Security

概要 Adobeは、Magento Open SourceおよびAdobe Commerceに存在する最大深刻度(CVSS 10.0)のゼロデイ脆弱性CVE-2026-75650、通称「StyleSmuggler」に対する緊急パッチ(APSB26-146、社内管理番号VULN-39341)を公開した。Adobe自身が「悪用が確認されている」と認めているこの脆弱性は、認証なしで任意のPHPコードを実行できる深刻なもので、少なくとも9月4日から攻撃者によって実際に悪用され、サーバーへのバックドア設置に利用されていた。オランダのEコマースセキュリティ企業Sansecが攻撃を検知しており、同じくオランダのDisrexによれば、9月4日午後10時20分(UTC)の最初の悪用確認からわずか約50分後にバックドアを仕込まれたMagentoサーバーも確認されている。 攻撃の手口 攻撃者は、決済失敗時にリマインダーメールを描画するMagentoのテンプレート機能を悪用し、認証を経ずにPHPコードを注入していた。この手法により、少なくとも二種類のペイロードが確認されている。ひとつは外部の指令サーバーに接続するRust製のLinux向けバックドア、もうひとつは任意のPHPコマンドを実行できるWebシェルをドロップするPHP製のダウンローダーである。侵入後は永続的な足がかりを確保する目的とみられ、単なるデータ窃取にとどまらない継続的な不正アクセスのリスクが指摘されている。 影響範囲とAdobeの対応 影響を受けるのは、Adobe Commerce 2.4.4から2.4.9(2026年8月ビルド以前)、Adobe Commerce B2B 1.3.3から1.5.3、Magento Open Source 2.4.6から2.4.9の各バージョンである。米CISAはCVE-2026-75650を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関に対して9月11日までの対応を義務付けた。Adobeは管理者に対し、パッチ適用だけでなく暗号鍵のローテーションと全認証情報のリセットを強く推奨している。 なお今回のパッチは、Experience Manager(107件)やAcrobat Reader(32件)、ColdFusion(9件)などを含む170件超の脆弱性修正の一環として公開されたものである。ColdFusionのコード実行脆弱性CVE-2026-48273(CVSS 9.9)やCampaign Classicのコマンド注入CVE-2026-82004(CVSS 10.0)など、他にも最高レベルの深刻度を持つ脆弱性が同時に修正されており、Adobeは優先度1に分類される更新について3日以内の適用を推奨している。

概要 恐喝グループShinyHuntersが、フロリダ州運輸安全・自動車局(FLHSMV)が運用する運転免許・車両情報データベース「DAVID」(Driver and Vehicle Information Database)への侵入を主張し、20万件超の記録を窃取したとリークサイト上で公表した。同グループは9月7日にこの侵害を掲載し、9月11日までにFLHSMVが交渉に応じなければ、盗んだとするデータを公開すると脅迫している。CyberInsiderによると、9月8日時点でFLHSMVはこの主張について公式な確認を出していない。 侵入の手口と証拠として公開されたデータ ShinyHuntersがBleepingComputerに語った内容によれば、侵入経路はパスワードリセット機能の欠陥だったという。この欠陥を悪用してDMV職員および州の自動車ポータルにアクセス権を持つFBI捜査官のアカウントを乗っ取り、DAVIDへの正規アクセス権限を獲得したと主張している。DAVIDには運転免許申請情報、顔写真、署名、住所、車両履歴、保険情報などが格納されており、法執行機関や州職員がドライバー情報を照会する際に利用するシステムである。 侵害の証拠として、同グループはジェフリー・エプスタインの運転免許記録とされるスクリーンショットを公開した。この記録には住所、社会保障番号、生年月日、運転免許ID、発行・有効期限日、登録車両情報まで含まれていたとされる。ただし、CyberInsiderをはじめとする報道各社は、表示された記録の真正性やデータがFLHSMVからの直接的な侵害によるものかを独自に検証できていないとしている。 対応状況と今後の見通し ShinyHuntersは、FLHSMVがこれまで交渉に応じていないと主張しており、9月11日の期限を過ぎた場合はデータの公開に踏み切る構えを見せている。FLHSMV側からの公式な侵害確認は本稿執筆時点で出されておらず、実際の被害範囲や侵害の事実関係は依然として不透明だ。なお、この一件は過去にIDScan.netから運転免許スキャン画像1億5,300万件が流出した事案とは無関係の、別の侵害主張である点に注意が必要となる。ShinyHuntersは近年、大手企業や公共機関を狙った同種の恐喝キャンペーンを繰り返しており、今回も同様の手口で身代金や交渉を引き出そうとしている可能性が高い。

概要 Microsoftは9月の月例セキュリティ更新(Patch Tuesday)で、過去最大規模となる脆弱性の修正を公開した。件数は報道元によって966件から974件までばらつきがあるが、いずれにせよ月間の修正件数として900件の大台を初めて超えた計算になる。2026年の年間累計修正件数はすでに2,600件を突破しており、これまでの記録だった2020年の約2倍のペースだという。今回のリリースで特に注目されるのは、実際の攻撃で悪用が確認されているゼロデイ脆弱性が2件含まれている点で、CISA(米サイバーセキュリティ・インフラセキュリティ庁)は連邦機関に対し9月22日までの対応を義務付けている。 内訳を見ると、Windows関連が723件と全体の大半を占め、Officeスイートが222件(うちOffice 2016単体で111件)、SQL Serverが62件、開発者ツールが22件、SharePoint Serverが16件、Azureが12件、Skype for Businessが10件、Exchange Serverが9件と続く。深刻度別ではCritical(緊急)評価が105件におよび、このうちリモートコード実行(RCE)が81件、権限昇格が20件を占める。全体でもRCEが258件、権限昇格が438件と多数を占めており、認証やユーザー操作なしに悪用可能な「ワーム化可能」な脆弱性も20件含まれているとされる。 悪用済みゼロデイの詳細 1件目のCVE-2026-81963は、Windows Update Stackにおける権限昇格の脆弱性で、ファイルアクセス前のリンク解決を適切に処理していないことが原因とされる。攻撃者はこれを悪用してSYSTEM権限を取得できる。Windows Update Stackでゼロデイが報告されるのは過去5年間で初めてであり、更新の仕組みそのものを制御する経路が突かれた点で影響が大きいとの指摘がある。発見はMicrosoft Threat Intelligence Centre(MSTIC)のRomain Deperne氏によるものだ。 2件目のCVE-2026-85880は、Windows ALPC(Advanced Local Procedure Call)におけるヒープベースのバッファオーバーフローで、こちらも悪用によりSYSTEM権限への昇格が可能となる。低権限のAppContainerサンドボックス内で実行されるコードを持つ攻撃者が、サンドボックスをエスケープする手段として悪用できるとされ、ALPC関連のゼロデイとしては2023年1月以来2番目の事例となる。発見にはVolexity、Mark Kelly氏、David Galazin氏、およびProofpointのJeremy Hedges氏が関わったと報告されている。両脆弱性とも権限昇格にとどまり単独でのリモート侵入には使えないが、フィッシングなどで初期アクセスを得た攻撃者が権限を拡大する段階で悪用される典型的な組み合わせとされ、CISAはこの2件を既知の悪用脆弱性(KEV)カタログに追加した。 その他の注目すべき脆弱性 ゼロデイ以外にもCritical評価の脆弱性が多数含まれる。Graphics Fontsの解析処理に起因するRCE(CVE-2026-72986、CVE-2026-73018)、IP HelperサービスのRCE(CVE-2026-72981)のほか、Excel・Outlook・PowerPoint・Wordといった主要Officeアプリケーションにも複数のCritical RCEが存在する。セキュリティ研究者のDustin Childs氏は、Exchange ServerのRCE(CVE-2026-55007)、Microsoft Authenticatorの権限昇格(CVE-2026-80097)、SharePointのRCE(CVE-2026-69465)、Remote Desktop ServicesのRCE(CVE-2026-69525)を優先対応すべき脆弱性として挙げている。特にExchange ServerやSharePoint Serverはインターネットに公開されるケースが多く、企業のメールやドキュメント基盤に直結するため注意が必要だ。 件数急増の背景と専門家の見解 今回の修正件数の急増は、Microsoftが脆弱性発見にAIを活用する取り組みを進めていることが一因とされる。直近の月別件数は7月が570件、8月が400件だったのに対し、9月は966件前後まで跳ね上がった。もっともTenableのSatnam Narang氏は、「脆弱性の絶対数は増えているが、実際に大多数の組織へ影響する脆弱性の数はさほど変わらない。AI支援による発見は『干し草の山』を大きくしているだけで、必ずしも『針』を多く見つけているわけではない」と指摘する。一方でFortraのTyler Reguly氏は、大量のパッチ公開は「ベンダーが攻撃対象領域を積極的に縮小しようとしている表れ」だとしつつ、管理者にはリスクの実態に基づいた優先順位付けが不可欠だと強調している。件数の膨張が続く中、まずはゼロデイとCritical評価のRCE・権限昇格から適用を進め、インターネットに露出したExchangeやSharePointなどの基盤を優先的に検証することが求められる。

概要 SonicWallは9月2日、リモートアクセス製品「SMA 1000」シリーズに存在する2件のゼロデイ脆弱性が実際の攻撃で悪用されていると警告した。CVE-2026-83548はAppliance Work Placeインターフェースにおける認証前SSRF(Server-Side Request Forgery)で、CVSSスコアは最大値の10.0。もう一方のCVE-2026-83549はAppliance Management Console(AMC)におけるOSコマンドインジェクションで、CVSSは7.8とされている。SonicWallによれば攻撃者はこの2つを連鎖的に組み合わせ、任意のコードを標的機器上で実行しているといい、事実上「無認証のリモートコード実行」に相当する深刻な状況となっている。 攻撃チェーンの仕組みと技術的詳細 CVE-2026-83548は、認証を経ずにリモートからアクセス可能なSSRFの欠陥で、攻撃者はこれを足がかりに機密性の高い内部機能へのアクセスや不正操作を行える。単体では認証前に悪用できる強力な脆弱性だが、SonicWallの説明では、これに管理コンソール側のOSコマンドインジェクションであるCVE-2026-83549を組み合わせることで、任意のOSコマンドを実行できる状態に至るという。CVE-2026-83549自体は本来、管理者権限を持つ攻撃者による悪用を前提とした脆弱性だが、SSRFを起点に権限確認の壁を回避・迂回する形で連鎖利用されているとみられる。SonicWallは自社の内部検知でこの攻撃を把握したとしており、具体的な侵害指標(IOC)は本稿執筆時点で公開されていない。 影響範囲と推奨対応 影響を受けるのはSMA1000シリーズのモデル6210、7210、8200vで、バージョン12.4.3-03453以前および12.5.0-02835以前が対象。SonicWallのファイアウォール上で動作するSSL-VPN機能や、別製品であるSMA100シリーズはこの脆弱性の対象外となっている。セキュリティ団体Shadowserverの観測では、インターネットに公開されたSMA1000機器が400台以上確認されているという。SonicWallは修正版である12.4.3-03526および12.5.0-02952への即時アップグレードを強く呼びかけるとともに、侵害の兆候が見られる機器については再イメージ化、全ユーザー・管理者パスワードのリセット、TOTPトークンの再発行を推奨している。なお、SMA1000シリーズでは2025年12月以降、今回で3件目のゼロデイ悪用事案となる。7月にはCVE-2026-15409およびCVE-2026-15410が修正されたばかりで、この2件はその後CISAによりランサムウェアグループによる悪用も確認されている。さらに2025年12月にもroot権限奪取を目的とした攻撃で悪用されたCVE-2025-40602が発覚しており、同シリーズが攻撃者から継続的に狙われている実態が浮き彫りになっている。

概要 米CISA(サイバーセキュリティ・インフラセキュリティ庁)は9月2日、実際に悪用が確認された7件の脆弱性を既知悪用脆弱性(KEV)カタログに追加した。対象はSonicWall SMA 1000アプライアンス、Sangoma Switchvox、JFrog Artifactory、Kludex Starlette、Kestra OSS、Berri LiteLLMと多岐にわたる。Horizon3.ai、watchTowr、Microsoftの報告によれば、脅威アクターはこれらの脆弱性を突いてリバースシェルを展開し、管理者トークンを生成してユーザーや認証情報を列挙するほか、暗号資産マイナーを仕込んでホストのリソースをハイジャックしている。特にLiteLLMやKestraといったAI関連基盤を狙った攻撃が目立っており、AIインフラそのものが新たな標的として狙われている実態が浮き彫りになった。 追加された脆弱性の詳細 今回KEVに加わった7件のうち、最も深刻度が高いのはSonicWall SMA 1000アプライアンスのサーバーサイドリクエストフォージェリ(SSRF)であるCVE-2026-83548(CVSS 10.0)で、認証なしのリモート攻撃者が機密機能へ無許可アクセスできる。同アプライアンスには認証後のOSコマンドインジェクションであるCVE-2026-83549(CVSS 7.8)も存在し、認証済み管理者権限を奪われればリモートコード実行に至る。Kestra OSSのCVE-2026-49869(CVSS 10.0)も同じく最高スコアで、認証なしの攻撃者が任意のワークフローを認証情報なしで作成・実行できてしまう。 このほか、Sangoma SwitchvoxのSQLインジェクション(CVE-2026-9586、CVSS 9.3)はバックエンドPostgreSQLデータベースへの任意のSQL文実行を許し、JFrog Artifactoryの不適切な認証(CVE-2026-82329、CVSS 9.8)はデフォルト構成下で管理者権限の奪取につながる。AI関連ツールではBerri LiteLLMの不適切な認証(CVE-2026-59822、CVSS 8.8)が任意のBearerトークンによる認証済みMCPセッション確立を許し、Kludex Starletteのリクエスト/レスポンススマグリング(CVE-2026-48710、CVSS 6.5)はパス検証回避による認証バイパスを引き起こす。 攻撃活動とAIインフラ標的化の実態 Horizon3.aiとwatchTowrの報告では、脅威アクターがCVE-2026-9586とCVE-2026-82329を悪用してリバースシェルを展開し、管理者トークンを生成した上でユーザー・グループ・認証情報セットを列挙する動きが確認されている。さらにMicrosoftの分析によると、攻撃はAIインフラそのものへと及んでいる。Kestraに対してはワークフローエンジン経由でシェルを実行し、Dockerソケットへのアクセスによってコンテナ環境を露出させたうえで暗号資産マイナーを展開し、ホストリソースをハイジャックする手口が報告された。 LiteLLMに対してはCVE-2026-42271とCVE-2026-48710を連鎖させ、XMRigマイナーのELFバイナリを配置するとともに、PostgreSQLデータベースを直接標的にしてLiteLLMのテーブルからモデル設定やプロバイダーキーを抽出する攻撃が確認されている。同様にRAGFlowでもCVE-2026-45312などの複数の脆弱性を組み合わせ、LLMプロバイダーキーやメタデータを窃取する事例が報告された。MicrosoftとWizの調査は、LiteLLM、Flowise、LangChainといったAIインフラがAPIキーの窃取、バックエンドアクセス、永続化、プロンプトインジェクション、暗号資産マイニングの標的になっていると指摘しており、AIスタックの運用基盤自体が攻撃対象として定着しつつあることを示している。 対応期限と今後の展望 CISAはBinding Operational Directive(BOD)26-04に基づき、連邦機関に対してほとんどの脆弱性を9月5日までにパッチ適用するよう義務付けた。ただしStarletteとLiteLLMの脆弱性については対応期限を9月16日まで猶予している。今回の一連の事案は、Web管理アプライアンスやデータベース連携製品といった従来型の攻撃対象に加え、AIワークフローエンジンやLLMゲートウェイといった比較的新しいコンポーネントが実運用で狙われ始めていることを示すものだ。組織はAIインフラのデプロイに際しても、通常のWebアプリケーションと同水準のパッチ管理・認証設定の見直しが急務となっている。

概要 セキュリティ企業CloudSEKの調査により、フィッシング代行サービス(Phishing-as-a-Service)「BigBear 2.0」がMicrosoft 365環境を標的に大規模な認証情報窃取キャンペーンを展開していたことが明らかになった。Evilginx2ベースの中間者攻撃(AiTM)基盤を用い、40か国以上・461組織から5,137件の認証情報を窃取、うち474件(全体の9.2%)では多要素認証(MFA)を完全に突破していたという。さらにMFAを実際に突破した組織は258社に上るとされ、パスワード保護だけでは通用しない攻撃の巧妙さが浮き彫りになった。 技術的な手口 BigBear 2.0の中核はEvilginx2のフィッシュレット(phishlet)機構で、被害者がフィッシングURLにアクセスすると、正規のMicrosoft 365ログインページとの通信をリアルタイムで中継するプロキシとして動作する。この仕組みにより、パスワードだけでなくMFAコードや認証済みセッションクッキーまでもがそのまま攻撃者側に傍受される。 とりわけ悪質なのが、Object.defineProperty(window, 'PublicKeyCredential', { value: undefined }) というカスタムJavaScriptを注入し、ブラウザ側でFIDO2/WebAuthnのサポートを無効化する手口だ。これにより、ハードウェアセキュリティキーを利用しているユーザーであっても、SMSやTOTPといったフィッシング可能な認証方式へのフォールバックを強制され、本来はフィッシング耐性が高いはずの認証方式が無力化される。 窃取された認証情報の内訳は、平文パスワードが1,032件、セッションクッキーが4,148件で、クッキーを奪取された場合はMFAの有無に関わらずセッションのリプレイによってアカウントを乗っ取ることが可能になる。被害は地域的にも広範で、インド(658件、12.8%)、フランス(463件、9%)、サウジアラビアなどが上位を占めた。 インフラと運用体制 攻撃基盤はVultr経由で運用される42台のVPSノードによって構成され、69か国分のジオマッチング型住宅プロキシと組み合わせることで、被害者の実際の所在地に合わせたIPアドレスからアクセスしているように見せかけ、Microsoft側の異常検知を回避していた。位置情報の判定にはipapi.isのようなサービスが利用されているとみられる。 このパネルは少なくとも5人のオペレーターにリースされ、窃取した認証情報はTelegramボットを通じてリアルタイムで攻撃者に通知される仕組みになっており、フィッシング代行サービスとしての「商用化」が進んでいる実態がうかがえる。 対策 CloudSEKは、影響を受けた可能性のある組織に対し、対象パスワードのリセット、アクティブなセッション・リフレッシュトークンの失効化、高権限アカウントの再認証を早急に実施するよう推奨している。また中長期的な対策として、地理情報などのシグナルに依存せず管理デバイス要件に基づく条件付きアクセスポリシーの適用、そしてハードウェアにバインドされたFIDO2/WebAuthn認証の強制導入を挙げている。ソフトウェアベースのMFAはAiTM攻撃によって突破され得ることが改めて示された形で、企業のセキュリティ担当者には認証方式そのものの見直しが求められる。

概要 Citrix NetScaler ADC/Gatewayに存在する重大な認証バイパス脆弱性CVE-2026-19490(CVSS 9.3)が、実際の攻撃活動で悪用されていることが複数のセキュリティ企業により確認された。Citrixは8月19日にこの脆弱性を修正するアップデートを公開していたが、9月2日にGitHub上で概念実証(PoC)コードが公開されたことを受け、9月3日から悪用の試みが観測され始めた。影響を受けるのはNetScaler ADC 14.1(14.1-73.32以前)および13.1(13.1-63.21以前)で、パッチ未適用の組織は早急な対応が求められている。 脆弱性の詳細と攻撃手法 CVE-2026-19490はCWE-288(代替パスを利用した認証バイパス)に分類される認証バイパスの脆弱性で、リモートから認証・ユーザー操作なしに悪用可能という深刻な特性を持つ。AAA仮想サーバーやGateway(SSL VPN、ICA Proxy、CVPN、RDPプロキシなど)として構成されたNetScalerが対象となり、SAML Actionの構成状況やファームウェアバージョンによって影響範囲が異なる。セキュリティ企業Previdianの分析によれば、具体的な攻撃手法はHTTP-Redirectバインディングを用いた「SAML unsigned-assertion bypass」であり、署名のないSAMLアサーションを悪用して認証プロセスを迂回するというものだ。 攻撃の観測状況 Previdianのテレメトリでは、9月3日から7日にかけてオーストラリア・ドイツ・日本・台湾・米国の9つのIPアドレスから計18件の悪用の試みを検出したとしている(ただし「中程度の信頼度」での検出と付記されている)。Field Effectも9月4日、BleepingComputerの報道を引用する形で攻撃活動の開始を報告しており、複数の情報源が悪用の発生を裏付けている。なお本稿執筆時点でCISAの既知悪用脆弱性(KEV)カタログには未登録となっている。Shadowserverの調査では、22,000台以上のNetScaler ADCと約1,700台のGatewayインスタンスがインターネットに露出していることが確認されており、攻撃対象となり得る母数の大きさが懸念材料となっている。 対応状況と推奨される対策 Citrixは8月19日の時点で修正版をリリース済みであり、ベルギー国家サイバーセキュリティセンター(NCC-BE)も9月に注意喚起を発している。各社が呼びかけている対策は共通しており、該当バージョンを使用している組織は直ちに推奨ビルドへアップグレードすること、管理インターフェースを専用ネットワークに限定してインターネットからの直接アクセスを避けること、認証ログを詳細に確認して不審なアクセスの痕跡がないか点検すること、そして多要素認証の導入や一元的な監視体制の構築が挙げられている。PoC公開から悪用開始までの期間が1日程度と極めて短かったことからも、パッチ未適用のNetScalerを運用する組織は優先度を上げて対応する必要がある。

概要 MikroTik製ルーターの基本ソフトウェア「RouterOS」に存在する脆弱性を連鎖させ、SSHをインターネットに公開したデバイスを認証なしで完全に乗っ取る攻撃手法「MikroTrick」が実際に悪用されていることが明らかになった。攻撃は少なくとも9月2日から確認されており、The Shadowserver Foundationの調査によると9月5日時点の24時間スキャンで12万2500台以上のMikroTik製デバイスがSSHインターフェースを公開した状態で検出されている。脆弱性を発見したポーランドのCERT Polskaは、悪用の自動化を助けるような技術的詳細の公開を控えているが、パッチの差分解析から手口が広く知られる可能性があるとして、早急な対応を呼びかけている。 脆弱性の技術的な仕組み MikroTrickの中核をなすのは2つの脆弱性の組み合わせだ。1つ目のCVE-2026-67276(CVSS 9.2)は、RouterOSがSSHの公開鍵認証においてRSA鍵全体ではなく公開モジュラスのみを比較してしまう不備によるSSH認証回避の脆弱性で、攻撃者は既知のユーザー名と公開モジュラスさえ分かれば、正規の秘密鍵を持たずに別の鍵を細工してログインできてしまう。2つ目のCVE-2026-86060(CVSS 9.2)は、禁止文字で始まる特殊なSSHユーザー名の処理に欠陥があり、これを悪用することで完全な管理者権限への昇格が可能になる特権昇格の脆弱性だ。この2つを連鎖させることで、攻撃者は認証情報を一切持たないままルーターの完全な制御を奪える。さらに関連する脆弱性としてCVE-2026-67277(CVSS 8.8)も報告されており、こちらは帯域幅テストサービスの欠陥で、未認証の接続からカーネルメモリの漏えいやルーターのクラッシュ・再起動を引き起こせるとされる。 発見の経緯と被害の実態 これらの脆弱性はポーランドのセキュリティ機関CERT Polskaによって発見された。報道によれば、OpenAIとの政府向け協力プログラムを通じてGPT-5.5-cyberおよびGPT-5.6-solといったAIモデルの支援を受けた調査の中で見つかったという。侵害の痕跡としては、ユーザー名「-2」を含むSSHログイン失敗のログエントリや、システムに追加された高権限アカウント「ops」の存在、また攻撃元として82.192.72.4や103.102.31.18といったIPアドレスが挙げられている。CERT Polskaは、公開されたパッチを比較分析すれば脆弱性の技術的詳細がコミュニティによって再現され得ることを認めつつ、攻撃の自動化を容易にするような詳細な手口の公開はあえて避けているとコメントしている。 対応状況と推奨される対策 MikroTikは9月3日、これらの脆弱性を修正したRouterOSのアップデート版(7.25beta3、7.24.2、7.23.4、6.49.21)を既にリリースしている。修正版には、起動時に不正な設定変更がないかをスキャンし、侵害の疑いがある場合に「Flagged」マーカーを付与する検知機構も新たに搭載された。ユーザーに対しては直ちにアップデートを適用することに加え、SSHやWWW/WWW-SSL、帯域幅テストサービスといったインターネットに公開されている管理系サービスを無効化するか、信頼できるネットワークからのみアクセス可能に制限することが強く推奨されている。既に侵害が疑われる場合は、ルーターをネットワークから隔離した上でログや設定を保全し、工場出荷状態にリセットして検証済みのバックアップから復旧し、関連する全ての認証情報をローテーションする対応が求められる。攻撃が現在進行形で拡大している状況を踏まえ、インターネットに管理インターフェースを公開したままのMikroTik機器を運用する組織は、早急な点検が急務となっている。

概要 シドニー発の数学学習プラットフォームMathspaceは9月7日、社内の分析・レポーティングシステムが不正アクセスを受け、豪州とニュージーランドの生徒・保護者・学校職員ら合計1,079,819人分の個人情報が流出したと公表した。侵害は8月10日から27日にかけて発生しており、9月3日に過去のアクセスログを精査した結果発覚したという。流出したのはユーザーID、ユーザー名、氏名、メールアドレス、国・タイムゾーン、アカウント種別、メール確認状況、最終ログイン日時などで、パスワードやハッシュ値、SSO・APIの認証情報、学習記録や成績データは含まれていないとしている。 侵害の原因:パッチ未適用のMetabase脆弱性 侵入経路となったのは、Mathspaceが自社運用していた社内分析ツールMetabaseのパスワードリセットAPIに存在した未認証SQLインジェクション脆弱性(CVE-2026-72898、CVSSスコア10.0の最高深刻度)だった。この脆弱性は任意のSQLコマンドを注入し、正規の認証情報なしで管理者権限を奪取できるというもので、Metabase側は8月6日にこの脆弱性を公表し即座にパッチを公開、CISAも数日内に既知の悪用脆弱性(KEV)カタログへ追加していた。しかしMathspaceでは、この勧告を検知してエスカレーションする社内プロセスが機能しておらず、公表からわずか4日後の8月10日には攻撃者に侵入を許し、8月29日にようやく自社のMetabaseインスタンスにパッチを適用するという後手の対応となった。MathspaceのCTOであるAlvin Savoy氏は「攻撃者はセキュリティ上の脆弱性を悪用し、正規のログインなしでアクセスを可能にした」と説明している。 Metabaseを狙ったSQLインジェクション攻撃は今回が初めてではなく、ハッカー集団ShinyHuntersによるFrameworkやTallyなど他企業への同種の攻撃が既に報告されており、今回のMathspaceの事例も同一の攻撃手法の延長線上にあるとみられる。 対応状況と今後の影響 Mathspaceは侵害発覚後、該当のレポーティングシステムをオフラインにした上で、学校や教育当局、サイバーセキュリティ関連機関への通知を行い、影響を受けた利用者への個別連絡も進めている。また脆弱性情報のエスカレーション体制やパッチ適用後の検証プロセスを見直したとしている。同社は「盗まれたデータが公開または売買された証拠は今のところない」としつつも、「このようなことが起きてしまい心よりお詫び申し上げる。再発防止に努めている」とコメントした。 2010年にシドニーで設立されたMathspaceは、豪州・ニュージーランドに加え米国や英国の多数の学校で利用されている。今回流出したデータには学校とアカウントを直接紐付ける情報は含まれていないとされるが、学校ドメインを含むメールアドレスから間接的に所属先が推測できる可能性は残る。Mathspaceは利用者に対し、不審なパスワードリセットの通知やログイン試行に注意し、他サービスとパスワードを使い回さないこと、身に覚えのないメール内のリンクを不用意にクリックしないことを呼びかけている。

概要 開発環境プラットフォームのCoderは、モジュールレジストリ「registry.coder.com」を標的としたサプライチェーン攻撃のインシデントを公表した。発端はCloudflare APIキーの侵害で、攻撃者はこれを悪用してレジストリ宛トラフィックの一部を、正規ドメインに酷似した「coder-infra.com」という自身が管理する不正サーバーへリダイレクトした。2026年8月31日07:35〜21:45 UTC(日本時間で同日16:35〜翌日06:45頃)の約14時間10分間にわたり、AWSやGCP、Azureなどのクラウド認証情報をスキャンして外部ドメインへ流出させるよう改ざんされたモジュールが配布され続けた。 攻撃の手口と影響範囲 攻撃の起点はCoder自体のコードベースやGoogle Cloud基盤の侵害ではなく、あくまでCloudflare APIキーの窃取によるトラフィック制御の乗っ取りだった点が特徴だ。攻撃者はこの権限を使ってレジストリの一部リクエストを不正サーバーへ誘導し、そこから配布したモジュールにクラウド認証情報を収集して外部に送信する機能を仕込んでいた。影響を受ける可能性があるのは、インシデント期間中に新規テンプレートを作成・更新したユーザー、またはモジュールキャッシュを無効化した状態でワークスペースを作成したユーザーに限られるとされ、通常のキャッシュ経由のワークスペース作成では影響を受けにくい設計だったことがうかがえる。 Coderの対応と再発防止策 Coderはインシデント発生と同日中に、悪意あるIPアドレスの削除とキャッシュのクリアを実施して不正リダイレクトを是正した。あわせてコードベースとGoogle Cloud基盤自体には侵害がないことを確認し、パッチをリリースしている。今後の再発防止策として、Cloudflareのようなサードパーティシステムやインフラストラクチャに対しても、既存のSOC 2 Type IIプログラムで実施しているセキュリティ監査・ペネトレーションテストと同等の厳格な精査を拡大する方針を示した。 ユーザーが取るべき対応 Coderは影響を受けた可能性のあるユーザーに対し、ファイアウォールやプロキシ、DNS、VPCフローログを確認し「coder-infra.com」への通信履歴がないか調査するよう呼びかけている。また、GitHubセキュリティアドバイザリ(GHSA-vx42-ghc9-gw65)で提供されるSQLクエリを使えば、影響を受けたモジュールやテンプレートバージョンを特定できるとしている。加えて、自動是正機能を含む最新版のCoderへの更新を推奨しており、クラウド認証情報を利用する開発基盤の運用者は、サプライチェーン経由の認証情報漏えいリスクとして本インシデントを踏まえた点検が求められる。