Security

概要 OpenAIは、ロシア発とみられる偽情報工作にChatGPTが悪用されていたとして、関連するアカウント群を特定し停止したと発表した。工作の中心にあったのは「International Burke Institute（IBI）」と称する架空のシンクタンクで、イスラエルに拠点を置くと偽って2025年2月に登録されていた。運営者はChatGPTにロシア語でプロンプトを与え、Substack、Telegram、X、Facebook、LinkedInなど複数のSNS向けに主に英語の投稿やコメントを生成させていた。OpenAIはロシアからの自社サービスへのアクセスを制限しているが、運営者はVPNを使ってこの制限を回避していたという。 手口と検出の経緯 IBIのウェブサイトには、フランシス・フクヤマやノーム・チョムスキーといった著名な学者の名を騙った記事が掲載されていたが、OpenAIが36本の関連記事を調査したところ、34本が他所からの盗用であり、一部は本来の専門分野と無関係な人物（オーストラリアの食品科学の教授に移民政策の論考を誤って帰属させるなど）に誤って紐付けられていたことが判明した。運営者はChatGPTに対し「文章から出自を示す特徴を取り除く」よう指示していたが、それでも英語表現の中にロシア語由来の直訳的な誤り(たとえば正しい英語表現の代わりにスラブ圏の交通信号になぞらえた「Svetofor coalition」という表現を使うなど)が残っており、これが人為的な痕跡として不自然さを露呈させる一因になったとみられる。工作にはロシアを好意的に描き、西側諸国やウクライナを批判する「主権指数(sovereignty index)」と呼ばれるコンテンツも含まれていた。 影響と今後の見通し OpenAIによれば、実際に拡散した投稿の多くはエンゲージメントが低く、関連するTelegramチャンネルのフォロワー数も1チャンネルあたり1万〜2万人程度にとどまるなど、キャンペーンの直接的な到達範囲は限定的だったとされる。しかしOpenAIは、この事案の重要性は実際に到達した規模の大きさではなく、AIツールが偽の専門性や制度的な信頼性を作り出し、より大規模な工作のための「インフラ」を構築する能力を持つ点にあると強調している。生成AIが国家関与とみられる偽情報工作の効率化に利用される事例が相次いで表面化する中、AI企業側に求められる検知・対応体制の在り方が改めて問われている。

概要 セキュリティ企業Cato Networksの調査により、AIコーディングツール「OpenAI Codex」を装った悪意あるキャンペーンが発覚した。「codex macos download」などの検索キーワードに対するスポンサー広告経由でユーザーを誘導し、Google Sites上に構築された偽のダウンロードページから、macOS向けに情報窃取型マルウェアを配布していたという。この広告は正規のOpenAI公式サイトの検索結果よりも上位に表示されるよう設定されており、AIコーディングツールを積極的に利用する開発者層を狙ったものとみられる。 「ClickFix」を悪用した手口 本キャンペーンは、被害者自身に感染操作を実行させる社会工学的手法「ClickFix」の応用形とされる。偽のダウンロードページはmacOS版・Linux版の選択肢を用意した本物そっくりのインストール画面を表示し、訪問者にTerminalアプリを開いて特定のコマンドを貼り付けて実行するよう指示する。一見正規のインストールコマンドに見えるが、実際にはBase64エンコードされたURLをデコードし、外部サーバーからシェルスクリプトを取得・実行する仕組みになっていた。 感染チェーンと検出回避の技術 取得されたシェルスクリプトは、まず「/api/metrics/run?event=pasted」というエンドポイントにコマンドが貼り付けられた旨をテレメトリとして送信したうえで、/tmp/helperにペイロードを段階的にダウンロードし、xattr -cコマンドでmacOSのGatekeeperが警告を出す根拠となる隔離属性（quarantine）メタデータを削除する。最終的に実行されるのはIntel・Apple Silicon両対応のユニバーサルMach-Oバイナリである。Cato Networksは、この挙動が情報窃取マルウェア「Atomic macOS Stealer（AMOS）」の既知の感染チェーンと強い類似性を持つと分析している。攻撃者はOSやアクセス経路を判定するゲートキーピング機構も実装しており、macOS以外のデバイスやセキュリティ研究者の自動分析環境からは無害な製品ページに見えるよう作り込まれていた。 拡大する標的とインフラ 調査では少なくとも3系統のインフラが確認されており、いずれも共通の初期誘導ページから接続する構成になっている（このうち1系統は、別の系統と同一のiframeホストを再利用していた）。この設計により攻撃者は、検索広告や誘導ページ自体を変更することなく、裏側の悪性コンテンツだけを差し替えられる。さらにCato Networksは、OpenAI Codexだけでなく、AnthropicのAIコーディングツール「Claude Code」を模した類似の着地ページを提供する関連インフラも発見しており、こちらはGoogle Sites以外のホスティングサービスを利用していたという。 今後の対策 研究者らは、信頼された検索広告枠、正規のホスティングサービス（Google Sites）、そして知名度の高い開発ツールブランドという「信頼の3要素」が組み合わさることで、マルウェア実行に至る説得力のある経路が成立してしまう点を注意喚起している。単一の指標だけでは検知が難しいため、スポンサー広告経由のトラフィック、埋め込みiframeコンテンツ、Terminalでの実行、外部への通信という複数の兆候を関連付けて検出する必要があると指摘した。

概要 台湾・基隆の検察当局は8月24日、NvidiaのハイエンドGPU「B300」を搭載したSuper Micro製AIサーバーを不正に中国へ輸出したとして、9人を起訴したと発表した。起訴された9人には、Nvidia台湾法人の従業員1人とSuper Micro台湾法人の従業員2人が含まれる。うち8人は背任罪と文書偽造罪、3人は横領罪でそれぞれ起訴されており、米国が主導する対中先端半導体輸出規制の実効性が改めて問われる事案となった。 輸出の手口 検察の調べによれば、被告らはB300サーバー計130台について、台湾の施設に設置すると偽った虚偽の「最終使用者」文書を作成し、実際にはインドネシアや日本、香港などの第三国・地域を経由させる形で中国の顧客へ迂回輸出しようとしていた。すでに74台は中国側の顧客に配送済みとされ、経路の内訳としてはインドネシア経由が50台、日本経由が8台などが確認されている。残る56台は日本企業向けとして輸出される予定だったが、台湾の税関当局が不審な取引を検知し、輸出前に差し止めた。 企業側の対応 Nvidiaは、関与が指摘された従業員について「顧客とともに真摯に取り組み、適用されるすべての法令の遵守を確保する強い動機がある」とコメントし、台湾当局が疑惑を早期に解決できるよう協力する意向を示した。Super Microも、台湾法人従業員2人の逮捕は自社が当局に協力した結果であると説明した上で、「自社は今回の捜査対象ではなく、不正行為で非難されているわけでもない」と強調し、企業としての関与を否定している。 背景と今後の影響 米国は2022年以降、国家安全保障上の懸念から先端AI半導体の対中輸出を段階的に規制してきたが、世界最大級の先端半導体生産拠点である台湾自体には、こうした迂回輸出行為を直接取り締まる専用の法律が存在しない。そのため台湾検察は今回、背任罪や文書偽造罪、横領罪といった既存の刑事法を適用する形で立件した。今回の事件は、輸出規制の網をすり抜けようとする迂回ルートが依然として存在し得ることを示すものであり、台湾当局が規制の抜け穴を塞ぐための法整備や監視体制の強化に動くかどうかが今後の焦点となる。

概要 米サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月24日、Oracle HTTP ServerおよびWebLogic Server Proxy Plug-inに存在する最大深刻度の脆弱性CVE-2026-21962を、既知の悪用脆弱性(KEV)カタログに追加した。CVSSスコアは満点の10.0で、認証なしでネットワーク経由から悪用可能。連邦文民行政機関(FCEB)に対しては、CISAが課す期限としては最短クラスとなる3日間、8月27日までのパッチ適用が義務付けられた。すでに実際の攻撃キャンペーンで悪用が確認されており、企業や組織は早急な対応が求められる。 脆弱性の詳細 CVE-2026-21962は「不適切なアクセス制御」(CWE-284)に分類される脆弱性で、影響を受けるのはOracle HTTP ServerとWebLogic Server Proxy Plug-in(バージョン12.2.1.4.0、14.1.1.0.0、14.1.2.0.0)。このプラグインはHTTPサーバーとWebLogicアプリケーションサーバーを連携させる役割を担うコンポーネントである。攻撃の複雑度は低く、認証情報を持たないリモート攻撃者でも悪用可能とされる。成功した場合、攻撃者は重要データの不正な作成・削除・改ざんを行えるほか、Oracle環境全体への広範なアクセスを獲得しうる。 CISAの対応と悪用の経緯 Oracleはこの脆弱性を2026年1月20日の定例セキュリティアップデートで開示し、同時に修正パッチを提供していた。しかし公開からまもない1月22日から2月3日にかけて、攻撃者による自動化されたスキャンツールを用いた広範な探索活動が観測されており、PoC(概念実証)エクスプロイトの公開後に攻撃が本格化したとみられる。SecurityWeekの報道によれば、中国系とみられる攻撃者グループが政府機関のインフラを標的にした事例も確認されている。 初期開示から約7か月が経過した8月24日、CISAはようやくこの脆弱性をKEVカタログに追加し、連邦機関に対して8月27日までという極めて短い期限でのパッチ適用を指示した。セキュリティ企業GreyNoiseとCloudSEKもそれぞれ独自に悪用活動を追跡しており、CloudSEKのハニーポットは、CVE-2026-21962を含む「悪用が容易で効果の高い脆弱性」を狙った継続的な攻撃キャンペーンを検出したと報告している。 背景と今後の対応 WebLogic Serverは以前から攻撃者に狙われやすいソフトウェアとして知られており、CISAのKEVカタログには関連する脆弱性がすでに12件以上登録されている。今回のCVE-2026-21962は、パッチが半年以上前から提供されていたにもかかわらず広範囲で悪用が続いていた点が問題視されており、パッチ適用の遅れが引き続き大規模な攻撃の温床となっている実態を浮き彫りにしている。連邦機関以外の組織であっても、影響を受けるバージョンのOracle HTTP ServerやWebLogic Server Proxy Plug-inを利用している場合は、速やかな更新プログラムの適用が強く推奨される。

概要 フィッシングキット「Mirage2FA」を用いたAiTM(Adversary-in-the-Middle)型の攻撃キャンペーンが、米国・欧州を中心に4,532の独立した組織メールドメインを標的にしていることが明らかになった。攻撃はMicrosoft 365の正規ログインフローを悪用し、ユーザーIDとパスワードだけでなく、二要素認証(2FA)コードやセッションCookieまで窃取する点が特徴だ。被害者が正規に多要素認証を完了させた直後にセッションを乗っ取られるため、従来のMFAによる防御が実質的に無効化されてしまう。 攻撃キャンペーンの規模 Mirage2FAは2024年から2026年にかけて活動が続いており、直近の調査では標的となった組織の63.7%が米国に集中していることが判明した。加えてインド、シンガポール、英国、カナダなど複数の国でも被害が確認されており、業種別では技術・製造・教育分野が主な標的となっている。研究データでは、クッキー窃取・パスワード窃取・SSOログイン・2FA回避といった9,000件以上の潜在的な侵害イベントが追跡されており、標的となったメールアドレスのうち48%が何らかの形で侵害された可能性があると推定されている。 技術的な手口 このキャンペーンの核心はAiTM手法にある。攻撃者はMicrosoft 365の本物そっくりのログインページを用意し、被害者が入力した認証情報をリアルタイムで中継しながら、多要素認証のプロセスもそのまま通過させる。この過程で認証済みのセッションCookieを盗み取ることで、パスワードや2FAコードを再入力させることなくアカウントへのアクセスを維持できてしまう。窃取したセッションを使えば、SSO(シングルサインオン)で連携された他の業務サービスにも横展開が可能になり、企業メールや社内ワークフロー、信頼された取引先アカウントへの不正アクセスにつながる。パスワードのリセットだけでは対処できず、セッションの無効化まで含めた対応が必要になる点が、通常のフィッシング被害よりも深刻とされている。 今後の見通し セッション窃取型の攻撃は、なりすましや詐欺、さらなる侵害の足がかりとして悪用されるおそれがあり、被害組織には取引先や顧客を巻き込んだ二次被害が波及する可能性もある。企業側には、MFAの導入だけに頼らず、条件付きアクセスポリシーやセッショントークンの継続的な検証、異常なログインパターンの監視といった多層的な防御体制の強化が求められている。

概要 オランダのデータ保護当局(Autoriteit Persoonsgegevens、AP)は、Uberがアルゴリズムによる自動判断でドライバーのアカウントを停止していた仕組みについてGDPR(EU一般データ保護規則)違反を認定し、約8億2500万ユーロ(約9億6600万ドル)の制裁金を科した。これはGDPR施行以来2番目に高額な制裁金で、過去最大はMeta社に科された12億ユーロの罰金となる。AP副会長のMonique Verdier氏は「コンピュータが独断で、これほど大きな影響を及ぼす決定を下すべきではない」と述べ、自動化システムのみによる重大な決定の危うさを強調した。 違反の内容 問題となったのは2020年から2022年にかけての運用で、Uberは不必要な迂回ルートの使用や乗車完了の意思がないと判断された場合など、不正の疑いがあるとされたドライバーに対して自動化システムでアカウントを停止していた。AP当局は、Uberが十分な警告や人間による監視を伴わずにこうした停止処分を下していた点を問題視し、「自動意思決定の対象とならない権利」および「被告知の権利」を侵害したと指摘した。GDPRは、生活に重大な影響を及ぼす自動化された意思決定については、人間による審査を経ることを義務付けている。 経緯 この事案は、2019年にアカウントを停止されたフランス人ドライバーのBrahim Ben Ali氏が声を上げたことに端を発する。同氏は他に約170人のドライバーから証言を集め、オランダで当局に訴えを提起した。今回の制裁金決定は、この申し立てを受けた調査の結果として下されたものである。 Uberの反応と今後の見通し Uberはこの決定に強く異議を唱えており、大多数のアカウント停止は一時的なものであり、永続的な停止に至る際には人間による審査を実施していると主張している。同社はまた、ドライバーには停止処分に対して異議を申し立てる機会が用意されているとも説明している。Uberは「この決定と、それに不均衡な罰金に強く反対する」との声明を出し、上訴する方針を明らかにした。一方、ドライバー支援団体PersonalData.io創設者のPaul-Olivier Dehaye氏は、補償を求める集団訴訟を計画しているとされる。欧州の規制当局による米国テック企業への大型制裁金は今後も続くとみられるが、長期にわたる上訴プロセスの中で罰金額が減額されたり、決定自体が覆される可能性も残されている。

概要 英紙テレグラフの報道により、イラン関連とみられるハッカー集団が2026年7月、英国の小規模発電施設に対するサイバー攻撃を実行し、施設を4日間にわたって停止させていたことが8月22日に明らかになった。当局は施設名を公表していないが、英国のエネルギーインフラに対してイラン系とされる攻撃者が初めて成功させた事例とみられ、「この種の攻撃としては最も成功したもの」と評されている。国全体の送電網への影響はなく、政府当局者は「全国的なエネルギーシステムへのリスクはなかった」と説明しているが、重要インフラが数日間にわたって機能停止した事実そのものが専門家の間で懸念を呼んでいる。 攻撃の詳細と施設の位置づけ 標的となったのは「送電網の容量と比べれば誤差の範囲」と形容されるほど小規模な発電施設で、被害の届け出が法的に義務付けられる基準を下回っていたとされる。英国の国家サイバーセキュリティセンター(NCSC、GCHQの一部)は報告を受けたものの、公式なコメントは出していない。専門家は、この攻撃が民間人への被害を意図したものというよりも、英国のインフラに随意にアクセスし停止させる能力を誇示する「概念実証(proof of concept)」的な性格が強いと分析している。攻撃の背後にはイラン革命防衛隊(IRGC)の関与が指摘されており、同組織は英国がロンドンから米国に対して「防御的」なサイバー作戦を許可したことを受け、「英国の拠点は正当な標的である」との警告を発していたという。 米国の水道インフラ攻撃との同時性 この発電施設への攻撃とほぼ同時期に、米国でもイラン系とみられるサイバー攻撃が発生していた。7月26日以降、ミネソタ、ミシガン、ジョージア、サウスダコタ、ニュージャージー、アラバマの各州にまたがる複数の下水処理施設が標的となり、浸水や水圧低下といった被害が発生した。FBIおよび米政府関係者はこれらの攻撃をイランの関与によるものとみている。米国は2023年にも、「CyberAv3ngers」と呼ばれるイラン系ハッカー集団が複数の重要インフラ分野で75台以上のデバイスを侵害したと指摘しており、イランによるインフラ攻撃はここ数年繰り返されてきた手口である。過去にはイランが関与したとされる2015年のトルコ大規模停電も引き合いに出されている。 専門家の見解と今後のリスク セキュリティ企業Huntressのムハンマド・ヤヒヤ・パテル氏は「重要なのは施設の規模ではなく、サイバー攻撃が4日間という実際の業務停止に発展した点だ」と指摘する。Dragos社のフィル・トンキン氏は、こうした攻撃が「大規模に展開可能な、極めて再現性の高い攻撃」であると警告し、Centrii社のラファエル・ナレッツィ氏は「英国にはエネルギーシステムを支える分散型の資産が数多く存在する」として、小規模施設の脆弱性が全体のリスクにつながりうると懸念を示した。一方でDragos社のCEOロバート・M・リー氏は、拙速な犯人特定に警鐘を鳴らし、偽旗作戦の可能性を含め、情報機関による慎重な帰属分析が必要だと述べている。イランは2026年2月に米国とイスラエルによる空爆が始まって以降、サイバー攻撃を活発化させており、ドイツ、ポーランド、フィンランド、ベルギー、アルバニアなども標的となった疑いがある。英国の内閣府報告書は、国内インフラへの深刻なサイバー攻撃が発生する確率を5〜25%と見積もっており、AIの発達が攻撃を「より速く、より安価に、技術的な参入障壁を下げる形で」可能にしていると警鐘を鳴らしている。NCSCは過去1年間で重要インフラに対する攻撃を200件以上処理したとしており、今回の一件は氷山の一角である可能性が指摘されている。

概要 セキュリティ企業Expelの研究チームは、Microsoft Teamsを悪用したフィッシングキャンペーンで拡散している新種マルウェア「SynkLoader」を発見した。攻撃者は対象企業のITヘルプデスクになりすましてMicrosoft Teams上で偽の通知を送り、「PowerShell Cleaner」と称する偽の実行ファイル（MSI形式）をインストールさせる。このファイルはMicrosoft Azure上でホストされており、正規のツールを装うことで被害者の警戒心を下げている。この手口自体は、Microsoftが年初から多段階攻撃の中で増加していると警告していた戦術と一致する。 技術的な詳細 SynkLoaderの特徴は、Python、PowerShell、C#、C++という複数のプログラミング言語を単一モジュール内で最大3つ組み合わせている点にある。偽インストーラーの実行後、PowerShellスクリプト「cleaner.ps1」、Pythonフレームワークを含むZIPアーカイブ、悪意あるPythonスクリプト、偽のMicrosoftランタイムDLLなどが展開される。 マルウェアは複数の機能モジュールで構成されており、中でも最も危険とされるのが「PhishLocker」だ。偽のWindows 11ロック画面を全画面表示してユーザーにログイン情報を入力させ、認証情報を窃取する。ただし、これは単なるフルスクリーンアプリケーションであるため、Alt+Tabキーを押すと背後のウィンドウが露出し、偽物であることが判明する。 このほかにも、ホスト名やユーザー名、実行中プロセス、Active Directory情報を収集する「システムプロファイラー」、ランダムな名前のスケジュール済みタスクを作成する永続化機能、内部ネットワークへのアクセスを可能にする「トラフィックリダイレクター（リバースプロキシ）」、PowerShellコマンドを実行できるインタラクティブシェル（RAT）、そしてVNCによるデスクトップ配信・遠隔操作を行う「StreamMaster」など、多岐にわたるモジュールが確認されている。PhishLockerで窃取した認証情報とトラフィックリダイレクターを組み合わせることで、攻撃者はIPホワイトリストによる制限を回避し、社内ネットワークへ侵入できるようになるという。 攻撃者の意図と検出の背景 セキュリティ研究者のMarcus Hutchins氏は、SynkLoaderがActive Directory環境の規模測定に注力していることから、ランサムウェア攻撃活動に使用されている可能性が高いと指摘している。Expelの研究者はハニーポット環境を構築し、あえて攻撃者のC2サーバーに接続することで、これら複数のモジュールの機能を確認した。マルウェアは2026年7月28日頃に初めてコンパイル・配布されたとみられている。また、感染ごとにモジュールのハッシュ値が一意になるよう作られているため、従来のハッシュベースの検出手法では防御が難しいという課題も指摘されている。 推奨される対策 Expelは、IT部門を名乗る依頼を受けた場合はTeams以外の独立したチャネルで真正性を確認すること、未承認のMSIファイルのインストールを避けること、ロック画面が表示された際はCtrl+Alt+DeleteキーやAlt+Tabキーを押して本物のWindowsロック画面かどうかを確認することを推奨している。Microsoft Teamsのような業務用コラボレーションツールを悪用したソーシャルエンジニアリング攻撃は今後も増加が見込まれ、組織にはツールの正規機能だけでなく、こうしたなりすまし攻撃への警戒も求められる。

概要 WordPressの人気フォーム作成プラグイン「Everest Forms」に、CVSSスコア9.8(緊急)と評価される重大な脆弱性(CVE-2026-19598)が発見された。認証を必要とせずに任意のファイルをアップロードできる不備で、攻撃者はPHPで書かれたウェブシェルをサーバー上に設置し、コマンド実行やファイル閲覧、データベースの窃取、サイトの改ざんなど、サイトを完全に乗っ取ることが可能になる。Everest Formsは10万件以上のWordPressサイトで利用されており、影響範囲は広い。この脆弱性はセキュリティ企業Wordfenceによって報告された。 技術的な詳細 脆弱性の原因は、プラグイン内の「EVF_Form_Fields_Upload」クラスにおけるファイルアップロード処理ロジックにある。ファイルの種類やアップロード先パスに対する検証が不十分なため、本来許可されるべきでないPHPスクリプトなどのファイルもアップロードできてしまう。この欠陥を突かれると、攻撃者は認証なしでサーバー上にウェブシェルを設置でき、そこを足がかりにサイトの完全な制御権を奪うことができる。影響を受けるのはバージョン3.0.9.5より前のすべてのEverest Formsで、開発元はすでに3.0.9.5でこの問題を修正している。 推奨される対策 サイト管理者は直ちにEverest Formsをバージョン3.0.9.5以降にアップデートすることが強く推奨される。即座のアップデートが難しい場合は、特に公開フォームでファイルアップロード機能を利用しているサイトを中心に、プラグイン自体を一時的に無効化する対応も有効とされる。加えて、すでに侵害を受けた可能性がある場合に備え、管理者アカウントの一覧、PHPファイルの改変有無、サーバーログを確認し、不審な点があれば全ての認証情報をリセットすることが呼びかけられている。認証不要で悪用可能かつCVSS 9.8という深刻度の高さから、対象プラグインを利用しているサイトでは優先度の高い対応が求められる。

概要 オープンソースのID・アクセス管理サーバーKeycloakにおいて、未認証の攻撃者が任意のユーザーアカウントを乗っ取れる重大な脆弱性CVE-2026-18963(CVSS 9.1)が発見された。対象ユーザーのユーザー名またはメールアドレスさえ知っていれば、メール経由の本人確認を経ずにパスワードを新しい値に書き換えられてしまうもので、管理者アカウントを含むあらゆるアカウントが標的になり得る。この脆弱性はJames Paremain氏によって報告され、Red Hatは2026年8月18日にCVEアドバイザリと修正パッチを公開した。修正版であるKeycloak 26.7.2(および26.4.15、26.6.6へのバックポート)が2026年8月19日にリリースされており、影響を受ける環境では早急なアップデートが求められている。8月24日時点で公開されている悪用コードは確認されていないが、CVSSスコアの高さから優先度の高い対応が推奨されている。 技術的な詳細 脆弱性の根本原因は、/realms/{realm}/login-actions/reset-credentialsエンドポイントを中心とするパスワードリセットフロー内の「ステップ順序の検証不備」にある。本来Keycloakのパスワードリセットは、ユーザーがメールで送られる署名付きアクショントークン(verify-emailステップ)を経由してメールの所有権を証明した後にのみ、新しいパスワードの設定に進める設計になっている。しかし今回の欠陥では、認証セッションの中間状態が十分な検証なしに信頼されており、攻撃者が細工したリクエストを送ることで、このメール確認ステップを経ずに認証セッションをパスワード更新フェーズへ直接遷移させることができてしまう。CWE-640(脆弱なパスワード回復メカニズム)に分類されるこの欠陥は、CVSSベクター AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N が示す通り、ネットワーク経由・低い攻撃条件・権限不要・ユーザー操作不要で悪用可能であり、攻撃の再現性が非常に高い点が特に深刻とされている。 対応状況と推奨される対策 Red Hatはこの問題に対し、RHSA-2026:56519、56520、56523、56524の各セキュリティアドバイザリを通じて修正パッケージを提供している。ただちにパッチを適用できない環境向けの緩和策としては、管理コンソールの「Realm settings → Login → Forgot password」から全レルムで「パスワードを忘れた場合」機能を無効化する方法が案内されている。加えて、パッチ適用後には特権アカウントのパスワードを強制的にリセットすること、また認証ログを精査しVERIFY_EMAILイベントを伴わないUPDATE_PASSWORDイベントがないか確認することも推奨されている。パスワードリセット機能はIDプロバイダの中核をなす機能であるだけに、今回のような認証フロー自体の設計不備は影響範囲が広く、Keycloakを利用する組織は自社の実装状況を速やかに確認する必要がある。