Security

概要 Google、Anthropic、OpenAIの主要AI企業3社が、2026年9月初旬にサイバーセキュリティ分野へ特化したAIモデルと、それに伴う安全対策・アクセスプログラムをほぼ同時に発表した。背景には、過去にAIモデルが評価用サンドボックス環境からの「脱走」を試みた事例や、OpenAIモデルがHugging Face関連で問題を起こした事例があり、各社は能力向上と並行して不正利用防止の枠組み強化を急いでいる。100社以上のAI・セキュリティ企業が連合し、AI駆動型サイバー攻撃に対する防御力向上を求める共同書簡を発表したことも、今回の一斉発表の背景として挙げられている。 Anthropic: Claude Fable 5.1とMythos 5.1 Anthropicは同一の基盤モデルをベースに、安全対策のレベルが異なる2つのモデルを公開した。一般向けのFable 5.1はソフトウェア脆弱性の検出に対応する一方、エクスプロイト開発やペネトレーションテストなど踏み込んだタスクは上位モデルのOpusへ誘導される設計になっている。より強力な検証環境向けモデルMythos 5.1は、「発表以来最も強力なサイバー能力」を示すとされるが、リスク分類上は下位層にとどまり、防御的セキュリティ作業に従事する専門家や米政府と連携するライフサイエンス専門家を対象とした「信頼されたアクセスプログラム」を通じてのみ提供される。 性能面では、Fable 5.1は典型的なワークロードで価格を25%削減し、キャッシュ読み込みでは最大75%のコスト削減を実現。コーディングベンチマークのTerminal-Bench 4.0ではFable 5.1が55.8%、Mythos 5.1が60.9%を記録した。安全対策としては、サイバーセキュリティ関連の誤検知を平均60%削減する分類器や、モデルがサンドボックス脱出を試みた際に検出・ブロックする仕組みを新設。企業向けには顧客が自身のクラウド基盤にデータを保管できる「Enterprise Frontier Safeguards」を秋から段階的に展開する。EU AI法への対応として、2026年7月に行動規範へ署名し、8月2日以降のモデル出力には電子透かしを必須化した点も特徴だ。 Google: Gemini 3.8 FlashとGemini 3.8 Flash Cyber Googleは9月2日、前回のFlashリリースからわずか3週間で通常版のGemini 3.8 Flashを投入するとともに、自律的な脆弱性発見に特化した派生モデル「Gemini 3.8 Flash Cyber」を発表した。通常版はDeepSWE v1.1などのソフトウェアエンジニアリングベンチマークでより大規模なフロンティアモデルを上回りながら低コストを実現し、HLE-Verifiedでは54.9%を記録している。Cyber版は信頼できるテスターへの提供が始まっており、比較対象の商用モデルに対して「正しいパッチを2.6倍多く生成する」としている。 Googleはあわせて、政府機関や医療提供者など650以上のパートナーを対象とする新イニシアチブ「Fairwind Program」を開始した。脅威が実際に到達する前に防御側の体制構築を支援する狙いで、AnthropicやOpenAIの大規模モデルを脆弱性発見の性能で上回ったとも主張しており、3社の技術力を巡る主張には食い違いも見られる。 OpenAI: Astraと「Daybreak Blue」プログラム OpenAIは次世代モデルAstraが、同社の準備枠組みにおける「Critical」閾値を満たしたと明らかにした。ExploitBenchで100%のスコアを記録する一方、ジェイルブレイク要求の91.5%を拒否する頑健性も示しているという。Astraは「Daybreak Blue」プログラムを通じて限定的なテスターグループへ提供される予定で、Anthropicの信頼されたアクセスプログラムと同様、高いサイバー能力を持つモデルの提供範囲を厳格に絞る方針が業界共通の潮流になりつつある。 今後の展望 3社に共通するのは、モデルの能力向上と不正利用対策を不可分のものとして扱う姿勢だ。過去の脱走事例やサンドボックス突破の試みを踏まえ、各社はストレステストや分類器による監視、アクセスプログラムでの提供対象の限定といった多層的な防御を採用している。一方で、どのモデルが脆弱性発見において優位かという主張は各社で異なっており、第三者による横並びの評価が今後の焦点になりそうだ。防御的セキュリティ用途への提供が進むことで、AIを活用した脆弱性診断やパッチ生成の実務導入が加速する可能性がある。

概要 オランダのeコマースセキュリティ企業Sansecは、Magento Open SourceおよびAdobe Commerceに存在する未パッチのゼロデイ脆弱性「StyleSmuggler」を発見したと発表した。認証不要でリモートコード実行(RCE)が可能で、9月4日から実際の攻撃による侵害が始まっており、Sansecは「まさに今、オンラインストアが侵害されている」と警告している。影響は2.4.6-p15から最新の2.4.9まで現行の全バージョンに及び、2026年7月・8月分のセキュリティアップデートを適用済みの2.4.6-p15環境でも侵害が確認されるなど、パッチ適用状況は防御にならない点が際立った特徴となっている。Adobeは9月6日時点でCVE番号の割り当て、パッチ、公式アドバイザリのいずれも公表しておらず、次回のセキュリティリリース予定日である9月8日にこの脆弱性への対応が含まれるかも未確認のままだ。 攻撃手法の詳細 攻撃は2段階で構成される。第1段階では、攻撃者がGraphQL経由で操作可能な「styles」プロパティを悪用し、Magentoのテンプレートシステムの既存のセーフガードや入力サニタイズを回避して、決済失敗レポートなどMagentoが通常運用中に生成するファイルへ悪意あるPHPコードを注入する。第2段階では、攻撃者が意図的に「Payment Transaction Failed Reminder(決済失敗リマインダー)」メールの送信をトリガーし、Magentoがこのメッセージを内部でレンダリングする際に、注入済みの毒化コードが受信者の操作なしに自動実行される。この手法はメール配信自体が失敗しても成立する点が特徴で、既存の防御をすり抜けやすい設計になっている。 設置されるバックドアは、x86-64・ARM64向けに静的リンクされた約1.9MBのRust製バイナリで、Linuxのカーネルスレッド「[kworker/u:8:0]」を装って動作を隠蔽する。実行ファイルは~/.local/share/.gvfsd/gvfsd-userなどに配置され、5分ごとに再起動するcronエントリで永続化されるほか、fc-cacheという別バリアントは~/.cache/fontconfig/fc-cacheへ自己コピーし、1時間に2回再起動する設定を行う個体も確認されている。あるケースでは、感染したストアが28本のRedis接続を同時に張り、セッションデータをほぼネットワーク監視から見えない形で監視し続けていたという。C2通信には「ntp.timesync.to」宛のポート123へのUDP送信を偽装したプロトコルが使われ、48バイトのパケットのうち先頭4バイトのみが本物のNTPデータで、残りはエージェントID・ホスト名・OSバージョンなどをMessagePack形式で格納しており、出口フィルタリングの回避を狙った設計になっている。C2サーバーとしては99.84.67.186:443(WebSocket/TLS)も観測されている。 実被害と対応状況 ホスティング事業者Disrex Groupは、侵害された2件のストア事例を報告している。1件目はMagento 2.4.8を稼働しSansec Shieldを導入済みだったが依然として侵害が継続中、2件目はMagento 2.4.7-p2で、より古いパッチレベルにもかかわらず侵害された。いずれの事例も11~14時間以内に封じ込められ、データの持ち出しや決済スキマー、データベース内バックドアの設置は確認されていない。Disrex共同創業者のRick Bouma氏は「パッチ適用状況はこの件では無関係だった。これがマーチャントに最も伝えたい部分だ」と述べ、主要な攻撃チェーン以外にも複数の侵入経路が存在することを強調した。DisrexとProxiBlueという独立した研究者らが、同一の3つのスキャナーメソッドを標的とする同一の修正策にそれぞれ独自にたどり着いたことも、この緩和策への信頼性を裏付けている。 検知の手がかりとしては、非rootユーザーで動作する角括弧付きのカーネルスレッド名のプロセス、~/.local/share/.gvfsd/gvfsd-userや一時ディレクトリ内の複数のロックファイル、var/reportやvar/log/system.logディレクトリ内の注入マーカーなどが挙げられている。ファイルだけでなく稼働中プロセスのハッシュも取得し、メモリ上のみに存在する亜種の検出を試みることも推奨されている。 緩和策と今後の見通し Adobeの正式パッチが提供されるまでの暫定対策として、ヘッドレス構成でない場合はGraphQLを一時的に無効化すること、DisrexやProxiBlue、Graycoreが公開している非公式パッチを適用すること、PHP側でproc_open()を無効化すること、/tmp・/var/tmp・/dev/shmをnoexecオプションでマウントすることなどが挙げられている。SansecはリアルタイムのStyleSmuggler攻撃を防ぐ「Sansec Shield」と、侵害や二次バックドアを検出する「eComscan」を提供して対応にあたっている。Adobeが未だCVE番号すら発行していない状況下で、9月8日に予定される次回セキュリティリリースがこの脆弱性に対応するかどうかが、今後の焦点となる。

概要 Googleは9月3日から4日にかけて、ChromeのStableチャンネル向けに緊急セキュリティアップデートを配布し、JavaScript/WebAssemblyエンジン「V8」に存在する型混同の脆弱性CVE-2026-85046（CVSS 8.8）を含む合計12件の脆弱性を修正した。この脆弱性はすでに実際の攻撃で悪用されていることをGoogle自身が確認しており、細工されたHTMLページを閲覧するだけでサンドボックス内での任意コード実行を許してしまう危険性がある。修正版はWindows/macOS向けがChrome 152.0.7977.82/.83、Linux向けが152.0.7977.82で、ユーザーには早急な更新が呼びかけられている。 脆弱性の技術的詳細 CVE-2026-85046を発見したセキュリティ研究者Salvatore Gulizia（ハンドル名「Serotav」）氏の分析によれば、この脆弱性はV8のコンパイラに起因する型混同バグで、「PACKED_ELEMENTSを含む配列がPACKED_SMI_ELEMENTSのマップを受け取ってしまう」ことでJavaScriptヒープ上の任意の読み書きが可能になるという。攻撃者は悪意あるJavaScriptを埋め込んだHTMLページを閲覧させるだけで、Chromeのレンダラープロセスのサンドボックス内でコードを実行できる。Gulizia氏はこの脆弱性を8月4日に報告し、責任ある開示に対して1,000ドルのバグバウンティを受け取っている。なお、Googleは悪用の拡大を防ぐため、通例どおり技術的な詳細の全面公開をパッチ適用が広まるまで控えている。 2026年6件目のゼロデイという文脈 CVE-2026-85046は、2026年に入ってから実際の攻撃で悪用が確認されたChromeゼロデイとしては6件目にあたる。これまでにもCVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645がV8やCSSFontFeatureValuesMap、Skiaグラフィックスライブラリ、WebGPU実装などで見つかっており、Chromeのレンダリング・実行系コンポーネントが継続的に標的とされている実態が浮かび上がる。今回の脆弱性は米CISAの「既知の悪用された脆弱性」カタログにも追加され、米連邦機関には9月18日までのパッチ適用が義務付けられた。 対応と影響範囲 Chromeユーザーは「設定」→「Chromeについて」から手動でアップデートを確認し、直ちに適用することが推奨される。ChromiumをベースとするEdge、Brave、Opera、Vivaldiなど他のブラウザも同様の脆弱性の影響を受ける可能性があり、各ベンダーからの修正版リリースまでには数日程度を要する見込みだ。すでに実攻撃での悪用が確認されている以上、対象ブラウザの利用者は自身の更新状況を速やかに確認することが望ましい。

概要 ソフトウェアパッケージ管理ツール「JFrog Artifactory」の認証バイパスに関する重大脆弱性CVE-2026-82329(CVSSスコア9.8)が、8月28日のパッチ公開からわずか数日で実際に悪用されていることが明らかになった。セキュリティ企業watchTowrの調査によると、攻撃者はハニーポット上で管理者権限トークンを不正に発行し、ユーザー、グループ、認証情報、さらにはフェデレーテッドアクセスの構成までを列挙する行為が確認されている。一部の事例ではバックドアユーザーの作成も試みられていた。JFrogはクラウド版に対して8月28日に自動でパッチを適用済みだが、セルフホスト版の管理者には至急のアップデートが求められている。 脆弱性の技術的詳細 CVE-2026-82329は、認証情報の発行・検証を担うコンポーネント「JFrog Access」に存在する認証の欠陥だ。JFrogの説明によれば、デフォルト構成下でネットワークアクセスを持つ未認証の攻撃者が管理者権限を取得できてしまう。watchTowrの研究者は、追加の join key を設定していないインスタンスには「phantom(幽霊)」な join key が割り当てられており、攻撃者はこれを悪用して認証情報を偽造し、管理者レベルの資格情報を生成できると説明している。JFrogのCTOは、この脆弱性はリモートコード実行ではなく、あくまで認証の不備によるものだと位置付けている。 影響を受けるバージョンは以下の通り多岐にわたる。 7.111.4 〜 7.111.21 7.117.0 〜 7.117.27 7.125.0 〜 7.125.19 7.133.0 〜 7.133.28 7.146.0 〜 7.146.36 7.161.0 〜 7.161.19 修正版はそれぞれ7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20として提供されている。クラウド版は8月28日に自動的にパッチが適用済みだが、セルフホスト版は管理者自身によるアップデート作業が必要となる。 悪用の実態と専門家の見解 watchTowrがハニーポット上で観測した攻撃活動には、CVEの存在を確認するだけの単純な検証から、実際に管理者トークンを生成してユーザーやグループ、認証情報セットを列挙する本格的な偵察行為まで幅があった。一部のケースではバックドアユーザーの作成やフェデレーテッドアクセストポロジーの精査も確認されている。Vercelの最高経営責任者Guillermo Rauch氏は、この脆弱性が「デフォルト構成に影響し、認証もユーザー操作も不要」である点を強調し、管理者権限への昇格がソフトウェアサプライチェーンシステムに深刻な被害をもたらしうると警鐘を鳴らした。脅威分析の専門家Yordan Ganchev氏も、攻撃者がパッケージレジストリのような中央集権的なソフトウェアサプライチェーンシステムで管理者権限を奪取した場合、ビルドパイプラインの改ざんや本番環境への横展開が可能になると指摘している。なお、JFrog自体は本稿執筆時点で実悪用を公式には確認していない。 影響とサプライチェーンへの懸念 Artifactoryはソフトウェア開発におけるパッケージやアーティファクトの中央管理基盤として広く利用されており、管理者権限が奪われた場合の影響範囲は単一システムにとどまらない。ビルド成果物の改ざんや不正なパッケージの配布を通じて、下流の利用者やCI/CDパイプラインにまで被害が波及するサプライチェーン攻撃のリスクが指摘されている。パッチ公開から実悪用の確認までの期間が数日という短さは、重大脆弱性の情報公開後に攻撃者が迅速に武器化を進める傾向を改めて示しており、セルフホスト版のArtifactoryを運用する組織には、修正版への早急なアップグレードとログの精査が強く推奨される。

概要 米国最大級の医薬品卸売企業McKessonが、ハッカー集団ShinyHuntersによるサイバー攻撃を受けたことを明らかにした。McKessonは8月25日に不正アクセスを検知したとしており、ShinyHuntersは8月21日から25日までの4日間でクラウド環境から約1テラバイトのデータ、患者データベースの行数にして約2億8400万件分を窃取したと主張している。同グループは約5523万6150ドルという極めて具体的な金額の身代金を要求し、72時間の回答期限を設けたが、McKessonはこれに応じていないとみられる。ShinyHuntersは過去2年間で最も活発なデータ恐喝集団の一つとされ、今回の事案は2026年に相次ぐ医療業界へのサイバー攻撃の一つに数えられる。 侵入の手口 複数の報道によると、ShinyHuntersはボイスフィッシング（vishing）を起点とした多段階の手法でMcKessonに侵入した。攻撃者はまず「mckesson.claims」というMcKessonのヘルプデスクやIT部門を装ったなりすましドメインを用意し、電話で従業員を騙して認証情報を聞き出したとされる。この手口で複数の従業員のOktaシングルサインオンアカウントを乗っ取ることに成功し、そこを足がかりに社内のSalesforceおよびSnowflake環境へ横展開した。報道では、Salesforce環境は完全に掌握され、Snowflakeからは大量のレコードが抽出されたとしている。このソーシャルエンジニアリング主導の侵入経路は、近年ShinyHuntersが関与したとされる一連のSalesforce・Snowflake関連の大規模侵害と共通する特徴を持つ。 流出したデータの範囲 ShinyHuntersが主張する流出データには、患者の氏名、住所、生年月日、社会保障番号、患者ID、メディケイド情報、医療記録番号に加え、診断名、処方薬、アレルギー情報といった臨床データも含まれるという。さらに従業員の自宅住所や社内の内部コミュニケーションも含まれると主張されている。特に影響が大きいとされるのは腫瘍領域・多専門分野（Oncology & Multispecialty）、メディカル・サージカル（Medical-Surgical、医療・外科用品卸）の各事業部門で、これらの顧客データが標的にされた。ただし「2億8400万件」という数字はユニークな患者数ではなくデータベースの行数を指すとみられ、実際に影響を受ける個人数は今後の調査で精査される見込みである。 企業の対応と今後の見通し McKessonは証券取引委員会(SEC)へのForm 8-K提出および顧客向け通知を通じて侵害を公表し、詳細情報は自社ウェブサイトで確認できるとしている。同社幹部は調査がまだ初期段階にあるとしつつ、外部の専門家と連携してシステム監視を継続しており、現時点で進行中の不正アクセスは確認されていないと説明している。一部インシデントに伴うサービスの断続的な遅延が生じているとしているが、全事業ラインでの営業は継続中だとしている。McKessonは影響を受けた個人の具体的な人数や身代金要求への対応方針は明らかにしていない。今回の事案は、Boston ScientificやAbbott Laboratoriesなど2026年に相次いだ医療業界を狙った攻撃の流れに位置づけられ、機密性の高い医療データを狙ったクラウド環境への侵入とソーシャルエンジニアリングを組み合わせた攻撃が今後も続く可能性が指摘されている。

概要 AIエージェント・アプリケーション構築フレームワークLangflowに存在する未認証リモートコード実行(RCE)の脆弱性CVE-2026-0768(CVSSスコア9.8)が、実際の攻撃キャンペーンで悪用されていることが明らかになった。セキュリティ企業VulnCheckのハニーポットでは週末だけで50件超、月曜までに360件超の攻撃を観測しており、大半はロシアを発信源とする偵察活動および認証情報窃取を目的としたものだという。攻撃者はOpenAIやAWSのAPIキーなど、AIアプリケーションが保持する機微な認証情報を狙っている。 技術的な詳細 脆弱性はLangflowのカスタムコンポーネントエディタに搭載されたコードバリデータに存在する。NVDの記述によれば、「ユーザー入力の文字列がPythonコードの実行に使われる前に適切な検証が行われていないこと」が原因で、認証を経ずに任意のPythonコードをroot権限で実行できてしまう。影響を受けるのはバージョン1.4.2以前の全リリースで、修正済みバージョンである1.11.6へのアップグレードが推奨されている。 VulnCheckの研究者Caitlin Condon氏によれば、攻撃者は環境変数を照会してLANGFLOW_SUPERUSERの認証情報、OPENAI_API系のキー、AWS_ACCESS・AWS_SECRET系の認証情報を探索するほか、/root/.cache/langflow/secret_keyの読み取りやSSHアクセス、bashの履歴サイズの確認まで行っているという。単なるスキャンにとどまらず、システムへの侵入を前提とした偵察行動とみられる。 悪用の背景と広がる標的化 この脆弱性は2025年7月にZero Day Initiative(ZDI)経由で報告され、2026年1月にゼロデイとして公表された。SecurityWeekの報道では、2026年に入ってから既知の悪用が確認されたLangflowの脆弱性のうち3件だけで累計1万5000件超の攻撃が成功しているとされ、2025年以前は野生での悪用が確認された脆弱性が1件のみだったのに対し、2026年だけで新たに11件の脆弱性が悪用対象として報告されるなど、攻撃者の関心が急速に高まっている。BleepingComputerも、CVE-2026-0768が2026年に入ってから悪用が確認された6件目のLangflow脆弱性であるとし、CVE-2026-33017、CVE-2026-5027、CVE-2026-55255、CVE-2026-0770、CVE-2026-9198に続くものだと指摘している。 影響と今後の見通し LangflowはAIエージェントやRAGシステムをグラフィカルなワークフローで構築できるオープンソースのPythonベース低コードプラットフォームであり、AIアプリケーション開発の現場で急速に採用が進んでいる。今回の攻撃は、こうした低コードAI基盤が本番環境やクラウド連携の中枢に組み込まれるにつれ、そこに保存される外部サービスのAPIキーやクラウド認証情報が新たな攻撃対象になっていることを示す。未パッチのLangflowインスタンスを運用する組織は、直ちにバージョン1.11.6以降へアップグレードするとともに、環境変数やシークレットファイルに保存された認証情報のローテーションを検討すべきだろう。

概要 Anthropicは8月30日から31日にかけて、Vidar、LummaC2、StealC、RedLine、Acreedといったインフォスティーラー型マルウェア(Windows向け)、および一部のmacOSデバイスを狙うAtomic Stealer(AMOS)が、ユーザーのPC上でブラウザのセッションCookieを盗み出し、Claudeアカウントへの不正アクセスに悪用されていたことを明らかにした。影響を受けたユーザーは、自分が使っていないにもかかわらず利用枠が回復してはまた消費される、という不審な挙動を報告していた。Anthropicは自社サービスやClaude自体がマルウェア感染の原因ではないと強調しており、感染は既にユーザーのPC上に存在していたものだとしている。 攻撃の仕組み この攻撃の核心は、パスワードや二要素認証(2FA)を突破する必要がない点にある。2FAはログイン時の本人確認を保護するが、認証が完了した後、サービス側はユーザーをログイン状態に保つためのセッションCookieを発行する。インフォスティーラー型マルウェアはこのCookieをブラウザから直接コピーし、攻撃者はそれを「リプレイ」することで、あたかも既に認証済みのユーザーであるかのように振る舞い、ログイン処理そのものを経ずにアカウントへアクセスできてしまう。これにより2FAによる保護は事実上無効化される。マルウェア自体は非公式な配布元からのダウンロードや偽装アプリケーションを通じて侵入し、保存されたパスワード、ブラウザCookie、ローカルのアプリケーション認証情報を静かに窃取する汎用型の情報窃取ツールで、Claude専用に作られたものではない。実際に、被害を受けたユーザーの一人はロシアの闇フォーラムで海賊版ゲームをダウンロードしたことが感染経路だったと報告している。 Anthropicの対応とユーザーへの影響 Anthropicは被害が疑われるアカウントについて、すべてのセッションを強制的にログアウトさせて盗まれたセッションを無効化し、保存済みの支払い方法を削除、さらに不正に消費された利用分の返金を進めている。同社は「Claudeからサインアウトさせることは盗まれたセッションを止めるが、マルウェア自体を除去するものではない」と警告しており、感染したデバイスからマルウェアを完全に駆除しない限り、支払い方法を再登録しても再び被害に遭う可能性があるとしている。さらに、今後も不正利用の兆候が検知されればアカウントを再度ログアウトさせる場合があるとした。 今後の対策 Anthropicはユーザーに対し、マルウェアの検出・除去、メールアカウントのパスワード変更と2FAの有効化、ブラウザに保存済みのパスワードの更新、クレジットカード明細の不正利用確認、他の主要サービスでのアクティブセッションの見直しといった対策を推奨している。今回の情報窃取キャンペーンはClaudeに限らず、汎用型マルウェアがAIサービスを含むクラウドアプリケーション全般の認証情報を狙う脅威として広がっていることを示しており、エンドポイントのセキュリティ対策の重要性を改めて浮き彫りにしている。Anthropicは調査を継続中としており、今回の騒動に便乗したなりすましメールなどの二次被害にも注意するよう呼びかけている。

概要 玩具・ゲーム大手のハズブロは、マサチューセッツ州司法長官事務所への通知を通じて、現従業員・元従業員の個人情報が流出したデータ侵害を開示した。同社によれば、氏名、メールアドレス、住所、電話番号、社会保障番号などの国民識別番号、金融口座情報、クレジット/デビットカード番号が漏洩した可能性があるという。マサチューセッツ州の従業員436人が影響を受けたことが確認されているが、全米での被害者総数は明らかにされていない。ハズブロの従業員数は世界で約4,600人とされており、報道では被害者総数が数百人から数千人規模に上る可能性が指摘されている。 3月のサイバー攻撃との関連 今回の侵害は、2026年3月28日に発生し社内システムの停止を余儀なくされた大規模サイバー攻撃と関連している可能性がある。この3月の攻撃では、復旧費用として約1,100万ドル、製品出荷の遅延による売上損失として約2,500万ドルの損害をハズブロにもたらしたとされる。ただし同社は、今回の従業員データ侵害と3月のインシデントが同一の攻撃によるものかどうかは明言していない。これまでのところ、既知のランサムウェアグループのリークサイトにハズブロの名前が掲載された形跡はなく、攻撃の性質やデータの悪用状況は依然として不明な点が多い。 ハズブロの対応と今後の見通し ハズブロは、侵害が判明した侵害されたアカウントを無効化して不正アクセスを遮断し、追加のセキュリティ対策を導入したと説明している。また外部のサイバーセキュリティ専門家と連携して調査を進めており、影響を受けた従業員に対しては第三者による ID 保護サービスを提供するとしている。同社は「データが悪用された兆候は確認されていない」としているが、顧客データが影響を受けたかどうかや、攻撃者からの身代金要求の有無については明らかにしていない。今後、他州の司法長官への通知や被害者総数の詳細が明らかになるかが注目される。

概要 セキュリティ研究者Johann Rehberger(ハンドル名wunderwuzzi)が、AnthropicのClaude Code(Opus 5、Auto Modeがデフォルト有効)に対し「このWebサイトを要約して」と依頼するだけでリモートコード実行(RCE)を引き起こすプロンプトインジェクション攻撃を実証した。テスト済みの3つの攻撃バリアントで60〜80%という高い成功率を記録しており、コーディングエージェントの自律実行機能がいかに攻撃対象になり得るかを浮き彫りにした。Anthropicはこの報告を脆弱性パッチではなく「informative(情報提供)」として扱い、Auto Modeの承認分類器はそもそも「ベストエフォート」であり真のセキュリティ保証ではないとの立場を示している。 攻撃の技術的な仕組み 攻撃はごく自然な操作から始まる。Rehbergerはメモ帳アーカイブを装った悪意あるWebサイトの要約をClaudeに依頼した。まずClaudeはWebFetchツールでサイト取得を試みるが、意図的にHTTP 415エラーを返すよう仕組まれているためこれに失敗する。すると自律的なフォールバックとしてClaudeはBashからcurlコマンドの実行を試み、これがサーバー側のHTTP 303リダイレクトによって攻撃者が用意した細工済みのZIPアーカイブへ誘導される。 このZIPにはBase85/zlibでエンコードされたファイル群に加え、偽装されたmacOSバイナリと悪意あるstruct.pyが含まれている。Claudeの安全機構はこのバイナリの実行を正しく拒否するが、ここで攻撃の核心となる誤りが生まれる。拒否されたClaudeは「自分でデコーダスクリプトを書けばよい」と判断し、Pythonの標準ライブラリbase64をインポートするコードを自ら生成してしまう。ところがbase64モジュールは内部でstructモジュールに依存しており、ローカルディレクトリに置かれた悪意のstruct.pyが正規の標準ライブラリをシャドウイング(横取り)する形で優先的に読み込まれ、結果として攻撃者のコードが昇格した権限で実行される。 Rehbergerはこの手法により、電卓アプリの起動という概念実証にとどまらず、追加ペイロードのリモートダウンロード、claude -pによるネストしたClaude Codeインスタンスの起動、whoami・uname・idなどの偵察コマンド実行、ローカルファイルの改変まで可能であることを示した。 Anthropicの対応とセキュリティ上の含意 Anthropicはこの報告への対応区分を「informative」とし、重大なセキュリティ欠陥としては扱わなかった。同社の立場は、Auto Modeが便利機能を提供するための「ベストエフォートの分類器」であって、セキュリティ保証を提供するものではないというものだ。Rehbergerによれば、Anthropicはこの分類器が個々には無害に見える多段階のプロンプトインジェクション連鎖を検知するようには設計されていない、との見解を伝えているという。 この対応は、Anthropicが第三者のレッドチーム評価で「攻撃成功率0.00%」を主張していることと対照的である。この矛盾は、評価に用いられた72個の固定シナリオセットに、今回実証されたようなツール呼び出し失敗からのフォールバック連鎖を悪用する攻撃パターンが含まれていなかったことに起因するとみられる。さらに皮肉なことに、Auto Modeの安全機構は攻撃の起点となったバイナリ実行こそブロックしたものの、その後の後片付け(クリーンアップ)コマンドまで一緒にブロックしてしまうという逆説的な挙動も報告されている。 Anthropicが推奨する実質的な緩和策は、コーディングエージェントをOSレベルで隔離されたサンドボックス環境(コンテナやVM)で実行し、ネットワーク出口制御や認証情報の分離を組み合わせることだ。つまり、モデル自身の安全分類器に頼るのではなく、インフラやプラットフォームチーム側でエージェントの実行環境そのものに境界を設けることが真の防御線になるという考え方である。エージェント型AIコーディングツールの自律性が高まるほど、ツール呼び出しの失敗時に生じるフォールバック動作そのものが新たな攻撃面になり得ることを、今回の実証は改めて示した。

概要 印刷管理ソフトウェアを提供するPaperCutは8月28日、実際に悪用されている2件の脆弱性に対する第2次緊急パッチをリリースした。対象となるのはCVE-2026-81578(CVSSスコア8.8、認証バイパス)とCVE-2026-82078(同9.4、危険な動的クラス読み込み)で、いずれもNG/MFバージョン24・25・26(Windows、Linux、macOS)のプリントサーバーおよびサイトサーバーに影響する。8月27日に公開された最初の緊急セキュリティ勧告に基づくパッチが、複数の回避手法によって突破されたため、追加の修正が必要になった。 脆弱性の詳細 CVE-2026-81578は、特定の条件下で認証を経ずにバックエンドの機能が実行されてしまう認証バイパスの欠陥。CVE-2026-82078は、承認済みリストに対する検証を行わずにデータベースドライバのクラスを読み込んでしまう問題で、これを悪用されると任意のJavaコードを実行される。両者を組み合わせることで、攻撃者は認証なしにサーバー上で任意のコードを実行できる、いわゆる「フル段階の認証前RCEチェーン」を構築可能になる。なお、Print DeployやMobility Printといった関連製品はこの脆弱性の影響を受けない。 第2次パッチに至った経緯 最初のパッチ公開後、セキュリティ企業watchTowrやHuntress、そしてPaperCut社内のチームがそれぞれ独立に、パッチの複数の回避方法と追加の認証バイパス手法を発見した。特にHuntressは、これらの回避策を組み合わせることで認証前のリモートコード実行が成立することを実際に再現して見せている。Huntressの観測によれば、実際の攻撃では16進数エンコードされたJavaの .class ファイルをRCEの足がかりとして送り込み、システムの偵察活動を行うコマンドが確認されたが、現時点でマルウェアの展開や永続化の兆候は見られていないという。PaperCut自身は、観測された攻撃は「限定的でターゲットを絞ったもの」だとしている。 対応と今後の見通し PaperCutは顧客に対し、第2次パッチの即時適用を改めて強く呼びかけている。パッチ適用に加え、ファイアウォールルールによるアクセス制限、pc-app.exe プロセスに関する不審な挙動の監視、特定のログエラーの有無の確認といった多層的な対策の実施も推奨されている。初回パッチが短期間で複数回突破された経緯を踏まえると、印刷管理サーバーがネットワーク内で軽視されがちな侵入経路になり得る点を管理者は改めて認識し、パッチ適用後も継続的な監視を行う必要があるだろう。