Security

概要 Kasperskyのセキュリティ研究者らは、中国系ハッカー集団Mustang Panda（別名HoneyMyte）が使用するバックドア「CoolClient」の新バージョンに、署名付きのWindowsカーネルモードルートキットドライバ（msagent.sys）が組み込まれていることを確認した。このドライバはプロセス、ファイル、レジストリキー、そしてC2（コマンド＆コントロール）通信のIPアドレスをOSレベルで隠蔽する機能を持ち、従来のエンドポイント保護製品による検出を著しく困難にする。被害はミャンマー、モンゴル、パキスタン、ロシアの政府機関を中心に確認されており、地政学的な諜報活動の一環とみられる。CoolClientは2022年にSophosが初めて報告したバックドアで、2023年にはTrend Microが分析を行っているが、今回のルートキット統合は同マルウェアにとって大きな機能拡張となる。 技術的な詳細 攻撃はまず、初期侵入用インプラント「PlugX」の展開から始まる。PlugXはCoolClientの各コンポーネントを配置するとともに、偽のインストールディレクトリをMicrosoft Defenderの除外対象に登録し、後続の検出を回避する。実行チェーンは多段階構成となっており、正規のSangfor実行ファイル（defender.exeにリネーム）が悪意あるDLL「libngs.dll」をサイドロードすることで開始する。このDLLが復号・実行する第2段階の「loadcert.ini」がpersistence（永続化）、UACバイパス、そしてルートキットドライバの展開を担当し、最終段階の「cert.ini」がC2通信を含むバックドア本体として機能する。 ルートキットドライバmsagent.sysは、CoolClientがService Control Managerへのアクセス権とSeTcbPrivilege特権を保持している場合にのみ展開される。このドライバは、Windowsのアクティブプロセスリストからエントリをアンリンクすることでプロセスを隠蔽するほか、ファイルシステムのミニフィルタで保護対象ファイルへのアクセスを拒否し、レジストリコールバックで保護対象キーを列挙対象から除外する。さらに、Nsiproxyドライバへのフックを通じて、設定されたC2のIPv4アドレスをネットワーク情報から除外し、通信の痕跡を隠す。ドライバは33種類のIOCTLハンドラを実装しているが、実際の攻撃で使用が確認されたのは、CoolClientを信頼済みプロセスとして登録する「0x222120」、C2のIPv4アドレスをドライバに渡す「0x2221E0」、保護対象のファイル・レジストリパスを登録する「0x2220F0」の3種類のみだった。 特に注目されるのは、このドライバが「Nanjing Ranyi Technology Co., Ltd.」名義で発行された、2013年8月から2014年9月まで有効期限が設定された古いデジタル証明書で署名されている点である。有効期限切れの古い証明書を悪用することで、署名検証を通過しつつ検出を回避する手口とみられる。永続化にはAutoRunレジストリエントリ「goopdate」やWindowsサービス「media_updaten」への登録、RPCベースのプロセス生成による親プロセスIDスプーフィング、synchost.exeへのプロセスインジェクションなど、複数の手法が組み合わされている。Kasperskyは、この設計が同グループが2025年12月に確認された「ToneShell」ルートキットと類似する点を指摘しつつ、CoolClient版は専用のIOCTLハンドラによりユーザーモードのバックドアと直接通信できる点で異なるとしている。 影響と今後の見通し 正規の署名証明書とカーネルレベルの隠蔽技術を組み合わせた今回の手口は、国家に支援された攻撃グループによるマルウェアの高度化が着実に進んでいることを示している。ルートキットによってプロセスやファイル、通信の痕跡がOSレベルで隠蔽されるため、フォレンジック調査や標準的なセキュリティ製品による検知が一段と難しくなる。Mustang Pandaは過去にもPlugXなどのツールで政府機関を継続的に標的としてきており、今回のアップデートは同グループが長期的な諜報活動においてステルス性の向上に注力し続けていることを裏付けている。

概要 ネットワークプロトコルアナライザWiresharkの開発チームは8月13日、最新版となる4.6.8をリリースした。今回のアップデートでは、クラッシュにつながる約28件のセキュリティ脆弱性がまとめて修正されており、過去のリリースと比較しても大規模なセキュリティパッチとなっている。修正対象にはBluetoothスタックやUMTS(3G)関連プロトコル(RRC、UMTS FPなど)の解析処理も含まれ、ネットワーク解析の現場で広く使われるツールだけに、利用者には速やかなアップデートが推奨される。 修正された脆弱性の内訳 28件の脆弱性のうち9件はファイルパーサーに起因するもので、pcapng、Endace ERF、Tektronix K12xx、BUSMASTER、Catapult DCT2000、Gammu DCT3、3gpp phone logs、TTX Logger、Ixia IxVeriWave、Vector Informatikの BLFといった各種キャプチャファイル形式のパーサーが対象となった。これらは攻撃者が細工した悪意あるキャプチャファイルを開かせるだけで悪用が成立し得るため、ファイルの受け渡しを伴う運用では注意が必要だ。 残りの脆弱性は主にプロトコルディセクタ(解析コンポーネント)に関するもので、RDP、SSH、Kerberos、H.245、ESS、X.509IF、RRC、UMTS FP、CMS、C12.22、Bluetooth関連プロトコルなど多岐にわたる。具体的な不具合の種類としては、スタックバッファオーバーフロー、スタックオーバーリード、メモリ範囲外読み取りなどが報告されており、いずれも悪意あるパケットやキャプチャデータの取り込み時にクラッシュを引き起こす可能性がある。なお、NetLog JSONパーサーのスタック枯渇に関する問題も別途修正されているが、これは28件の番号付き脆弱性には含まれない。今回のリリースでは個別のCVE番号は付与されていない。 その他の改善点 セキュリティ修正に加え、プロトコルおよびキャプチャファイルサポートの改善も行われた。具体的には5G NAS(Non-Access Stratum)通信フィールドのデコード誤りが是正されるなど、プロトコル解析の精度向上に関する細かな修正も含まれている。 今後の見通し Wiresharkはネットワークトラブルシューティングやセキュリティ調査で広範に利用されるオープンソースツールであり、悪意あるキャプチャファイルやパケットを介した攻撃対象となるリスクが指摘されてきた。今回のような大規模な脆弱性修正は、ツールの堅牢性を高める上で重要な意味を持つ。利用者は公式サイトやパッケージマネージャーを通じて4.6.8への更新を行うことが推奨される。

概要 ロシア系とみられるランサムウェア集団Cl0pが、石油大手Shellやオランダの electronics 企業Philips、General Electric（GE）、Fiservなど約50社からデータを窃取したと主張していることが明らかになった。Shellは声明で「潜在的なインシデントを認識しており、セキュリティチームおよび関連の専門家と協力して調査を進めている」と述べ、正式に調査を開始したことを認めた。世界70カ国以上で約8万5000人の従業員を抱え、1日あたり2000万人の顧客にサービスを提供するShellからは、およそ89GBのデータが盗まれたとされる。Philipsからも13.5GB相当のデータが流出したと主張されているが、被害内容については各社とも調査中であり、Cl0pの主張を裏付ける第三者による検証はまだ行われていない。 技術的な詳細 今回の攻撃は、PTC社の製品ライフサイクル管理（PLM）ソフトウェア「Windchill」および「FlexPLM」に存在する脆弱性CVE-2026-12569を悪用したものとされる。この脆弱性は不適切な入力検証に起因するもので、Cl0pはインターネットに公開された同ソフトウェアのインスタンスを侵害し、JSP形式のWebシェルを設置してPLMシステムからデータを窃取したとみられる。Cl0pはこの手法により、Shellを含む43社の新たな被害組織をリークサイトに掲載したと報じられている。窃取されたとされるデータには、エンジニアリング図面、施設テストレポートのスキャン、施設の写真、プロジェクト計画書などが含まれるという。PTC WindchillおよびFlexPLMは航空宇宙、防衛、自動車、製造業、医療機器分野を中心に世界で3万社以上、1500以上の小売ブランドが利用する基幹システムであり、影響範囲の大きさが懸念されている。 背景と今後の見通し PTCは6月17日にこの脆弱性に対するセキュリティパッチを公開していたが、米CISAは6月25日にこの脆弱性が実際に悪用されていることを確認し、既知の悪用された脆弱性（KEV）カタログに追加した。ドイツの連邦情報セキュリティ庁（BSI）も深夜に緊急警告を発し、組織に対して直ちにパッチを適用するよう求めていた。こうした警告にもかかわらず、パッチ未適用のインスタンスが標的にされたとみられる。ShellとPhilipsはいずれも調査を継続しており、GEについても同様に標的にされたと報じられているが、コメントは得られていない。Cl0pによるデータ窃取の主張は現時点では検証されておらず、今後各社の調査結果によって実際の被害範囲が明らかになるかが焦点となる。

概要 Cloudflareは8月10日、政府向けサービス「Cloudflare for Government」がFedRAMP High認証と、州・地方自治体向けの「GovRAMP Moderate」認可を取得したと発表した。FedRAMP Highは国防・重要インフラ関連のHigh Impactデータを扱うための連邦政府クラウドセキュリティ基準で、これにより同社は専用の政府向けネットワークを別途構築することなく、国家安全保障、重要インフラ、金融システムに関わる機密性の高いワークロードにも対応できるようになった。米国公共部門担当バイスプレジデントのDavid Mihalchik氏は、FedRAMP HighやGovRAMP Moderate、そして追求中のDoD IL4認可により、連邦・州・地方・防衛の各チームがレガシー技術から脱却し、「より安全で効率的、かつ革新的な未来」へ移行できると述べている。 技術的な詳細 Cloudflare for Governmentの基盤は、335以上の都市・125カ国以上に展開する同社のグローバルネットワークと同一のソフトウェアで構成されており、ゼロトラストセキュリティと耐量子暗号（post-quantum cryptography）を組み込んでいる点が特徴だ。処理は15の米国内都市圏に限定されることで、機密データを国内に留めたまま同社の分散ネットワークによる高速な配信・保護を両立させている。これにより、統合されたセキュリティ、パフォーマンス、AI、開発者向けサービスを政府機関にもそのまま提供できる構成となっている。 認証取得の経緯と今後の展望 Nextgovの報道によれば、CloudflareはFedRAMP High認証を8月7日に取得し、GovRAMP Moderate認可はその前の4月に取得済みだった。同社の技術は既にエネルギー省、保健福祉省、商務省、国土安全保障省、内務省、司法省、国務省など複数の連邦機関を含む100以上の米国政府機関で採用されている。Cloudflareは今後、統制対象非機密情報（CUI）を扱う国防総省のワークロードに対応するため、DoD Impact Level 4（IL4）認可の取得も目指すとしている。なお今回の認証取得は、FedRAMP責任者が脆弱性パッチ対応の遅い企業に対し政府への製品販売を控えるよう警告した直後というタイミングでもあり、政府調達におけるセキュリティコンプライアンスの重要性が改めて浮き彫りになっている。

概要 オープンソースの地理空間データ基盤GeoServerに、パッチが提供されていないゼロデイのSQLインジェクション脆弱性が発見され、公開からわずか数時間で悪用の試みが本格化していることが明らかになった。脆弱性は8月12日10:46 UTC、研究者「@q1uf3ng」がX（旧Twitter）上でバグバウンティの一環として公開したもので、記事執筆時点でもCVE番号は採番されておらず、ベンダーからの修正パッチも未提供の状態が続いている。GeoServerは政府、国防、科学、教育、工学・技術分野など幅広い業界で利用されており、影響範囲の広さが懸念されている。 セキュリティ企業watchTowrのプリンシパルセキュリティリサーチャーであるJake Knott氏によると、脆弱性の公開後、少数の発信元IPアドレスから数百件に及ぶ悪用試行がすでに観測されている。ただし現時点では攻撃者はエラーを発生させるだけで、悪意あるペイロードの投入やコマンド実行までは至っておらず、脆弱なインスタンスを洗い出すための偵察活動の段階にあるとみられる。Knott氏は「この状況が長く続くとは考えにくい」と警告しており、GeoServerが過去に大規模な悪用を受けてきた経緯を踏まえると、攻撃がより深刻な段階へ移行するのは時間の問題だとの見方を示している。 技術的な詳細 脆弱性はGeoServerのjsonArrayContains関数に存在し、認証なしでユーザーが任意のSQLコマンドをデータベースに注入できる。通常の設定であれば影響はデータ漏洩や改ざんにとどまる可能性があるが、Microsoft SQL Server上でデータベースが管理者権限のアカウントで稼働している構成では、SQLインジェクションがシステムコマンドの実行ベクトルへと昇格し、リモートコード実行（RCE）にまで発展し得る。記事では、別の研究者がデフォルト以外の設定でこの欠陥の再現に成功したことも報告されており、実環境での悪用可能性が裏付けられた形だ。 過去の悪用実績と背景 GeoServerはこれまでにも複数の脆弱性がCISAの既知悪用脆弱性（KEV）カタログに登録されており、2024年にはCVSSスコア9.8の深刻な脆弱性CVE-2024-36401がDDoSボットネットや暗号資産マイニングの目的で武器化された実績がある。このような経緯から、GeoServerの脆弱なインスタンスは攻撃者にとって価値の高い標的とみなされており、今回のゼロデイも同様の大規模悪用に発展するリスクが指摘されている。 対策と今後の見通し パッチが存在しない現状において、専門家は組織に対し、インターネットに公開されているGeoServerインスタンスを速やかに特定し、可能な限り公開アクセスを制限するよう推奨している。あわせて、すでに悪用の痕跡がないかログを点検することも重要だとされる。ベンダーからの正式な修正パッチが提供されるまでの間、露出したインスタンスは持続的なリスクにさらされることになり、状況の推移を注視する必要がある。

概要 Adobeは2026年8月11日、ColdFusionとCampaign Classicを対象に緊急のセキュリティアップデートを公開した。両製品合わせて計18件の脆弱性が修正され、うちColdFusionで1件、Campaign Classicで2件、合計3件がCVSS満点となる10.0を記録している。Adobeはこれらを最も深刻度の高い「Priority 1」に分類し、管理者に対して直ちにパッチを適用するよう強く呼びかけている。現時点でこれらの脆弱性が実際に悪用された事例は確認されていないが、影響範囲の大きさと深刻度の高さから、各セキュリティメディアが一斉に注意喚起を行っている。 ColdFusionの脆弱性 ColdFusionでは15件のセキュリティ欠陥が修正され、うち3件が最高水準の重大度「Critical」に分類される。最も深刻なのはOSコマンドインジェクションの脆弱性CVE-2026-48362(CVSS 10.0)で、悪用されればサーバーの完全なコンプロマイズ、データ露出、接続システムへの不正アクセスにつながる恐れがある。次いでevalインジェクションの脆弱性CVE-2026-48273(CVSS 9.9)があり、任意のコード実行やビジネスデータの露出を招く可能性がある。さらに認可制御の不備によるCVE-2026-71384(CVSS 9.6)は、サービス拒否(DoS)攻撃の引き金となり得る。影響を受けるのはColdFusion 2025.0.11以前および2023.0.22以前のバージョンで、それぞれ2025 Update 12(バージョン2025.0.12)と2023 Update 23(バージョン2023.0.23)で修正されている。 Campaign Classicの脆弱性 Campaign Classicでは3件の重大な脆弱性が修正された。認可検証の不備に起因するCVE-2026-71398とCVE-2026-27302はいずれもCVSS 10.0の最大スコアを記録しており、前者は任意のコード実行、後者は不正アクセスによる顧客情報の露出につながる恐れがある。加えてSQLインジェクションの脆弱性CVE-2026-48381(CVSS 9.0)は、データの改ざんや露出を引き起こしうる。影響を受けるのはCampaign Classic v7バージョン7.4.3ビルド9399以前で、v7バージョン7.4.4ビルド9400で修正されている。なお、これらのパッチはオンプレミス展開のみを対象としており、Adobeがホストするクラウド版はすでに修復済みとされている。 悪用状況と今後の見通し Adobeは現時点でこれらの脆弱性に対する既知の悪用は確認していないとしている。一方で、今回と同じ8月のパッチサイクルで修正されたAdobe Commerceの脆弱性CVE-2026-71362では、アドバイザリ公開後まもなく悪用が確認されたと報告されており、また数週間前に公開されたColdFusionの脆弱性CVE-2026-48282でも能動的な悪用が確認された前例がある。セキュリティ専門家は、技術詳細が公開されてから実際の攻撃(PoC開発や悪用)に至るまでの時間がAI支援による脆弱性分析の進展で短縮される傾向にあると指摘しており、今回のような重大脆弱性についても悪用までの猶予は限られるとみられる。Adobeが72時間以内という異例の短期間でのパッチ適用を推奨しているのはこうした背景を踏まえたものであり、ColdFusionおよびCampaign Classicをオンプレミスで運用する組織は速やかな対応が求められる。

概要 BroadcomのVMware vCenterに存在する重大なディレクトリトラバーサル脆弱性「CVE-2026-59310」（CVSSスコア9.8）が、パッチ公開からわずか5日後には実際の攻撃キャンペーンで悪用され始めていたことが、ドイツのデジタルフォレンジック企業QUIRSOの調査で明らかになった。Broadcomは2026年7月29日に脆弱性を公開し修正パッチをリリースしたが、攻撃者は8月3日には侵害を開始しており、8月3日から5日にかけて被害の約95%が集中して発生した。QUIRSOはこれまでに47か国361件の被害者IPアドレスを確認しており、特にドイツ、米国、トルコ、イラン、フランスの5か国だけで185件と過半数を占めている。8月4日単日だけで151件もの新規被害が確認されるなど、キャンペーンは急速に拡大した。QUIRSOのCOOであるDenis Szadkowski氏は「われわれが調査した活動は単なる悪用の試みではなく、実際に侵害が成功したことを示すものであり、フォレンジック証拠はCVE-2026-59310が初期侵入経路であることを強く裏付けている」と述べている。 技術的な詳細 CVE-2026-59310はvCenterのSyslogサーバーに存在するディレクトリトラバーサルの欠陥で、ネットワークアクセスさえあれば認証なしで任意のコードを実行できてしまう。攻撃者はまずこの脆弱性を突いてパストラバーサルを行い、悪意あるcronジョブを仕込んで永続化を図った上で、オープンソースのSSHトンネリングツール「reverse_ssh」を導入して攻撃者インフラへのリバースSSH接続を確立していた。reverse_sshはアウトバウンド方向の接続を利用するため、多くの環境で設定されている受信トラフィックのアクセス制御を回避できる点が悪用の狙いとみられる。VMware vCenterは仮想マシンやESXiサーバー、組織全体のアクセス権限を一元管理する中枢インフラであるため、侵害された場合の影響範囲は極めて大きい。QUIRSOは高度な持続的脅威(APT)アクターの関与を疑っているが、法執行機関との調整のため、現時点で具体的な痕跡情報(IOC)の公開は控えているという。 対応策と今後の展望 Broadcomは本脆弱性に対する回避策(ワークアラウンド)を提供しておらず、緊急パッチの適用が唯一の対策となる。修正済みバージョンはvCenter 9.1系が9.1.0.0300、9.0系が9.0.2.0100、8.0系がU3kまたはU2f(ブランチにより異なる)である。セキュリティ企業SectigoのシニアフェローJason Soroko氏は「パッチを適用するだけでは問題は解決しない。脆弱性そのものを塞ぐタイムラインと、すでに侵入した攻撃者を排除するタイムラインという、2つの時計を並行して管理する必要がある」と警鐘を鳴らしている。管理者は単にパッチを適用するだけでなく、脆弱なvCenterアプライアンス上でreverse_sshのような不審なツールのインストールや、想定外のアウトバウンド通信がないかを速やかに確認し、侵害の痕跡調査を行うことが強く推奨される。

概要 Adobe CommerceおよびMagento Open Sourceに存在する深刻な脆弱性CVE-2026-71362(CVSSスコア9.1)が、Adobeによるパッチ公開からわずか数日で実際の攻撃に悪用され始めていることが明らかになった。この脆弱性は、攻撃者が既存アカウントや管理者権限、ユーザー操作を一切必要とせずに、顧客セッションを別の顧客アカウントへ不正に切り替えられるというもので、被害者のアカウントと個人データに無断でアクセスされる恐れがある。セキュリティ企業Sansecが悪用の兆候を検知し、自社のWAF製品「Sansec Shield」が既に攻撃試行をブロックしていると報告している。 技術的な詳細 脆弱性の根本原因は、Magentoにおける顧客アイデンティティ、すなわちカスタマーセッションの処理方法の不備にある。不適切なセッション処理により、攻撃者は認証情報を持たない状態でも他人のセッションへの切り替えが可能になっていた。Adobeは8月11日付のセキュリティ情報APSB26-92で本脆弱性を含む計7件の脆弱性を修正しており、うち5件がCriticalレベルとされる。CVE-2026-71362以外にも、保存型クロスサイトスクリプティング(XSS)や認可に関する脆弱性が同時に修正されている。影響を受けるのはAdobe Commerce、Commerce B2B、Magento Open Sourceで、2026年7月までのパッチを適用した環境も含めて脆弱な状態にあったという。今回のパッチは独立したパッチファイルとして緊急配布されており、正式なセキュリティリリースへの統合は後日予定されている。 悪用状況と対応 Adobeによる公開後、間を置かずに実環境での悪用試行が観測された。今回の悪用の速さは、深刻な脆弱性が公開されると攻撃側が短時間で武器化するという、近年のECプラットフォーム攻撃に共通する傾向を改めて示す事例といえる。Adobeは、現在サポート対象となっているCommerce、Commerce B2B、Magentoの各リリースラインを利用する管理者に対し、2026年8月のセキュリティ更新をできるだけ早期に適用するよう強く勧告している。なお、パッチ適用にあたっては事前に最新の-pリリース(パッチレベル)を確認する必要がある点にも注意が必要だ。ECサイト運営事業者は、顧客アカウントの不正利用や個人情報漏えいのリスクを避けるため、速やかな対応が求められる。

概要 Intelは8月12日、42件のセキュリティアドバイザリを新たに公開し、合計72件の脆弱性を修正した。AMDも同日、5件のセキュリティ通知を発行し、12件の脆弱性に対処している。両社を合わせると、今回のチップメーカー版Patch Tuesdayで修正された脆弱性は80件を超える規模となった。 Intelの修正内容 Intelが公表した脆弱性の多くは高（High）または中（Medium）深刻度に分類される。高深刻度の欠陥は複数の製品カテゴリにまたがっており、PROSet/Wireless WiFiソフトウェアでは特権昇格・サービス拒否・ローカルコード実行につながる問題が見つかった。このほか、Xeonプロセッサでの特権昇格、Data Center Attestation Primitivesでの情報漏洩、Xeon向けAlias Checking Trusted Moduleでの特権昇格、TDXでの特権昇格、Active Management Technologyでのサービス拒否、CSMEおよびSPSでの特権昇格など、幅広い製品群で深刻な脆弱性が修正されている。 中・低深刻度の脆弱性は、PyTorch拡張機能やLLM-on-Ray、Gaudiランタイムといった AI/ML 関連ツール群やインフラ製品にも及んだ。また、Slim Bootloaderでは低深刻度の脆弱性が1件修正されている。 AMDの修正内容 AMDが発行した5件のセキュリティ通知では、秘密鍵漏洩、特権昇格、任意コード実行につながりうる脆弱性が対処された。開発環境のVitisでは高深刻度の脆弱性が5件見つかったほか、Ryzen Master Utility、SEV-SNP、Power Design Managerでもコード実行につながる脆弱性が修正されている。AMDは以前、SEV実装に影響するサイドチャネル攻撃「PowerHooK」を公表しており、今回の修正はそれに続くセキュリティ対応の一環となる。 今後の対応 企業やエンドユーザーは、影響を受ける製品のファームウェアやドライバーを速やかに最新版へ更新することが推奨される。特にサーバー用途で広く使われるXeonプロセッサやSEV-SNP関連の脆弱性は、データセンター環境における機密性や可用性に直結するため、優先的なパッチ適用が望まれる。

概要 複数モデルプロバイダーへの接続を担うオープンソースのAIゲートウェイ「LiteLLM」で発生した供給チェーン攻撃の全容が、新たな分析により明らかになった。2026年3月24日、悪意あるバージョン(v1.82.7およびv1.82.8)がPyPI上でわずか約40分間だけ公開されたが、この短い時間の間に自動デプロイ基盤を通じて急速に拡散し、AWS、NVIDIA、Cisco、Samsung、Salesforce、ServiceNow、Siemens、FedEx、Volkswagenなど大手企業を含む2,500近い組織のクラウド認証情報、SSH鍵、Kubernetesトークン、データベースパスワード、AIプロバイダーAPIキーなどが窃取された。セキュリティ企業CloudSEKは約434,000ファイル、Hudson Rockは153GBのアーカイブ(433,909ファイル、118,829件のCI runnerダンプ)を分析し、2,488のドメインに影響が及んだと結論づけている。ただしこれらの数値は確認された被害組織数ではなく、攻撃者が収集したログとファイルの規模を表す点には注意が必要だ。 Trivyハックとの関連 今回の攻撃はLiteLLMが直接狙われたものではない。攻撃者集団「TeamPCP」(Googleの追跡名ではUNC6780)は、まずAqua Securityが運営する脆弱性スキャナー「Trivy」を侵害し、3月19日には77個あるtrivy-actionのバージョンタグのうち76個と、setup-trivyの全7タグに悪意あるコミットを強制プッシュした。LiteLLMのCIパイプラインがこの汚染されたTrivyを自動的に取り込んだことで悪意あるコードがビルドシステムに侵入し、最終的に正規のリリースとしてPyPIに公開される結果となった。CloudSEKはこの経路を「Trivy、次にビルドシステム、そしてLiteLLMのリリース。失効しなかったトークン一つが、3つのツールを貫いた」と表現している。 技術的な詳細 侵害されたパッケージには多段階の認証情報窃取マルウェアが仕込まれていた。特にv1.82.8にはlitellm_init.pthという起動用ファイルが含まれており、Pythonインタプリタが起動時に処理する仕組みを悪用することで、LiteLLMを明示的にインポートしなくても悪意あるコードが実行される設計になっていた。この仕組みにより、パッケージが公開されていた短時間でも高い感染率を実現したとみられる。マルウェアは環境変数、AWS認証情報、Kubernetes設定を収集し、systemdサービスを通じて永続化する機能も備えていた。攻撃のタイムラインとしては、3月24日午前10時39分(UTC)に悪意あるバージョンが公開され、同日午前11時19分頃にPyPI側が隔離、3月26日にはCVE-2026-33634がCISAの既知悪用脆弱性(KEV)カタログに追加されている。 今後の対応と展望 セキュリティ企業各社は、影響を受けた可能性のある組織に対し、3月24日の監査ウィンドウ中に感染したインストールがないか確認し、LiteLLMがアクセスできた全てのシークレットを侵害済みとみなしてクラウドプラットフォーム、リポジトリ、SaaSシステム全体でローテーションすること、CIランナーの再構築、不審な.pthファイルや永続化の痕跡の調査、3月24日以降のログレビューを推奨している。FBIは「tpcp-docs」という命名パターンを持つリポジトリを侵害の指標として列挙しており、Hudson RockとCloudSEKはそれぞれ組織がドメインの影響有無を確認できるポータルを提供している。CloudSEKはAI基盤が「データ、アイデンティティ、計算資源、自律的なアクションが交差する高価値な結節点」であるとして、今後もAIインフラを狙った同種のサプライチェーン攻撃が増加する可能性を指摘している。