Security

概要 ノルウェーの行政デジタル化庁(Digdir)が運用する共通デジタル基盤が8月25日午前3時38分(現地時間)、大規模な分散型サービス拒否(DDoS)攻撃を受け、電子認証・電子署名を含む約10の政府サービスに障害が発生した。影響を受けたのは、公共サービスへのログイン、電子ID・電子署名の発行、セキュアな電子メール、行政フォーム、省庁間のデータ連携基盤など。ID-portenやeSigneringといった中核サービスは断続的にアクセス困難な状態が続き、これらの基盤に依存する行政ポータルAltinnや税務当局Skatteetatenのサービスにも波及した。一部のサービスでは短時間の完全停止も発生し、利用者は接続エラーや応答の遅延、ログイン処理の長時間化に見舞われた。 攻撃の帰属と当局の対応 犯行声明を出した組織や個人は今のところ確認されておらず、公式な攻撃主体の特定には至っていない。ノルウェー国内メディアはロシアの関与の可能性を推測して報じているが、これは憶測の域を出ておらず、裏付けとなる証拠は示されていない。基盤の運用を担うDigdirの長官Frode Danielsen氏は、調査の結果、組織のシステムに対するセキュリティ侵害や個人データの漏えいを示す兆候は確認されていないと説明した。同庁はノルウェー国家安全保障局(NSM)およびデータ保護当局(Datatilsynet)に事案を通報しており、外部委託先のVivicta社とも連携して対応にあたっている。 繰り返される攻撃という文脈 今回の攻撃は、Digdirが標的となった直近数か月で3回目のDDoS攻撃だという。政府機関の共通認証基盤や行政ポータルのような、多数の公共サービスが依存する中核インフラが繰り返し狙われている実態は、単発的な妨害というより、国家機関のデジタル基盤に対する持続的な圧力の一環である可能性を示唆する。個人データの流出には至らなかったとはいえ、電子認証や電子署名といった機能は税務申告や行政手続きなど市民生活に直結するサービスの入り口であり、その一時停止は実害を伴う。欧州各国の政府機関を狙ったサイバー攻撃が続く中、可用性の確保とインシデント対応の迅速な公表体制が、今後も重要な論点となりそうだ。

概要 医療機器大手のBoston Scientificは8月25日、サイバー攻撃を検知したことを明らかにした。翌26日にはSECへの開示文書で、この攻撃が「同社の情報システムおよび業務アプリケーションへのアクセスに障害と制限を引き起こし、今後も引き起こす見込みである」と説明し、注文処理や顧客への出荷ができない状態にあると報告した。同社はサードパーティのサイバーセキュリティ専門家を起用してインシデント対応にあたっているが、攻撃の全容や手口、財務・業務への影響、システム復旧の見通しは依然として不明としている。ペースメーカーや植込み型除細動器などを手がけるBoston Scientificは、59,000人の従業員を擁し127カ国13拠点で製造を行う企業で、年間およそ4,800万人の患者に関わる製品を提供しており、2025年の売上高は200億ドルを超える。患者データが流出したかどうかについて、広報担当者はコメントを避けている。 業務への影響と株価反応 Boston Scientificは企業インフラの多くをMicrosoftおよびAmazon Web Servicesに依存しているが、今回の攻撃がこれらのサービスに起因するかは明らかになっていない。業務アプリケーションへのアクセス制限は世界規模で発生し、これにより受注処理と顧客向けの出荷が停止している。開示を受けてBoston Scientificの株価は当日朝に4%超下落しており、投資家が業務継続性と財務への影響を懸念していることがうかがえる。ランサムウェアによる攻撃かどうか、また実際にデータが窃取されたかについて同社は明言しておらず、記事執筆時点でいずれの脅威アクターも犯行声明を出していない。 医療機器業界を狙う攻撃の連鎖 Boston Scientificへの攻撃は、医療機器メーカーを標的にした一連の事案の最新例だ。2026年3月にはStrykerがグローバルなネットワーク障害に見舞われ、イラン情報機関とつながりを持つとされるハッカー集団がMicrosoftのツールを悪用して数万台のデバイスをリモートで削除した事案が確認されている。また4月にはMedtronicがサイバー攻撃を公表し、その後ShinyHuntersが犯行を主張、氏名や社会保障番号、健康情報を含む患者データを窃取したとしている。Abbott Laboratoriesも本年標的となった企業の一つに数えられており、医療機器業界全体でサイバー攻撃のリスクが高まっていることを示している。Boston Scientificの復旧時期は現時点で明らかになっておらず、被害の全容が判明するまで業務への影響が続く可能性がある。

概要 OSSのGitホスティングサービスGiteaにおける重大な脆弱性CVE-2026-60004（CVSS 9.8）が実際に悪用されていることが確認され、CISA(米サイバーセキュリティ・インフラセキュリティ庁)は2026年8月25日、これを既知悪用脆弱性(KEV)カタログに追加した。脆弱性はGiteaのdiffpatch APIエンドポイントに存在し、リポジトリへの書き込み権限を持つ攻撃者が不正なパッチを送信することで、リポジトリ制御下のコンテンツから実行可能なGitフックをインストール・実行させ、Giteaサービスアカウント(OSユーザー)の権限で任意のシェルコマンドを実行できる。脆弱性を発見・報告したのはSalesforceのセキュリティ研究者Shai Rod(NightRang3r)氏で、GHSA-rcr6-4jqh-j84mとしても追跡されている。 悪用の手口と実際の被害 本来は認証済みでリポジトリへの書き込み権限を持つユーザーが前提となる脆弱性だが、Giteaはデフォルトで自己登録(セルフサインアップ)が有効になっているため、未認証の攻撃者でもアカウントを作成し、リポジトリを作って攻撃を仕掛けることが可能だ。DISABLE_REGISTRATION=false、REGISTER_EMAIL_CONFIRM=false、ENABLE_OPENID_SIGNUP=true、REQUIRE_SIGNIN_VIEW=falseといった設定が有効な場合に特に悪用が容易になるという。 実際に、セキュリティ研究者Andrey(@Causelof)氏が運用する自己ホスト型Giteaインスタンスが自動スキャナーによって侵害された事例が報告されている。攻撃はアカウント登録からリポジトリ作成、Gitフックを介したエクスプロイトの発火までわずか11秒で完了し、Dockerコンテナ内でgitユーザーとして実行された。侵入後のドロッパースクリプトはLD_PRELOADやLD_LIBRARY_PATHといった環境変数を消去し、高CPU使用率のプロセスを探索したうえでアーキテクチャに応じたペイロードをダウンロード、競合するプロセスを停止させてから暗号資産マイニングソフトウェアを実行した。この結果、CPU使用率が70%を超えて急上昇し、ホスティング事業者の利用規約に抵触する事態となった。 影響範囲と対応 脆弱性の影響を受けるのはGitea 1.17から1.27.0までのバージョンで、2026年7月27日にリリースされたv1.27.1で修正された。最新版はv1.27.2。侵害が成立した場合、分離レベルによっては設定ファイルやアプリケーションのシークレット、データベース認証情報、OAuth認証情報などが露出する可能性がある。現在も約5,000台のGiteaインスタンスがインターネットに公開されたままとなっており、このうち本脆弱性の影響を受ける台数は明らかになっていない。 CISAは拘束的運用指令(BOD)26-04に基づき、米連邦文民行政機関に対し2026年8月28日までのパッチ適用を義務付けた。なお、Giteaでは2026年7月にもリバースプロキシ設定を狙った別の重大な認証バイパス脆弱性CVE-2026-20896が実際に悪用されており、今回で立て続けの被害となる。管理者はv1.27.2以降へのアップグレードに加え、自己登録機能の無効化やサーバーの侵害有無の確認を急ぐ必要がある。

概要 CERT/CCは8月25日、Kalturaが配布するHTML5動画プレーヤーライブラリ「mwEmbed」(html5lib)に存在する未修正の重大脆弱性CVE-2026-19912(CVSS 10.0)およびCVE-2026-19913(CVSS 9.1)を公表した。いずれも認証なしでネットワーク経由での悪用が可能で、前者はリモートコード実行、後者はサーバー上の任意ファイル読み取りにつながる。研究者は2026年3月23日に脆弱性を報告し、CERT/CCも7月8日にKaltura社への通知を試みたが、同社からの応答は一切得られておらず、パッチが提供されないまま技術的詳細が公開される事態となった。影響を受けるのはhtml5lib v2.45、v2.103をはじめとするv2.x系のリリースで、個別導入環境だけでなくKalturaの共有CDNインフラを利用する複数テナントにも影響が及ぶ可能性がある。 技術的な詳細 両脆弱性の根本原因は、mwEmbedLoader.phpエンドポイントがユーザー制御のServiceUrlパラメータをPHPのunserialize()関数で検証なしに処理している点にある。CVE-2026-19913では、ServiceUrlにfile://形式のパスを指定することで、サーバーが本来意図するAPIレスポンスの代わりにローカルファイルを読み込んでしまう。逆シリアル化に失敗した際のエラーメッセージにファイルの生の内容がそのまま反映されるため、攻撃者はこれを利用してファイル内容を窃取できる。研究者はこの手法により/opt/kaltura/app/configurations/local.iniを取得し、データベース接続文字列や管理者/コンソールのパスワード、内部ホスト情報を入手できたことを実証している。 より深刻なCVE-2026-19912では、ServiceUrl経由で悪意あるシリアル化済みPHPオブジェクトを送り込むことに加え、uiconf_idパラメータのサニタイズ不備を突いたディレクトリトラバーサル(../など)によって、Web公開されているキャッシュディレクトリ配下に任意のペイロードを書き込める。書き込まれたファイルはWebサーバーの実行権限でそのまま実行されるため、リモートコード実行が成立する。この攻撃はファイルベースのキャッシュバックエンド(Kalturaのデフォルト構成)を前提とする。研究者のGerjan Wemekamp氏は、2019年のKaltura Serverの Dockerイメージを対象にエンドツーエンドのWebシェル設置を実証したとしつつ、両方の攻撃チェーンが現行リリースにも残存していることを確認したと述べている。 対応状況と推奨される緩和策 CERT/CCは脆弱性情報のステータスを「Unknown」とし、Kalturaからの公式声明は現時点で受領していないと明記している。パッチが提供されるまでの間、CERT/CCおよび報告者はいくつかの緩和策を提示している。具体的には、WAFやCDN側でmwEmbedLoader.phpエンドポイントへの外部アクセスを遮断または無効化すること、ServiceUrlパラメータを正規のAPIホストのみに限定するホワイトリスト運用とすること、uiconf_idにディレクトリトラバーサルを示す値が含まれる場合は拒否すること、キャッシュディレクトリ内でのPHP実行を禁止すること、そして万一侵害の可能性がある場合は設定ファイルに含まれる認証情報をすべてローテーションすることが挙げられている。mwEmbedを組み込んだサイトは多数に上るとみられ、パッチ未提供のまま詳細が公開されたことで、悪用リスクは当面続くとみられる。

概要 Oasis Securityは、NVIDIAが開発するローカルAIエージェント基盤「NemoClaw」に、悪意あるWebページを閲覧するだけでローカルのAIモデルが汚染されてしまう脆弱性(CVE-2026-65105)を発見したと発表した。NemoClawはバックエンドとしてOllamaサーバーを起動するが、その際に環境変数OLLAMA_HOST=0.0.0.0:11434を設定し、認証なしで全ネットワークインターフェースに待ち受けさせてしまう。これにより攻撃者は、ユーザーが悪意あるサイトを開いただけでローカルのOllamaサーバーに到達し、AIエージェントの応答内容を裏側から書き換えられる状態になっていた。発見したOasis Securityの研究責任者Elad Luz氏は、この問題を「誰もが見ることができるガードレールの下の層に位置し、検出が非常に困難な完全性問題を引き起こす」と説明している。 攻撃の仕組み 攻撃の核心はDNSリバインディングによるブラウザの同一オリジンポリシー回避にある。Ollamaはループバックアドレス以外にバインドされている場合、Host/Originヘッダーの検証をスキップし、CORSも攻撃者のドメインを同一オリジンとして扱ってしまう。この隙を突いて悪意あるWebサイトがブラウザ経由でlocalhostのOllama APIにアクセスし、モデル作成用の/api/createエンドポイントを呼び出してGoテンプレートを改ざんする。このテンプレートは、構造化されたメッセージを生の推論用テキストへと変換する処理を担っており、汚染されたテンプレートはすべてのシステムメッセージに攻撃者が仕込んだ指示文を追記するようになる。結果として、脆弱性をコードにこっそり挿入する、既存のセキュリティ問題を隠蔽する、あるいは会話内容を外部に送信するといった指示をAIエージェントに強制できてしまう。さらに厄介なのは、この汚染が会話をリセットしても、あるいは新しいチャットを開いても消えない点で、同一ネットワーク内の他のデバイスからもアクセスされ得ることだ。 対応状況と今後の見通し Oasis SecurityはNVIDIA PSIRTに事前に報告し、協調的な脆弱性開示のプロセスを経て、NVIDIAは既に更新版を公開している。ただし修正状況にはプラットフォーム差があり、macOSおよびLinux向けはバージョン0.0.35で修正済みだが、WindowsおよびWSL環境では根本修正がまだ行われておらず、バージョン0.0.34では警告表示が追加されたのみとされる。また8月10日リリースのバージョン0.0.106ではデフォルトの挙動としてループバック以外へのバインドを拒否するチェックが追加されたが、Windows環境の脆弱性自体は依然として残っている。現時点でCVE-2026-65105の実際の悪用は報告されていない。専門家は、Ollamaを認証付きプロキシの背後に配置してループバック経由でのみアクセスさせ、Hostヘッダーをホワイトリスト方式で検証するといった対策を推奨している。同様のチャットテンプレート汚染はPaperclipやOpenClawといった他のAIエージェント基盤でも過去に確認されており、モデル自体ではなく、その周辺のネットワーク配線やAPI設計にこそリスクが潜んでいるという指摘が広がっている。

概要 Googleは2026年8月26日、Chromeの安定版チャンネルをバージョン152.0.7977.64(Windows/macOSでは.65も併記)にアップデートし、Windows・macOS・Linuxの全プラットフォーム向けに配信を開始した。今回のリリースでは合計327件のセキュリティ修正が行われ、そのうち10件がGoogleの深刻度分類で「重大(Critical)」に指定されている。修正のほとんどはメモリ安全性に関する問題で、特にuse-after-free(解放済みメモリの使用)の脆弱性が目立つ。修正された327件のうち299件はGoogle社内のセキュリティチームによって発見されたもので、外部からの報告を受けての修正は一部にとどまる。 重大な脆弱性の詳細 重大と評価された10件の脆弱性は、ANGLE、Aura、Chromecast、Views、Safe Browsing、モバイル関連コンポーネントなど、Chromeの広範な機能にまたがっている。代表的なものとして、グラフィックス描画エンジンANGLEにおけるuse-after-free脆弱性(CVE-2026-79282)があり、悪意のあるWebページが特別に細工したグラフィックスやWebGLデータを用いることで悪用できる可能性があるとされる。この脆弱性を報告したセキュリティ研究者Goodluck氏には25,000ドルの報奨金が支払われた。そのほか、AuraでのCVE-2026-79290・CVE-2026-79052・CVE-2026-79200、ChromecastでのCVE-2026-79054・CVE-2026-79121(不適切な入力検証)・CVE-2026-79224、ViewsでのCVE-2026-79150、モバイル向けのCVE-2026-78935(未初期化変数)、Safe BrowsingでのCVE-2026-79012など、複数のコンポーネントで同種のメモリ関連の欠陥が発見・修正されている。 背景と今後の対応 Googleは慣例として、大多数のユーザーが更新を適用するまでの間、脆弱性の技術的な詳細やエクスプロイトへのリンクへのアクセスを制限する方針を取っている。今回のリリースについても、現時点で積極的な悪用(in-the-wild exploitation)の報告はないとされているが、use-after-free系の脆弱性はブラウザの任意コード実行につながりやすいため、リスクは軽視できない。Chromeは通常バックグラウンドで自動更新されるが、ユーザーは念のため「Chromeの設定」→「Chromeについて」からバージョンを確認し、最新版への更新を確認することが推奨される。

概要 Next.jsチームは8月25日、Active LTS系列のv16.3.3とMaintenance LTS系列のv15.5.24をリリースし、深刻度「Critical」の脆弱性を2件修正した。1件目は画像最適化APIがAVIF画像を処理する際に、内部で利用するsharpライブラリの依存先であるlibheifの脆弱性（GHSA-g89c-p67h-r497）を突かれることで、未認証のリモートコード実行が可能になるというもの（Next.js側の識別子はGHSA-2xp9-vwfh-vxw4）。2件目はPages RouterとApp Routerを併用し、かつCache Componentsを使用していないアプリケーションをWindows上のファイルシステムでホストしている場合に、未認証のRCEが成立するというもの（CVE-2026-75604 / GHSA-p293-qw3h-jr36）。後者はLinuxおよびmacOS環境では発生せず、既知の回避策も存在しないため、該当するWindows環境のユーザーは早急なアップデートが求められる。 Next.jsチームは5日前の8月20日に今回のリリース予告を行っていたが、公開当日に追加のCritical脆弱性を新たに特定したことを受けてリリース時期を前倒ししたと説明している。 技術的な詳細 AVIF関連の脆弱性は、Next.jsの画像最適化APIが攻撃者の制御下にあるAVIF画像を処理する過程で、依存ライブラリsharpが利用するlibheifのデコード処理に起因する欠陥を突かれることで発生する。上流のlibheif側での修正が完全に行き渡るまでの措置として、パッチ適用版のNext.jsではAVIF画像の最適化処理自体を無効化する対応が取られている。つまり、AVIF画像はそのままの形で配信され、脆弱性のある処理経路を通過しなくなる。 Windows関連の脆弱性は、Pages RouterとApp Routerの両方を組み合わせて使用し、かつCache Componentsを有効化していない構成のアプリケーションが対象となる。Next.jsサーバーがWindowsのファイルシステム上で動作している場合にRCEへとつながる可能性があり、Linux・macOS環境は影響を受けない。回避策が存在しないため、該当環境の運用者はアップデート以外に有効な対処手段がない。 修正版へのアップデートは以下のコマンドで行える。 npm install next@15.5.24 # 15.5系の場合 npm install next@16.3.3 # 16.3系の場合 Vercelでのホスティングへの影響 Vercelは自社プラットフォーム上にホストされているNext.jsアプリケーションについて、両脆弱性から既に保護されていると発表した。同社によれば、ユーザー側でのアップグレードや設定変更、再デプロイは一切不要だという。AVIF関連の脆弱性については、Vercelの画像最適化サービス全体でAVIF最適化処理をあらかじめ無効化しており、悪意のあるAVIFファイルが送られてきても脆弱な処理経路を通らずそのまま配信される。Windows関連の脆弱性についても、Vercelのランタイムは元々Linux上で稼働しているため影響を受けない。一方で自前でホスティングしている運用者は、この保護の恩恵を受けられないため、速やかにNext.js 15.5.24または16.3.3へのアップグレードが必要となる。 Next.jsチームは、こうした脆弱性の発見と対応がVercelのオープンソースバグバウンティプログラムを通じた研究者との協力によるものだとしており、セキュリティ体制の強化を継続する姿勢を示している。

概要 OpenSSLプロジェクトは、暗号ライブラリの最新版となる4.0.2をリリースした。前バージョンの4.0.1から約2.5カ月というタイトな間隔での公開であり、CMS(Cryptographic Message Syntax)、DTLS、QUIC、OCSP、CMPという複数のコアコンポーネントにまたがる脆弱性を修正する内容となっている。深刻度の高いヒープバッファオーバーフローやダブルフリー、メモリ枯渇を引き起こす不具合が含まれており、TLS/DTLS/QUIC通信や証明書管理機能を利用する幅広いシステムに影響する可能性がある。プロジェクトは4.0系と並行して保守されている3.xブランチ(3.6.4、3.5.8、3.4.7、3.0.22)にも同時にセキュリティパッチを適用しており、旧バージョンを使い続けている利用者にも速やかな更新が推奨される。 技術的な詳細 今回修正された脆弱性のうち、CMSの鍵アンラップ処理に存在する「CVE-2026-63072」はヒープバッファオーバーフローを引き起こすもので、細工されたCMSメッセージの処理時に発生する。DTLSでは「CVE-2026-54874」としてレコードバッファリング処理における過剰なメモリ消費が指摘されており、サービス拒否につながりうる。OCSPクライアント側にはレスポンス検証時にメモリリークが生じる「CVE-2026-54876」が見つかっている。 CMP(Certificate Management Protocol)関連では、細工されたprotectionAlgパラメータによって無効なポインタ参照が発生する「CVE-2026-63076」に加え、信頼されていない送信者DNのフォーマット文字列に起因する脆弱性、そしてextraCertsキャッシュが際限なく肥大化する不具合の3件が修正された。 最も件数が多いのがQUICプロトコル関連で、サーバー側の受信チャネルキューでメモリが無制限に増加する「CVE-2026-14456」、INITIALパケット処理時のダブルフリーである「CVE-2026-18798」、ACKのみのパケットによるメモリ枯渇の3件が報告されている。このほか、RPK(Raw Public Key)証明書の処理に関する不具合、EVP_Cipher()を用いた空の暗号文によるAEAD偽造の可能性、CCMモードのAEAD暗号における認証タグ検証の不備も併せて修正されている。 今後の対応 OpenSSLはTLS/SSL通信の基盤として非常に広範なソフトウェアに組み込まれているため、今回のようにQUICやCMPを含む複数プロトコルにまたがる修正がまとめてリリースされるケースでは、利用側のシステムでの影響範囲確認と迅速なアップデートが重要になる。4.0系だけでなく3.6系・3.5系・3.4系・3.0系という4つの保守ブランチに同時にパッチが提供されている点からも、プロジェクト側が旧バージョン利用者を含めた広範な対応を重視していることがうかがえる。各ディストリビューションやクラウドベンダーによるパッケージ更新の追随状況にも注目したい。

概要 国際刑事警察機構(Interpol)は、22カ国の法執行機関が参加した国際作戦「Operation Jackal IV」の結果を発表し、西アフリカ発の犯罪ネットワークに関与した容疑者263人を特定、58人を逮捕したと明らかにした。2025年11月から2026年6月にかけて実施された本作戦は、ナイジェリア人主導の犯罪組織「Black Axe」を主な標的とし、イタリア、アルゼンチン、南アフリカ、ルーマニアなど複数の国・地域で摘発活動が展開された。Black Axeは高度に組織化された階層構造を持ち、世界各国で小規模な詐欺行為を分散して実行することで、年間数十億ドル規模の犯罪収益を上げているとされる。 犯罪の手口と摘発の詳細 今回の作戦で明らかになった手口は多岐にわたる。ロマンス詐欺や暗号資産・投資詐欺、ビジネスメール詐欺(BEC)といった従来型の金融犯罪に加え、車両の密輸、シェル企業を利用したマネーロンダリング、さらには14歳前後の未成年者を標的にした「セクストーション(性的搾取・恐喝)」まで確認された。アルゼンチンでは、詐欺グループにドメインやマネーロンダリング支援を提供する「Crime-as-a-Service」型のインフラを運営していたとして17人が拘束され、196人がこのネットワークに関連付けられた。南アフリカではロマンス詐欺・投資詐欺の実行犯39人が摘発されたほか、ルーマニアでは暗号資産を利用した投資詐欺のコールセンター関係者11人が逮捕された。イタリアでは、シェル企業を介した汎欧州規模の資金洗浄ネットワークが摘発されている。 押収資産と成果 各国での資産凍結・押収も大きな成果として報告されている。南アフリカでは約267万ドルを差し押さえ、257の銀行口座を凍結した。ルーマニアでは現金・暗号資産合わせて約37万9,000ドルを押収したほか、電子ウォレットで管理されていた盗難・資金洗浄関連の資金として約1億6,600万ドル相当が特定された。イタリアでは560件の取引を通じて動かされた84万5,000ユーロの資金の流れが解明されている。Interpolの金融犯罪局長は、「不正な資金の流れを国境を越えて追跡することで、組織犯罪の生命線そのものに打撃を与えている」とコメントし、資金の追跡が組織の中枢に迫る手段になっていると強調した。 背景と今後の展望 Black Axeは2021年以降、米国をはじめとする各国の法執行機関から継続的に捜査対象とされてきた組織で、Operation Jackalシリーズは過去にも複数回実施されている。2024年の前回作戦では300人以上が逮捕され、約300万ドルが押収、720の口座が凍結されるなど、今回を上回る規模の摘発が行われた実績がある。西アフリカ発の組織犯罪ネットワークは分散型の実行体制と国際的な資金洗浄インフラを組み合わせることで摘発を逃れやすい構造を持っており、Interpolは各国の連携を継続することで、こうした国境を越えた犯罪エコシステムの解体を今後も進める方針とみられる。

概要 WordPress向けのSAML 2.0シングルサインオン(SSO)プラグイン「miniOrange SAML」に存在する2件の未認証認証バイパス脆弱性が、実際の攻撃者に悪用されていることが明らかになった。DigitalOceanのセキュリティチームが、信頼できないネットワークから発生した不審なWordPress管理者セッションの試行を検出したことで発覚した。攻撃者はすでにこの脆弱性を利用して管理者セッションクッキーを取得していたが、DigitalOcean側の信頼できるネットワークに関する制限によって実害には至らなかったという。 技術的な詳細 悪用されている脆弱性は2つで、いずれもStandard版で修正されている。1つはCVE-2026-61979(CVSS 8.1)で、署名アルゴリズムの混同により未認証のまま権限を昇格できる欠陥であり、バージョン17.0.5で修正済みだ。もう1つはCVE-2026-15981(CVSS 9.8)で、不正な署名を正当なものとして受け入れてしまう認証バイパスの欠陥であり、バージョン17.0.6で修正されている。 根本原因は、署名検証を担うmo_saml_validate_signature()関数の実装にある。この関数はPHPのopenssl_verify()が返す3値の整数(検証成功で1、失敗で0、エラーで-1)を適切に扱っておらず、エラーを示す戻り値-1を真(検証成功)と誤って評価してしまう。この結果、細工されたSAMLレスポンスや不正な署名であっても認証を通過させてしまい、攻撃者が任意のユーザー、特に管理者としてログインできる状態が生まれていた。 悪用の実態 攻撃者は複数のIPアドレス(207.211.214.41、79.127.224.14、102.91.71.83、162.243.116.148、84.201.6.54、64.225.25.188など)から機会的なスキャンを行っており、特定の組織を狙い撃ちにするのではなく、このプラグインを導入しているサイト全般を無差別に対象としているとみられる。概念実証(PoC)コードがすでに公開されていることも、悪用リスクを大幅に押し上げている要因となっている。 今後の対応 miniOrange SAMLプラグインを利用しているWordPressサイトの管理者は、Standard版17.0.6以降への即時アップデートが強く推奨される。PoCの公開により攻撃の裾野が広がっていることから、パッチ未適用の環境は早急な対応が必要だ。あわせて、管理者セッションログの確認や、信頼できないネットワークからのアクセス制限といった追加的な防御策も有効な対策となる。