPの深刻な脆弱性対応が立て続けに続く事態となっている。今回の問題は先の2件とは別系統の欠陥で、既に配布済みの緊急パッチでは対応されていない。修正版はまだ提供されておらず、通常の定期バグ修正リリースに向けて作業が進められる見通しだ。 脆弱性の技術的な詳細 CVE-2026-115560が発生するには、PHP開発チームの説明によれば以下の3条件がすべて満たされる必要がある。すなわち、session.serialize_handlerをphp_binaryまたはphp_serializeに設定していること、実行中にini_set()を用いてこの設定値をphpに変更していること、そしてその変更がsession_start()より前に行われていることである。これに加えて、セッションのアップロードプログレス機能が有効化されている状態が必須条件となる。PHP自身はこの組み合わせの構成を「実務上あり得ない」と評価しており、一般的なリスクとしては低いとの見立てを示している。 PHP2Shellとの関係と対応策 今回の脆弱性は、10月21日にパッチが公開されたPHP2Shell関連のCVE-2026-109618・CVE-2026-109619とは独立した問題であり、両者の修正が今回のリスクをカバーするものではない点に注意が必要だ。PHP開発チームが示す暫定的な回避策は、session.upload_progress.enabled=0への設定変更であり、これは前回のPHP2Shell対応で案内されていた緩和策と同一のものである。現時点でCVE-2026-115560の悪用報告は確認されておらず、観測されている攻撃はいずれも10月21日にパッチ済みの2件を狙ったものにとどまる。 今後の見通し PHPはどのバージョンが影響を受けるか、またどのリリースで修正が取り込まれるかについて、現時点で詳細を公表していない。緊急リリースとしてではなく通常のリリースサイクルの中で対応される見通しであることから、管理者はまずsession.upload_progress.enabled=0の設定による暫定対応を優先し、定期リリースでの修正適用を待つことになる。PHP2Shell関連の対応に追われていた管理者にとっては、立て続けの注意喚起となるため、session関連の設定を含めた構成全体の見直しが推奨される。

概要 Node.jsは10月21日、22.x/24.x/26.x系列の全サポートバージョン向けに、合計10件のCVEを修正する緊急セキュリティリリース(v22.23.4、v24.22.1、v26.12.1)を公開した。最も深刻なのはBrotliデコーダの範囲外書き込み(Out-of-Bounds Write)に起因するリモートコード実行の脆弱性(CVE-2026-111497、深刻度HIGH)で、OpenAI Codex SecurityのKhai TranとSylvie Mayerによって報告された。残る9件のうち、TLS証明書のホスト名検証をバイパスする脆弱性が3件(CVE-2026-105483、CVE-2026-106069、CVE-2026-106072)、DNS解決やキープアライブ処理、crypto.randomUUID()のエントロピー再利用に関する脆弱性などが含まれ、HIGHが4件、MEDIUMが3件、LOWが3件という内訳になっている。20.x以前はすでにEOLのため、パッチは提供されない。 Brotli RCE脆弱性の技術的詳細 CVE-2026-111497は、Node.jsにバンドルされているBrotli展開処理に存在するバッファ境界チェックの不備が原因で、攻撃者が加工した圧縮データをデコードさせることでバッファの範囲外にメモリを書き込ませられるという脆弱性だ。影響を受けるのはnode:zlibモジュールを直接利用するアプリケーションに加え、攻撃者が制御するBrotliデータを展開するケース全般で、fetch()でBrotli圧縮されたレスポンスを自動的に展開する仕様のため、意識せずに攻撃対象領域に組み込まれているアプリケーションが多いと指摘されている。修正の元となったパッチはGoogleのBrotliライブラリ本体のバージョン1.2.1、1.1.1、1.0.10(10月21日リリース)に由来し、Google自身は2026年2月にBrotliのソースに修正を加えており、今回10月にセキュリティリリースとして展開された(遅延の理由は記事中で明らかにされていない)。 10月22日には公開のPoCが示されたが、実際にコード実行に成功したのは「意図的に弱体化させたテストビルド」に対してのみで、標準のNode.jsビルドではクラッシュや限定的なメモリ読み取りが確認された程度であり、通常ビルドに対する実動する攻撃は確認されていない。本稿執筆時点で実際の悪用報告もないが、深刻度自体はHIGHに分類されている。 その他の主な修正内容と推奨対応 TLS関連では、全幅数字で表記されたIPアドレスや疎なIPアドレス表記を使った証明書のホスト名検証バイパス(CVE-2026-105483、CVE-2026-106069、CVE-2026-106072)が複数修正された。また、dns.resolveがNUL文字を含むホスト名を不適切に切り詰める問題(CVE-2026-105482)、キープアライブソケットの応答処理不備(CVE-2026-105481)、crypto.randomUUID()およびrandomInt()のエントロピーキャッシュがユーザーランドのスナップショットやSEA(Single Executable Applications)に保持され、プロセス間で値が繰り返される問題(CVE-2026-106074)も修正対象だ。LOW評価の3件はZipFile検証失敗時の情報開示や、Permission Modelのワイルドカード権限の過剰付与・fs.realpathSyncのバイパスに関するもの。合わせてc-ares、OpenSSL、SQLite、Undici、CA証明書(eMudhra中間CA侵害対応)といった依存ライブラリの更新も行われている。 Node.jsプロジェクトは、ワークアラウンドが存在しないため全ユーザーに対しv22.23.4、v24.22.1、v26.12.1への速やかなアップグレードを強く推奨している。特にBrotliのRCE脆弱性は影響範囲が広く、EOLとなった20.x以前を使い続けている環境は今回のパッチ対象外であるため、サポート状況の確認とあわせたバージョンの見直しが求められる。

概要 Palo Alto NetworksのセキュリティチームUnit 42は、PAN-OSのGlobalProtectポータル/ゲートウェイに存在する認証バイパス脆弱性CVE-2026-0257が、複数のランサムウェア集団によって実際に悪用されていると報告した。この脆弱性は、適切な認証を経ずに不正なVPN接続を確立できるというもので、多要素認証(MFA)による保護を回避してしまう点が特に深刻だ。脆弱性は2026年5月に公表され、同月13日にはCISAの既知の悪用脆弱性(KEV)カタログに追加、5月29日には実証コード(PoC)が公開された。その後6月以降、攻撃グループによる実悪用が確認されている。 攻撃の実態と対象業界 Unit 42が特定した攻撃者には、Qilinの別名で知られるSpikey Scorpius、Incの別名を持つTarnished Scorpius、Settraランサムウェアの運営者が含まれる。狙われている業界は教育、金融サービス、医療、テクノロジー、宿泊、製造、法律サービス、政府機関、運輸、公共事業、小売など広範囲にわたり、業種を問わない無差別な侵入が続いている。侵入後の典型的な手口としては、リモート監視管理(RMM)ツールを用いた内部ネットワークの偵察、RDPやSMBを使った横移動、認証情報の窃取とデータ持ち出し、そして最終的なランサムウェア展開という流れが確認されている。特に注目すべき最近の傾向として、攻撃者がvCenterなどの仮想化基盤に直接侵入し、ESXiのセキュリティ機能を無効化した上でドメインコントローラーの仮想ディスクからオフラインで認証情報をダンプする手法が挙げられる。この手法はエンドポイント検知システムを素通りしてしまうため、従来のEDR中心の防御が効きにくいという課題がある。 侵害の痕跡と対策 同ブリーフでは、悪性IPアドレス群(23.128.228.6、104.207.144.154、146.19.216.119、146.19.216.120、146.19.216.125など)やPoCに紐づく特徴的なホスト名・MACアドレスといった侵害指標(IOC)も公開されている。Palo Alto Networksは、該当製品を利用する組織に対し、提供済みのセキュリティパッチの適用または回避策の実施を急ぐよう呼びかけている。加えて、GlobalProtectのログをIOCと照合して過去の侵害を遡って確認すること、管理インターフェースがポート4443・3879経由で意図せずインターネットに露出していないかInterface Managementプロファイルの設定を見直すことを推奨している。Cortex Xpanseによる公開PAN-OSゲートウェイの検出や、Advanced URL Filtering・Advanced IP Defenseによる悪性IPの遮断、Cortex XDR/XSIAMによるエンドポイント防御の活用も有効な対策として挙げられている。 PoC公開から約5か月を経てもなお悪用が拡大している点は、パッチ適用の遅れが依然として大規模な被害につながることを改めて示している。VPN境界の突破だけでなく仮想化基盤そのものを標的にする手口への移行は、境界防御とエンドポイント検知だけでは不十分であることを浮き彫りにしており、ネットワーク境界機器のパッチ管理と仮想化環境の監視強化を同時に進める必要性が高まっている。

概要 AIプロキシツールLiteLLMのリリースパイプラインが侵害され、10月21日に悪意あるバージョン1.107.0がPyPIとDocker Hubに公開された。PyPIでは協定世界時11時39分から13時23分まで、Dockerでは11時46分から14時20分までの約2時間、不正なパッケージが配布可能な状態にあった。攻撃者は盗んだAWS認証情報の有効性確認を、情報窃取開始からわずか4.5時間後に始めていたことも確認されている。侵害されたバージョンはv1.107.0のみで、直前のv1.106.2以前のバージョンに影響はない。 侵入経路と手口 LiteLLM側の説明によると、攻撃者は3人のエンジニアのGitHubアカウントに、盗まれたGitHub CLIのOAuthトークンを使って侵入した。これらのトークンは、外部に公開されたままになっていたLiteLLMの内部デプロイ環境から取得されたとみられる。攻撃者は1つのアカウントでリリースパイプラインの設定を改変し、別のアカウントでリリースを承認、さらに別のアカウントでワークフローの実行記録を削除するという役割分担で侵入の痕跡を隠そうとした。LiteLLMは、最近修正された脆弱性が初期侵入の足がかりになった可能性があるとしている。 配布されたマルウェアの内容 悪意あるコードはPython起動時に自動実行されるcook.pthファイルに仕込まれており、LiteLLM自体を利用していなくてもPythonを起動するだけで実行される点が特徴だ。1つ目のペイロードは「privcollect」と呼ばれる認証情報窃取ツールで、AWS・Azure・Google Cloud・Kubernetes・Dockerの認証情報、Git・SSH・GPGの鍵、Chromium系およびFirefoxのブラウザデータ、Claude・Codex・Gemini・CursorといったAI開発ツールの認証情報、さらにLiteLLMプロキシが保存する認証情報やモデル設定まで幅広く狙う設計だった。収集したデータは圧縮・暗号化され、litellm[.]dev/healthcheck宛にHTTP POSTで送信されていた。2つ目のペイロードはバックドアで、GitHub上の「デッドドロップ」リポジトリを1時間おきに確認し、指示されたコードを実行するバックグラウンドデーモンとして動作していた。発見にはKevin Beaumont氏をはじめ、Wiz、Aikido、Socket、SafeDep、StepSecurity、Upwindなど複数のセキュリティ研究者・企業が関わった。 対応と今後の影響 LiteLLMは不正パッケージを削除し、侵害されたトークンを失効させるとともに、調査の間GitHub組織のメンバーを大半削除する対応を取った。プライベートレジストリを利用するエンタープライズ顧客への影響はなかったという。セキュリティ企業Aikidoの研究者Ilyas Makari氏は利用者に対し、「バージョン1.107.0をインストールした場合は、認証情報が漏洩したものとして扱い、ローテーションすべきだ」と、LiteLLM自身の当初の案内よりも厳格な対応を呼びかけている。LiteLLMは今年、同種の.pthファイルを悪用する手口を含むサプライチェーン侵害を繰り返し受けており、3月には153GB規模のデータアーカイブが流出しAWSやSamsung、Cisco、Salesforceなど約2,500の企業ドメインに影響が及んだ事案も発生している。度重なる侵害は、AIインフラを支えるOSSプロジェクトのリリースパイプラインの防御体制そのものに疑問を投げかけており、依存先のサプライチェーンリスクを定期的に見直す必要性を改めて示している。

概要 Microsoftは10月21日、中国政府と関連するとみられる攻撃グループ「Storm-0940」が、クラウドバックアップサービスを提供するConnectWiseの侵害を足がかりに、2,250件を超えるMicrosoft 365テナントへの侵入を試みたと公式に公表した。10月17日時点では被害範囲は170超のテナントとされていたが、調査の進展により被害規模が一桁大きく拡大したことが明らかになった。今回の攻撃の最大の特徴は、オープンソースの侵入テストフレームワーク「ARTEX」を悪用し、偵察からデータ窃取までをほぼ人の手を介さず自動実行した点にあり、Microsoftは人間の対応能力を超える速度で攻撃が進行したと警告している。 攻撃の手口 攻撃は10月10日から14日にかけて、8つの組織の327アカウントを狙った組織的なパスワードスプレーで始まった。この間に151,000件を超えるログオン失敗が記録され、ピーク時には1分あたり2,900件の失敗を記録するという機械的な速度だった。10月15日以降は、ConnectWiseのクラウドバックアップアプリケーションから得たアプリケーション認証情報を悪用する段階に移行し、顧客が既に許可済みのOAuthアプリを通じて、対話的なログインを必要とせずに認証をすり抜けた。その後はMicrosoft Graphを通じたディレクトリの偵察、アプリケーション認証情報の追加や特権ロールの自己割り当てによる永続化、Key Vault内のシークレットの大量読み取りへと進み、一部の事例では標的化からわずか3時間未満で特権的なクラウドアクセスを獲得していた。別の事例では、4つのアプリケーション認証情報を使って4分足らずのうちに200件以上のサインインに成功したことも確認されている。 ARTEXとStorm-0940の背景 Storm-0940は2021年から活動する中国の国家支援型スパイ集団で、従来はパスワードスプレーやインターネット公開アプリケーションの脆弱性悪用といった比較的オーソドックスな手法に依存していた。しかし今回の攻撃では、Go言語とNext.jsで構築された複数のAIモデルを組み合わせたマルチエージェントLLMシステム「ARTEX」を投入し、英語・韓国語・中国語・スペイン語・日本語など多言語に対応した自律型の侵入テストを実行した。Microsoftによれば、ARTEXは早くも9月から航空宇宙、防衛、自動車、化学、エネルギー、金融サービス、政府機関、製造業、技術分野など多岐にわたる組織を標的にしていたという。 対応と今後の見通し ConnectWiseのCEOであるManny Riveloは、被害を受けた接続を遮断し復旧を段階的に進めていると説明したが、認証情報を無効化しても、すでに侵入し居座っている攻撃者を排除できるわけではないと指摘されている。Microsoftは顧客に対し、正式な復旧指示が出るまでConnectWise関連アプリの接続を無効のままにし、証拠保全のためにエンタープライズアプリケーションを即座に削除しないよう呼びかけるとともに、10月1日以降のサービスプリンシパルのサインイン記録やEntra監査ログを遡って点検するよう推奨している。Microsoftは具体的な被害件数やデータ窃取の有無については明らかにしていないが、今回の事件はAIによる攻撃自動化が、防御側の対応速度を凌駕する新たな脅威段階に入ったことを示す事例として位置づけられており、10月上旬以降に確認されているAI駆動型侵害の広範な波の一端であるとしている。

概要 インドの認証局eMudhra(emSign)が発行した8枚の中間証明書について、2025年4月の鍵生成儀式に不備があり、秘密鍵が極めて脆弱な値になっていたことが発覚した。研究者の"Wayne"が10月17日に公開された証明書データをスキャンしてこの問題を発見し、別の研究者"Flüpke"が実際に復元した秘密鍵をGitHub上で概念実証として公開した。これを受けてMozillaとGoogleは発覚当日の10月17日に、Appleは10月22日に対応に動き、Go言語とPythonも最新リリースで該当証明書を強制的に信頼しないよう修正した。問題はCVE-2026-111943として追跡されている。 何が起きたのか eMudhraの説明によると、問題のP-384秘密鍵は2025年4月の鍵生成時にスクリプトの誤りによって生成された弱い鍵セットで、本来生成されるべき正規の鍵と似たラベルが付けられていたために誤って証明書署名用に選択されてしまったという。生成された鍵の値は256より小さいものもあり、中には4という極端に小さい値まで存在した。この場合、攻撃者はわずか256通りの数値を試すだけで秘密鍵を復元できる計算になる。鍵が生成された2025年4月以降、理論上は攻撃者がこの弱さを悪用できる状態が1年半近く続いていたことになる。 eMudhra自身は「影響を受けた中間証明書の大半は本番環境で使用されていなかった」とし、「エンドユーザー向け証明書の発行に使用された証拠はない」と説明しているが、脆弱な鍵が存在していた期間の長さを踏まえると、影響範囲の完全な否定にはなっていない。 ブラウザ・プラットフォーム各社の対応 発覚当日の10月17日、MozillaはFirefoxのOneCRL機構を通じて該当証明書を即座にブロックし、10月20日にはFirefox 158.0.1をリリースしてこの対応を正式に組み込んだ。Google Chromeも同日中に6枚の該当中間証明書をブロックした。Appleは10月22日に保護機能を追加し、主要3ブラウザベンダーが揃って緊急対応を完了させた形となる。 言語・ランタイム側の追従 ブラウザだけでなく、プログラミング言語のランタイムレベルでも対応が進んだ。Go言語チームは10月19日にGo 1.27.3および1.26.10をリリースし、crypto/x509パッケージのVerifyが該当する中間証明書を含む証明書チェーンを検証時にフィルタリングし、呼び出し元に返さないよう修正した。この修正はGo Issue 82345として管理されており、即座のアップグレードが推奨されている。 Pythonも10月21日に3.15.1、3.14.9を「expedited security release(緊急セキュリティリリース)」として、3.13.17を「special security release(特別セキュリティリリース)」として公開した。いずれのバージョンでも同梱のpipを26.2.2に更新し、eMudhra/emSign CA証明書の問題に対応したcertifi 2026.10.19を含める形で対処している。通常、3.13のようにセキュリティ修正のみの保守フェーズに入ったバージョンではpipの更新は行わないが、今回は3.13が保守フェーズ(security-only mode)に入ったばかりだったことから、インストーラーを含む特別リリースに踏み切ったという。 今後の見通し 今回の事案は、認証局の鍵生成プロセス自体に起因する脆弱性が、ブラウザだけでなく各種言語のランタイムやライブラリにまで対応を要求する典型例となった。Mozillaのセキュリティ技術者Dennis Jacksonが追跡用サイトを設けて影響を受けるシステムと対応状況を公開しており、他の言語・フレームワークでも同様の追従修正が今後続く可能性がある。認証局の鍵生成儀式における検証体制の見直しが、業界全体の課題として改めて浮上した。

概要 GitHubは10月20日、パッケージインストール時を狙うサプライチェーン攻撃に対抗する新機能「GitHub package firewall」を公開プレビューとして発表した。コーディングエージェントやCI/CDホストといったエンドポイントと、npmなどの上流パッケージレジストリとの間に位置し、メタデータリクエストとパッケージのダウンロード内容の両方を検査する仕組みだ。GitHubは発表の背景として、パッケージのインストール時点を狙うマルウェア攻撃が近年急増しており、特にコーディングエージェントやCIランナーの環境が脆弱になりがちだと指摘している。 仕組みとポリシーコントロール package firewallは、組織の管理者がポリシーを設定できる点が特徴だ。具体的には、パッケージの公開から一定期間を置いて取り込みを遅らせる「クールダウン期間」の設定、GitHub Advisory Databaseを活用した脆弱性・マルウェアアドバイザリの事前確認、アテステーション(証明)の欠落や低下といったサプライチェーン上の異常を検知するチェックなどが可能になる。これにより、新規公開直後のパッケージに潜むマルウェアや、既知の脆弱性を含む依存関係が組織内のビルド・デプロイ環境に取り込まれるリスクを、インストール時点で遮断できる。 対応範囲と料金 現時点での対応エコシステムはnpmパッケージのみで、他言語のパッケージマネージャーへの対応は今後の課題として残る。利用対象はGitHub Enterprise Cloudの顧客で、データレジデンシー対応版の環境でも利用可能だ。料金についてはプレビュー期間中は無料で提供されるが、一般提供(GA)段階ではGitHub Actionsの課金体系と同様、使用量に応じたメータリング課金が適用される予定となっている。 背景と今後の展望 近年、npmエコシステムを狙った攻撃は、公開直後のパッケージにマルウェアを混入させたり、人気パッケージのメンテナーアカウントを乗っ取って悪意あるバージョンを配布したりする手口が相次いで報告されている。エージェントによる自動化されたコード生成やCI/CDパイプラインの普及により、人間の目によるレビューを経ずにパッケージが取り込まれる場面が増えていることも、こうした攻撃の温床となっている。GitHubは今後、インフラのスケーリングや顧客からのフィードバックを踏まえて機能を拡充していく方針を示しており、対応エコシステムの拡大や検査ルールの強化が注目される。

概要 セキュリティ研究者Quentin Kaiser氏が、Broadcom製Wi-Fiチップの「Wi-Fi Protected Setup（WPS）」実装に存在する重大な脆弱性を公開した。欠陥は断片化されたWPSセットアップメッセージの再構成処理に不備があることに起因し、攻撃者は細工したメッセージを送信するだけでルーターのメモリを破損させ、メモリ読み取りや任意コードの実行を引き起こせる。パスワードや事前のペアリングは一切不要で、電波の届く範囲にいるだけでroot権限によるルーターの完全な乗っ取りが可能になるという。 影響を受けるチップと範囲 影響は古いeCosベースのチップ（BCM3380、BCM3383、BCM33834）と、比較的新しいLinuxベースのチップ（BCM3390、BCM65xx、BCM68xx）の双方に及ぶ。Kaiser氏は実証として、ベルギーの大手インターネットプロバイダーであるOrange Belgium、Proximus、VOOが提供するゲートウェイで実際に悪用可能であることを確認しており、世界的に見ても数百万台規模のデバイスが影響を受ける可能性がある。 Broadcomの対応とCVE拒否 特に問題視されているのが、Broadcom側の対応である。同社は2018年の時点でこの欠陥を認識していたとされるにもかかわらず、CVE番号の割り当てを拒否し、公開のセキュリティ声明も出していない。この沈黙が、多数の端末メーカーがこれまでパッチを適用してこなかった一因になったとみられる。Linuxベースのチップについては技術的には修正が可能だが、古いeCos系チップは設計上の制約から今後も修正される見込みがないという。 利用者への影響と今後の見通し パッチが提供されない以上、該当する古いゲートウェイやルーターを使い続けている利用者にとっては、機器の交換が事実上唯一の実用的な対策となる。Kaiser氏は脆弱なファームウェアを検出するためのYARAルールを公開しており、ISPや機器メーカーが自社製品の影響範囲を調査する助けになるとしている。ベンダーがCVEの割り当てすら拒む今回のケースは、サプライチェーン上流のチップベンダーが脆弱性情報の透明性を欠いた場合に、末端の利用者が長期にわたりリスクにさらされ続けるという構造的な課題を改めて浮き彫りにしている。