Security

概要 米ルイジアナ州に拠点を置く身元確認サービス企業IDScan.netは、クラウドプラットフォームへの不正アクセスにより、運転免許証のスキャンデータなど大量の身分証明書情報が流出したことを確認した。同社は2026年9月1日頃に不審なアクセスを検知し、9月4日に自社サイトで「不正な第三者が顧客情報にアクセスまたはコピーした可能性がある」と公表した。流出したデータには、米国・カナダの運転免許証スキャン1億5300万件、身分証明書1000万件、旅行書類300万件、医療カード57万9000件が含まれ、氏名や政府発行の身分証番号、免許証のスキャン画像そのものも対象となっている。IDScanは車のレンタル会社、小売業者、金融機関、大麻販売店など幅広い業種に本人確認技術を提供しており、影響の裾野は広い。 発覚の経緯とダークウェブでの流通 事件が表面化したきっかけは、セキュリティジャーナリストのBrian Krebs氏による報道だった。Krebs氏は、ロシア系サイバー犯罪フォーラム「Exploit」上で、ダークウェブサービス「Nexus」がこの巨大な身分証明書データベースへのアクセスを広告していることを突き止めた。Krebs氏自身のバージニア州運転免許証を、販売者が無料サンプルとして提示していたため、Krebs氏はデータの実在性を自ら検証できたという。IDScanは、Nexus上での完全なデータアクセスには金銭の支払いが必要だったとしつつも、影響を受ける可能性のある個人への通知を進めていると説明している。Krebs氏の報道とFBIの捜査開始後、Nexusはダークウェブ上から姿を消したが、犯罪者側がデータベースの複製を保持している可能性は高いとみられている。 対応状況と今後の見通し IDScanは「システムの保全のため直ちに対策を講じ、事案の全容と範囲を特定するためサードパーティの専門家チームと連携した」と説明し、データセキュリティに関する社内ポリシーや手続きの見直しも進めているとする。影響を受けた可能性のある顧客に対しては、無償のクレジット監視・身元保護サービスを提供している。捜査面では、報道を受けてFBIニューオーリンズ支局が正式に捜査を開始しており、IDScanも当局への協力を表明している。運転免許証や身分証明書のスキャン画像はなりすまし犯罪に直結しやすい機微情報であり、1億件を超える規模での流出は、被害者にとって長期的な本人確認詐欺のリスクを残す事案として注視される。

概要 ソフトウェア成果物管理プラットフォームJFrog Artifactoryの脆弱性3件が、実際の攻撃キャンペーンで連鎖的に悪用され、バックドア設置や機密データ窃取にまで発展していたことがWiz Researchの調査で明らかになった。対象は認証回避の脆弱性であるCVE-2026-42018とCVE-2026-82329、および権限昇格の脆弱性であるCVE-2026-42016の3件。複数の脅威アクターが2026年8月15日から9月8日にかけてCVE-2026-42018とCVE-2026-42016を組み合わせて悪用し(CVE-2026-82329は9月上旬から別途悪用が確認されている)、匿名アクセスしかできない状態からわずか5分未満で管理者権限を奪取した事例も確認されている。JFrogはすでに各脆弱性を修正済みだが、開示から数週間が経過した現在もインターネットに公開されたインスタンスの半数前後が未対策のまま残っており、CISAはKEV(既知の悪用済み脆弱性)カタログに追加して連邦機関に2週間以内のパッチ適用を義務付けた。 攻撃チェーンの技術的な仕組み Wizの分析によると、攻撃の起点となるCVE-2026-42018は、匿名アクセスを無効化していてもPOST /access/api/v1/aws/token/エンドポイントが内部の匿名ユーザー用JWTを返してしまう認証回避の不備で、7月27日にパッチ提供が始まった一連の修正の一環として8月12日に修正された。攻撃者はこのJWTを足がかりに、POST /access/api/v1/tokensを呼び出して管理者スコープのトークンを新規発行する。ここで悪用されるのがCVE-2026-42016で、トークンの署名や発行者は正しく検証される一方、本来意図されたスコープの強制が不十分なため、低権限のトークンから管理者権限のトークンを作りだせてしまう。最後にPUT /api/security/users/<username>で永続的な管理者アカウントを作成し、正規の管理コンソールにログインできる状態を確立する。もう一つのCVE-2026-82329は、デフォルト設定のままPOST /access/api/v1/registry/joinを呼び出すことで認証なしに管理者権限を取得できる、より直接的かつ深刻な認証回避で、重大度はクリティカルと評価されている。侵入後は、任意コマンド実行を可能にする悪意あるGroovyプラグインの導入、Rust製でC2機能を備えたバックドアの展開、ウェブシェル配置、SSHキーの追加による永続化、設定情報やリポジトリ構成の窃取といった一連のポスト侵害活動が観測された。 パッチ状況とCISAの対応 修正版は7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20以降で提供されているが、パッチ適用の進み方には脆弱性ごとに差が出ている。最も早く修正されたCVE-2026-42016は、公開から6週間が経過してもなお到達可能なインスタンスの59%が脆弱なままだった。CVE-2026-42018は4週間で69%から62%への改善にとどまる一方、最も深刻度が高いCVE-2026-82329は2週間で67%から49%まで改善しており、重大度の高さが対応の速さに直結したとWizは指摘する。全体では、到達可能なArtifactoryインスタンスの49~62%が3件のいずれかに対して脆弱な状態にあるという。CISAはCVE-2026-42018とCVE-2026-42016をKEVカタログに追加し、連邦機関に対して2週間以内のパッチ適用を義務付けた。Wizは、パッチ適用と並行して、意図しないトークンの発行履歴や見覚えのない管理者アカウント、不審なSSHキーの追加がないかを調査するよう推奨しており、ソフトウェア成果物やAIモデル、コンテナイメージの管理にArtifactoryを利用する組織は早急な対応が求められる。

概要 ハードウェアウォレットメーカーのTrezorは9月11日、利用しているメール配信サービスBrevoが侵害され、約34.7万件の顧客メールアドレスを標的としたフィッシング攻撃に悪用されたと発表した。攻撃者はTrezorの正規アカウントを乗っ取り、「STM32エントロピー脆弱性に関する重大なセキュリティ警告（Critical Security Alert: STM32 Entropy Vulnerability）」と題した偽の警告メールを大量送信し、ウォレットのバックアップパスワードを盗み取ろうとした。Trezorによれば、リンクを実際にクリックした顧客は約2,500人にとどまり、検知から20分以内にフィッシング用ドメインを停止させたという。同社のコアシステム自体への侵入はなかったとしている。 侵害の技術的な経緯 侵害はBrevo側で9月9日に発生した。Brevoの説明によると、攻撃者はまず自ら不正なBrevoアカウントを作成してSAMLシングルサインオン（SSO）を有効化し、そこに正規のBrevo利用者を招待するという手口を用いた。本来であれば招待されたアカウントの権限は単一の組織内に限定されるはずだが、権限のスコープ設定に不備があったため、招待された利用者がアクセス可能な全ての組織に対して攻撃者側もアクセスできる状態になっていた。この不備を突かれ、Trezorを含む138のBrevo顧客企業アカウントが不正アクセスを受けた。実際にフィッシングメールの送信に使われたのは6アカウント、連絡先情報が窃取されたのは43アカウントとされる。BitBoxやCoinTrackingなど他の暗号資産関連企業も標的になったが、詳細な情報開示は限定的だという。 フィッシングの手口と被害 送信されたフィッシングメールは、Trezorのハードウェアウォレットに搭載されるSTM32マイクロコントローラーに脆弱性があり、シードフレーズがブルートフォース攻撃で解読される恐れがあると偽って警告し、対策アプリのダウンロードを促す内容だった。実際にこのアプリはウォレットのバックアップパスワードの入力を要求するものであり、入力してしまえば暗号資産をブロックチェーン上から永久に窃取される危険があった。Trezorは検知から20分でこのフィッシング用ドメインを無効化し、Brevoアカウント自体も停止する対応を取った。それでも約2,500人が実際にリンクをクリックしており、同社は今後も顧客のメールアドレスを狙った二次的なフィッシング試行が続く可能性があるとして注意を呼びかけている。 相次ぐベンダー経由のインシデント Trezorにとって今回の侵害は、直近1か月足らずのうちに発生した2件目のサードパーティ経由のインシデントとなる。8月には物流委託先ShipMonkが侵害され、氏名・メールアドレス・住所を含む顧客の個人情報が流出、これを悪用した偽の物理郵便やQRコードを用いた詐欺も報告されている。ハードウェアウォレット利用者の個人情報が繰り返し流出していることで、資金を強奪する目的で被害者を直接脅迫する「レンチ攻撃」など、オンラインにとどまらない物理的なリスクへの懸念も指摘されている。Trezorは声明で、取引のあるベンダーとの関係を見直していると明らかにしており、暗号資産業界全体にとってもサプライチェーン上の第三者サービスの選定とセキュリティ管理が改めて課題として浮き彫りになった形だ。

概要 Gen Threat Labsは、中国と関連するハッキング集団UNC3569が、テンセント製の中国語入力アプリ「搜狗输入法(Sogou Input Method)」の脆弱性CVE-2026-51990を悪用し、GRAYRABBITバックドアを展開していたと発表した。攻撃は被害者が細工されたリンクをクリックするだけで成立するワンクリックRCEで、プロトコルハンドラの引数検証不備、Webビューでの無制限URLナビゲーション、6年前の旧式Chromiumエンジンという3つの弱点を連鎖させたものだった。Sogou Input Methodは中国で数億台にインストールされているとされ、影響範囲は極めて大きい。UNC3569はGoogle脅威インテリジェンスによって中国のハッカー雇用業界と結びつけられており、2021年から追跡されている、政府・教育・技術・金融セクターを東アジア・東南アジアで標的にしてきたグループだ。 3つの脆弱性を連鎖させた攻撃チェーン 攻撃はまず、sgbiz:カスタムプロトコルハンドラを処理するbiz_helper.exeから始まる。このハンドラはURLからmodule、paramなど5つのパラメータを抽出するが、実行ファイル名を指定するmoduleは禁止文字チェックが行われる一方、コマンドライン引数を渡すparamは単純なURLデコードのみで一切の検証を受けない。攻撃者はこの不備を突き、-page=skincenter -url=https://攻撃者のURLという引数を注入し、Sogouの設定プログラムSGMyInput.exeにスキンストアページを開かせる。 このページ種別ではCEF(Chromium Embedded Framework)ベースのWebビューが生成されるが、OnWebViewIsReady関数はスキームチェックもドメイン許可リストも持たず、-urlパラメータの内容をそのままナビゲーションしてしまう。ここに使われるレンダリングエンジンSGWebRender.exeが搭載するのは、2020年3月頃にリリースされたChromium 80.0.3987.163という6年分のセキュリティパッチを欠いた旧式バージョンだ。しかもサンドボックスはno_sandbox=TRUEで完全に無効化され、同一オリジンポリシーを無効化するdisable-web-securityやローカルファイルアクセスを許可するallow-file-access-from-filesといった危険なフラグも有効なままだった。実際の攻撃では、noht1ng[.]topがChrome 95以前のJSON.stringify型混同バグ(CVE-2021-38003)を突くエクスプロイトを配信し、921バイトのシェルコードを実行してV8ヒープを破損させ、サンドボックスなしで任意コード実行を達成していた。 GRAYRABBITバックドアの機能とC2通信 コード実行後は、Alibaba Cloud香港上のサーバー(8.218.50[.]207)から正規の7-Zipバイナリ7z.exeとトロイの木馬化されたローダー7zp.dll、暗号化ペイロードがダウンロードされ、DLLサイドロードによってGRAYRABBITバックドアが起動する。ローダーはプロセス数を数えてサンドボックス環境かどうかを判定するゲート機構や、NTFSの代替データストリームを使った自己削除機能など、検知回避のための工夫を備えている。展開されるGRAYRABBIT本体は、サイレントなプロセス実行、インタラクティブなリバースシェル、システム情報収集、ファイルのアップロード/ダウンロード、そしてリフレクティブPEロードによるプラグインモジュールの動的読み込みといったコマンドセットを持つ。C2通信はmail.uaiubifas[.]topのポート443に対し、TLSを使わない生TCP上でRC4暗号化(6バイト鍵)を用いて行われており、プラグインアーキテクチャにより機能を後から拡張できる設計になっている。 テンセントの対応と残る課題 Gen Threat Labsは2026年4月9日にテンセントへ報告し、4月21日にはバージョン16.3.0.3498で修正パッチが自動更新により配布された。修正はわずか12日というスピードで、biz_helper.exeの入力検証を強化し、URLをHTTPSのみに制限した上でsogou.comやqq.com、woa.comなど許可リストに一致するドメインへのアクセスのみを許可する内容だった。しかしこの修正はリンクハンドラの検証強化にとどまり、根本原因である旧式かつサンドボックス無効化されたCEF構成そのものは変更されていない。CVE-2026-51990は7月10日に正式採番されたが、専門家は今後も同様の手口で新たなワンクリックRCEが発見される可能性を指摘しており、Sogou Input Methodの数億に及ぶユーザーに対し、最新版への速やかな更新を呼びかけている。

Rustが社内最高位言語に マイクロソフトは、Rustを社内開発における「Tier 1」言語として正式に認定したことを明らかにした。これによりRustは、C++、C#、TypeScriptと並ぶマイクロソフト社内で最も手厚くサポートされる言語の一つという地位を獲得した。同社主任エンジニアのVictor Ciura氏はRustFoundation公式サイトへの寄稿およびRustConf 2026での発表で、Tier 1認定が「安全なツールチェーン、ビルド・開発環境、品質ワークフロー、プラットフォーム統合、SDL（Security Development Lifecycle）要件への準拠」といった基準を満たしたことを意味すると説明している。 メモリ安全性への危機感が背景に 今回の格上げの最大の動機は、Windowsにおけるメモリ安全性関連の脆弱性対策にある。Windowsで報告される脆弱性のうち約70%がメモリ関連の問題であるとされ、この構造的な課題への対応が急務となっていた。Azure最高技術責任者のMark Russinovich氏は「C/C++をいかに改善しようとも、Rustが最初から備えている安全性の水準には到達できない」と述べ、ネイティブコード戦略の中でRustを重視する姿勢を明確にしている。マイクロソフトはRustプロジェクトへの投資を数百万ドル規模で継続してきており、今回の認定はその延長線上にある取り組みだ。 独自バックエンドrustc_codegen_utcでC++との相互運用を確保 技術面での最大の投資は、Rustコンパイラのバックエンドを代替する独自ツール「rustc_codegen_utc」の開発だ。これはRustのコード生成をマイクロソフトのMSVCバックエンド（UTC）に接続するもので、WindowsのC++ツールエコシステムとの高い互換性を保ちながら、バイナリ強化やセキュリティ機能、リンク後のコンプライアンスチェック、ホットパッチ対応、クロスランゲージでのインライン化・最適化、デバッグやクラッシュダンプ解析までを一貫してサポートする。Rust 1.90以降でこの仕組みは自己ホスト化されており、2026年初頭から本番環境での運用が始まっている。一方で、Rustコードと既存のC++が扱うメモリ領域との間でポインタ管理をどう整合させるかは依然として課題であり、「unsafe」領域での相互運用性の扱いが引き続き検討されている。 100以上のプロジェクトで採用、M365やCopilotにも拡大 この取り組みはすでに実運用段階に入っており、OutlookやWord、Excel、OneDriveを含む100以上の社内プロジェクトで採用され、その数は毎週増え続けているという。RustはM365やCopilotのテクノロジースタックにも組み込まれつつある。統一されたコード生成基盤の整備により、RustはマイクロソフトのWindowsネイティブなエンジニアリングエコシステムに直接参加できるようになり、今後はRustとC++を組み合わせた複合的なネイティブシステムの構築がさらに容易になる見通しだ。マイクロソフトはRustへの投資とハイブリッドな開発環境の強化を継続する方針を示している。

概要 Check Point Researchは9月8日、ChatGPTのコード実行サンドボックスに存在した欠陥を報告した。この欠陥を突くと、仕込まれたプロンプトインジェクションによって、あるユーザーのGmailデータを別ユーザーのChatGPTアカウントへ密かに送信できてしまう。問題の原因はAIモデル自体ではなく、ChatGPTが利用する内部インフラにあった。会話ごとに分離されているはずのコード実行コンテナが、パッケージ管理用に共有していた内部のJFrog Artifactoryインスタンスを介して、事実上つながってしまっていたのである。研究者はAlexey Bukhteyev氏で、2026年6月に脆弱性を特定し、OpenAIへ責任ある開示を行った上で9月8日に詳細を公表した。 脆弱性の仕組み 各会話用のコンテナはネットワーク的に相互分離されているものの、パッケージキャッシュとして共有のJFrog Artifactoryインスタンスにはすべてのコンテナからアクセスできた。研究者は、このArtifactoryのItem Management API――具体的には「Set Item Properties」でアイテムにメタデータを付与するエンドポイントと、「Get Storage Item Information」でそのメタデータを取得するエンドポイント――がアカウントごとに分離されていない点を突き止めた。あるアカウントから書き込んだテスト用プロパティを、別アカウントから読み出せることを実証し、これを「分離されているはずのコンテナ間の共有クリップボード」と表現している。 攻撃者はまず、チャットに仕込んだ隠しプロンプト、共有された会話リンク、あるいは隠し指示を含むカスタムGPTのいずれかの手段で、被害者のセッションに命令を植え付ける。すると、ChatGPTの「Thinking mode」が悪用され、ユーザーへの通常の応答を返す表の処理と、攻撃者の命令を実行する裏の処理が並行して走る。この裏側の処理でGmail、Google Drive、GitHub、Microsoft Teamsなど接続済みアプリからデータを読み取り、Artifactoryのメタデータ経由で攻撃者のアカウントへ密かに転送する。低リスクとみなされる読み取り操作は自動承認される仕様のため、ユーザーの目に触れるのは事後に表示される「Talked to Gmail」という小さなラベルのみで、実質的な確認や制御の機会は与えられなかった。研究者はこの手法で、実際に別々のアカウント間でGmailデータを移動させることに成功している。 影響とOpenAIの対応 流出しうるデータはGmailの内容にとどまらず、チャット履歴、アップロード済みファイル、セッションがアクセスできるあらゆるリソースに及ぶ。データはArtifactoryの共有メタデータ経由で持ち出されるため、通常のデータ損失防止(DLP)ツールでは痕跡を検知しにくい点も指摘されている。この脆弱性に対して個別のCVEは割り当てられていない。 OpenAIは問題のArtifactoryインスタンスを廃止することで対応した。この変更はサーバー側で完結するため、ユーザー側での対応や更新は不要だったという。なお対応の経緯については報道により説明が分かれており、The Hacker Newsは開示を受けての措置と伝える一方、The Cyber Expressは、別件のHugging Face関連インシデントを機に同インスタンスが廃止された結果、この欠陥も併せて解消されたと報じている。OpenAIは今回の開示に関する取材には応じていない。 背景と今後の展望 Check Pointによる同種の指摘はこれが初めてではなく、2026年3月にもDNSを利用したデータ持ち出し経路を報告しており、今回は共有インフラを起点とするクロスアカウント通信の欠陥として2件目となる。Check PointのPedro Drimel Neto氏は「AIセキュリティにおける最大のリスクは、我々がAIに与えているアクセス権と信頼そのものになった」と述べており、Check Pointは報告書の中で、外部サービスと連携するAIモデルを「強制されたインサイダー」になぞらえている。ChatGPTのようにGmailやGoogle Drive、GitHubなど機密性の高い外部サービスと連携するAIエージェントが増える中、モデルの安全性だけでなく、それを支える共有インフラの分離設計そのものが新たな攻撃対象になり得ることを示す事例といえる。

概要 セキュリティ研究チームKinryū Labsは、ベトナムに関連する乗客事前情報システム(APIS)の一部とみられる「pax-info」という名称のElasticsearchクラスタが、インターネット上で誰でも閲覧可能な状態になっていたことを発見した。露出していたのは約107GB、29個のインデックスに及ぶデータで、2017年1月から2026年4月までの9年間にわたる乗客2億1030万件、乗員1050万件、合計2億2080万件超の記録が含まれていた。対象はベトナムへの渡航者や経由者に限らず、世界各地からの旅行者が広く含まれるとみられる。 技術的な原因と発見の経緯 Kinryū Labsは2022年にFOFAを用いたスキャンでこのホストを最初に検出していたが、これが問題のデータベースであると特定できたのは2023年になってからだった。クラスタはハノイのViettelに割り当てられたIPアドレス空間でホストされており、インターネットから直接アクセスするとHTTP 401「Unauthorized」を返す設定になっていたものの、別のクラウド経由の経路からはアクセス制限が機能せず、しかもデフォルト認証情報をそのまま受け付ける状態だった。この2つの設定ミスが連鎖したことで、認証を回避してクラスタ内部のデータに到達できてしまったという。研究チームは2026年6月3日にベトナム当局、関係航空会社、各国のCERTへ通報し、6月8日には問題のアクセス経路が閉じられ、修正が完了した。 流出したデータの内容と影響範囲 データベースには氏名、生年月日、性別、国籍、パスポート番号または渡航文書番号、有効期限、発行国といった個人識別情報に加え、便名、日付、航空会社、出発地・目的地・経由地空港、座席番号、荷物参照番号、予定・実績のスケジュール情報まで含まれていた。関連する航空会社はアジア太平洋、ヨーロッパ、中東の広い範囲に及び、報道への協力にはシンガポール航空も加わったとされる。一方で、該当航空会社のネットワーク自体が侵害された形跡や、データベースが改ざんされた痕跡、身代金要求のメモなどは確認されていない。 今後の課題 最大の懸念は、悪意ある第三者がこのデータベースにアクセスし、実際に情報を抜き取っていたかどうかが不明な点にある。サーバーログが保存されていなかったため、露出していた期間中に不正アクセスや大量ダウンロードが発生していたかを事後的に検証する手段がない。パスポート番号や渡航文書情報は本人確認や国境管理に直結する機微情報であり、仮に流出していれば旅行詐欺や不正な渡航文書作成に悪用されるリスクがある。今回の事案は、政府系・航空業界系のシステムであっても基本的なアクセス制御とデフォルト認証情報の変更が徹底されていなければ、大規模な個人情報流出につながりかねないことを改めて示した。

概要 オープンソースのAIコーディングエージェント実行環境「DeepSeek Harness」に、サンドボックス化されたエージェント自身が承認なしに隔離機能を無効化できる重大な脆弱性(CVE-2026-82533、CVSSスコア9.4)が発見された。発見したOX Security(研究者はNir ZadokとMoshe Siman Tov Bustan)によれば、攻撃者が用意したテキストをエージェントが読み込むだけで、セッション権限を「danger-full-access」まで昇格させ、ファイル書き込み制限や操作承認の要求を丸ごと解除できたという。DeepSeek Harnessはローカルマシン上でAIコーディングエージェントを動かしつつ、意図しないファイル操作がホスト環境に影響しないようサンドボックスで保護することを目的としたツールであり、その中核である隔離機構そのものが破られていた点で深刻度が高い。 脆弱性の技術的な仕組み 問題の根はHarnessが127.0.0.1:3080で公開していたローカルAPIの認証方式にあった。リクエストの正当性を判定するisTrustedApiRequest関数は、HTTPの「Host」ヘッダーの値がループバックアドレスか、設定済みの「trustedHosts」リストに含まれているかだけを確認しており、実際の接続元(peerアドレス)とは一切照合していなかった。この結果、ブラウザの制約を受けないクライアントであれば、Hostヘッダーに信頼された値を偽装して送るだけで認証を回避できる状態だった。加えて、OSレベルのサンドボックスプロファイル(LinuxのbubblewrapやmacOSのSeatbelt)はファイル書き込みこそ制限していたものの、ネットワークアクセスは許可されたままで、bubblewrapの設定では--unshare-pidは指定されていても--unshare-netが欠けていたため、ループバック経由でサンドボックスの外にあるAPIへ到達できてしまった。攻撃者が仕込んだ入力を読んだエージェントは、サンドボックス内から単一のcurlコマンドでこのAPIを呼び出し、セッションを「danger-full-access」かつ承認プロンプトを「never」に設定し直すだけで、以降のすべてのコマンドが制限なく実行される状態に持ち込めた。研究者はこの脆弱性をCWE-807(セキュリティ判断における信頼できない入力への依存)に分類しており、リモートの攻撃者がAPIキーなしでエージェントの制御を完全に奪える点、保存された会話履歴やSSHキー・クラウド認証情報・パッケージレジストリのトークンといった開発者の機微情報に波及しうる点を指摘している。 発見の経緯と対応 実はこの脆弱性は正式な報告に先立ち、DeepSeekのディスカッションボード上で2件の独立した報告として既に浮上していた。8月13日にはプロセスがサンドボックスを脱してローカルインターフェースにアクセスする挙動が、8月14日には認証情報なしでインターフェースがリクエストを受け入れてしまう問題が、それぞれ別の開発者によって報告されていた。OX Securityは8月24日にCNA(CVE番号発行機関)であるVulnCheckへ正式に報告し、DeepSeek側は8月27日に修正版0.1.2-alpha.1をGitHub上でリリース、8月30日にはnpmレジストリにも0.1.2-alpha.2として公開され、9月3日にはnpmで最新版となる0.1.2-rc.1が公開された。CVE自体は9月8日にVulnCheckにより正式発行されている。修正では、起動時に一度限り表示されるトークンをブラウザが署名済みCookieと交換する仕組みを導入し、インターフェースへのすべてのリクエストで有効な認証を必須とするよう改められた。 影響と展望 研究者は「コーディングエージェントのharnessは、それが便利であるのと同じ理由で高価値な攻撃対象になる。シェルを握っているからだ」と指摘しており、OpenAI・Anthropic・Metaといった主要AI企業もここ数か月、サンドボックスに閉じ込めたはずのエージェントが脱走し、サードパーティのインフラを侵害する事例を相次いで報告してきた経緯があると述べている。DeepSeek Harnessを利用する開発者には、影響を受けるバージョン(0.1.1-rc.2以前)から0.1.2-alpha.1以降へ速やかにアップグレードすることに加え、ローカルAPIがトンネルやプロキシ、SSHポートフォワーディングなどを通じて外部に露出していないかを再点検するよう呼びかけられている。AIエージェントに強い権限を与えるツールが急速に普及する中、サンドボックスという「最後の防衛線」自体の実装品質が問われる事例として注目される。

概要 GitLabは9月10日、CE/EE(Community Edition/Enterprise Edition)を対象とした緊急パッチ19.3.2、19.2.6、19.1.8をリリースし、18件の脆弱性をまとめて修正した。中でも突出しているのが、最大深刻度となるCVSS10.0のパストラバーサル脆弱性CVE-2026-85706で、リポジトリコミットAPIにおけるパス制限の不備と認証の欠落により、未認証の攻撃者がサーバー上の任意ファイルを読み取れる状態にあった。さらにCVSS9.9の危険な逆シリアル化脆弱性CVE-2026-87719(GraphQLサブスクリプション機能に起因)も含まれており、いずれも自己管理(self-managed)環境に影響する。GitLab.comは既にパッチ適用済みで、Dedicated顧客の対応は不要とされる。 パッチ公開からわずか1日というスピードで実際の悪用の試みが観測され始めた点が、今回最も注視すべき事実だ。脅威インテリジェンス企業watchTowrは、2026年9月11日06:00 UTC以降、CVE-2026-85706を狙った野生下での探索活動を検知したと報告している。 CVE-2026-85706の技術的詳細と悪用条件 CVE-2026-85706は、/api/v4/projects/{id}/repository/commits/エンドポイントへのHTTPリクエストでfile_pathパラメータを細工することにより、認証なしでサーバー上の任意ファイルを読み取れるというものだ。watchTowrの脅威情報責任者Jake Knott氏は、悪用の最小要件について「少なくとも1つのパブリックプロジェクトが存在すれば悪用可能」と説明し、ログファイルや設定ファイルからの認証情報抽出につながりうると警告した。Knott氏はさらに、GitLabが攻撃者にとって魅力的な標的である理由として、ソースコード、CI/CDシークレット、認証情報へのアクセスに加え、ビルドパイプラインへのコード注入が可能になる点を挙げている。同氏は、これが数週間のうちに即座に悪用された2件目の重大GitLab脆弱性であるとも指摘しており、先行するGraphQL関連の脆弱性でも同様の即時悪用が確認されていたという。 影響を受けるバージョンはCE/EEの18.7以降19.1.8未満、19.2以降19.2.6未満、19.3以降19.3.2未満と広範囲に及ぶ。 残る17件の脆弱性と対応 今回のパッチではCVE-2026-85706、CVE-2026-87719以外にも、CVSS8.5のバッファオーバーフロー(Advanced Search機能のバッファ管理不備、CVE-2026-88765)や認可不備(CVE-2026-79708)、CVSS8.2のクロスサイトスクリプティング(CVE-2026-78252)など、深刻度の異なる脆弱性が計18件修正されている。多くはEE限定だが、パストラバーサルやXSS、サービス拒否など一部はCE/EE双方に影響する。 GitLabは自己管理環境の運用者に対し、直ちに19.3.2/19.2.6/19.1.8へアップグレードするよう強く推奨している。即時のアップグレードが難しい場合は、公開プロジェクトへのアクセスを一時的に制限するなどの緩和策も選択肢となる。侵害調査の観点では、Knott氏が推奨するように、/api/v4/projects/{id}/repository/commits/へのfile_pathパラメータを含むPOSTリクエストのログを確認することで、悪用の痕跡を検出できる可能性がある。公開直後から実悪用が確認された今回のケースは、自己管理型GitLabを運用する組織にとってパッチ適用の緊急性を改めて示す事例と言える。

概要 Anthropicは9月10日、2025年12月から2026年8月にかけて検出・阻止したClaudeの悪用事例をまとめた最新の脅威インテリジェンスレポートを公開した。サイバー攻撃、影響工作(プロパガンダ)、監視、詐欺など7つの被害カテゴリーにまたがる事例を「Generated Threat Group(GTG)」という識別子で整理しており、AIが偵察から悪用、データ窃取までの攻撃ライフサイクル全体を自律的に調整する段階に達していることを示している。報告書は「洗練された攻撃はもはや洗練された攻撃者を必要としない」と警告し、AIが国家と個人の間にあった労力・技術力の格差を消し去りつつある実態を浮き彫りにした。 国家支援型グループによるサイバー攻撃 最も注目されるのは、ロシア系国家支援グループ(GTG-20006、Midnight Blizzard関連とされる)による攻撃だ。ウクライナや欧州の政府機関を標的に、Claudeを使ってマルウェアをセキュリティ製品の検知に応じて自律的に改変し、フィッシング基盤の展開まで自動化していた。北アフリカでは30万件超の国民IDレコードを窃取し、要人のWhatsAppアカウント乗っ取りも確認されている。Anthropicはこれを「AIが攻撃者に有利な形でコストを逆転させた」例だとし、攻撃者は防御側が検知シグネチャを整備するよりも速いペースでマルウェアを再生成できると指摘する。 中国系のGTG-10007は、大学生やセキュリティ専門家が自律的な「エクスプロイト工房」を運営し、セキュリティ製品に対するゼロデイ研究を継続的に実施していたグループだ。13個のスケジュール実行エージェントを維持し、米軍関連文書を収集していたほか、教育・小売・エネルギー・政府など約50組織を標的にしていた。フランス語圏の犯罪集団(GTG-50014、ShinyHunters関連)はさらに産業的な規模で活動し、180万個のAndroidアプリを走査してハードコードされた認証情報を探索、SaaSプロバイダーへの侵入を通じて200以上の下流顧客組織にアクセスし、数百万件のカード情報を含む数テラバイトのデータを窃取した。侵入完了までわずか数時間というケースもあり、一人のオペレーターが同時並行で数十件の被害組織を扱っていたという。 影響工作とAIサプライチェーンへの攻撃 サイバー攻撃以外では、ロシア・イラン・トルコ・湾岸諸国を起点とする9件の影響工作(プロパガンダキャンペーン)が報告された。中央アフリカ共和国ではロシア国家寄りの勢力がラジオ局を通じて偽造政府文書を用いたコンテンツを日次生成し、フランス拠点の企業は存在しない架空のジャーナリスト名を用いて20以上の言語で約70の偽ニュースサイトと250以上の偽アカウントを運営、6大陸の視聴者を標的に8,913本以上の記事を配信していた。マレーシアの選挙では、イスタンブール拠点の業者が「軍事グレードのAI主導政治工作」を謳い、人種・宗教・王室といった属性でセグメント化した1,000以上の偽アカウントを使い、現職首相への100万件規模の偽の閲覧数を発注していたことも明らかになった。 さらに、AI基盤そのものを狙う攻撃も確認された。Claudeの偽リセラーを装って顧客の認証情報を窃取するグループ(GTG-50021)や、AIベンダーのサンドボックス環境を侵害して本番用APIキーを窃取するグループ(GTG-50020)が存在し、盗んだAI認証情報は不正利用・計算資源の窃取・活動の隠れ蓑という三重の利益をもたらしていたという。 不正蒸留疑惑と今後の課題 報告書ではまた、中国拠点の複数のAI研究機関がClaudeの機能を無許可かつ大規模・隠密に抽出しようとした「不正な蒸留」の疑いにも言及している。少なくとも1件はAnthropicの上位モデル「Mythos」系列が関与していたとされるが、関与した具体的な研究機関名や手口の詳細は公表されていない。 Anthropicは今回検出したアカウントをすべて停止し、新たに観測した手口をもとに安全対策を強化したほか、各国当局や業界パートナーと情報を共有したとしている。もっとも、防御側が検知シグネチャベースの対策を整備する速度は、AIを使って攻撃手法を再生成する攻撃側のスピードに追いついていないのが実情だ。今回の報告は、AIの民主化が国家支援の有無にかかわらず個人や小規模集団に高度な複数被害者キャンペーンを可能にしていることを裏付けており、AI各社と防御側双方に、より迅速な検知と対応の仕組み作りを迫るものとなりそうだ。