Security

概要 広く使われているオープンソースのWebキャッシュプロキシ「Squid」に、1997年から存在していた脆弱性「Squidbleed」（CVE-2026-47729）が2026年6月22日に公開された。CVSSスコアは6.5（中程度）で、ヒープオーバーリードによって同一プロキシを利用する他ユーザーのHTTPリクエストや認証情報が平文で漏洩する可能性がある。名称はOpenSSLの重大脆弱性「Heartbleed」に類似したメモリ露出の性質にちなんで命名された。 技術的な仕組み 脆弱性はSquidのFTPディレクトリリストパーサー（FtpGateway.cc）に存在する。攻撃者が制御するFTPサーバから不正なファイルリスト行を送り込むと、パーサーのポインタがメモリバッファの境界を越えて読み込みを続ける。Squidは使い終わったバッファをゼロクリアせずに再利用するため、直前に処理した別ユーザーのHTTPリクエストデータがそのままメモリに残り、攻撃者に漏洩してしまう。これによりセッショントークン、認証情報、APIキーなどが窃取される恐れがある。なお、標準的なHTTPS通信（TLSトンネル）は影響を受けず、平文のHTTP通信またはSquidがTLSを終端する構成に限定される。 影響範囲と緩和策 最もリスクが高いのは、企業ネットワーク、学校、公共Wi-Fiなど、複数ユーザーが同一プロキシを共有する環境だ。攻撃の成立にはプロキシからアクセス可能なFTPサーバの制御が必要であるものの、FTPとポート21はSquidのデフォルト設定で有効化されているため、悪用のハードルは低い。 緩和策としては、FTP機能が不要な場合にFTPサポートを完全に無効化することが最も効果的だ。修正パッチは2026年4月にSquid version 8へマージされ、同年6月リリースのversion 7.6に搭載された。パッチの適用時はFtpGateway.ccにNUL終端チェックが含まれていることを確認されたい。 発見の経緯 脆弱性はセキュリティ企業Calif.ioの研究者チームが発見した。注目すべきは、AnthropicのClaude Mythosモデルを活用してパーサーのバグを検出した点であり、AIを活用した脆弱性探索の実例として広く注目されている。29年にわたって見過ごされてきた脆弱性を機械学習モデルが検出したことは、AIを用いたセキュリティ研究の有効性を示す事例として業界に与える影響は大きい。

概要 Kasperskyの研究者が、WhatsAppを介して悪意のあるVBScriptファイルを配布するマルウェアキャンペーンを発見した。攻撃者はまずWhatsAppアカウントを侵害し、被害者の連絡先リストにある人物に対して偽のビジネス文書を送り付ける。ファイルは「Financial Reports.vbs」「Account Statement.vbs」「Outstanding Payment List.vbs」といった名称で、請求書や債務通知・銀行明細書を装っている。メッセージが既知の連絡先から届くように見えるため、被害者は疑わずにファイルを開いてしまう。文書名はポルトガル語・フランス語・ドイツ語・マレー語など複数言語で作成されており、マレーシア・ブラジル・インド・メキシコ・シンガポール・英国・スペイン・台湾・オーストラリア・ロシア・ベトナムを含む世界10カ国以上のユーザーが標的となっている。特にマレーシアが被害の約80%を占めている。 多段階の感染チェーン 攻撃は複数のステージで構成される巧妙な感染チェーンを採用している。まず初期のVBScriptがWindows Script Host（WScript.exe）によって実行され、C:\Users\Public\Documents\ 配下に Temp_<ランダム文字列> という名前の隠しワークディレクトリを作成する。次にcurl・bitsadmin・certutil・PowerShellのいずれかを使って攻撃者のインフラから2つの追加スクリプトをダウンロードする。 2つ目のスクリプトはWindowsのUAC（ユーザーアカウント制御）設定をレジストリで改ざんし、ConsentPromptBehaviorAdmin の値を0に設定することで管理者操作の確認ダイアログを無効化する。その後、ManageEngine Endpoint Centralの展開パッケージを含むZIPアーカイブをダウンロードし、setup1.vbs が正規のEndpoint Centralエージェントをサイレントインストールする。インストールされたRMMソフトウェアは攻撃者が管理するサーバーに接続するよう設定されており、これにより攻撃者は被害者のマシンに対する永続的なリモート管理権限を獲得する。スクリプト内には大量の難読化・ジャンクコード・文字列連結・偽のWindows Updateコメントが含まれており、セキュリティソフトによる検知を回避するよう設計されている。 正規ツールの悪用とLiving-off-the-Land戦術 このキャンペーンの特徴は、マルウェアを直接配布するのではなく、ManageEngine Endpoint Centralという正規のIT管理ツールを遠隔操作の手段として悪用する点にある。正規のRMMソフトウェアはセキュリティソフトのホワイトリストに登録されていることが多く、悪意のある通信として検出されにくい。攻撃者の目標は、データ窃取・ラテラルムーブメント（横展開）・さらなるネットワーク侵害など、継続的なアクセスを通じた多様な攻撃活動の実施と見られる。 攻撃インフラと帰属 確認された攻撃者のインフラには、temu.baskwms[.]top・invoice.msopsa[.]top・qse.shoppes[.]help などのドメインや、C2サーバーIPアドレス 202.61.160[.]201・202.61.160[.]202・38.55.151[.]63 が含まれる。ファイルの配信にはAliyun OSS・AWS S3・Backblaze B2などのクラウドストレージも利用されている。複数のVBSバリアントが記録されており、キャンペーンが活発に続いていることを示している。 帰属については、スクリプト内に中国語（簡体字）のコメントが埋め込まれていること、ValleyRATやGh0st RATとのインフラの重複が確認されていることから、中国語話者の攻撃者が関与している可能性が低〜中程度で示唆されている。ただし確定的な帰属には至っておらず、研究者らは引き続き調査中としている。本キャンペーンは2026年6月時点でも活動中であり、ユーザーには見覚えのない実行ファイルやスクリプトファイルの開封を避けるよう注意が呼びかけられている。

概要 2026年6月17日、AIエージェントフレームワーク「Mastra」のnpmパッケージ群が大規模なサプライチェーン攻撃を受けた。攻撃者は正規のコントリビューターアカウント「ehindero」を乗っ取り、88分以内に140件以上のパッケージへ悪意ある依存関係を注入した。@mastra/core 単体で週間918,000件以上のダウンロード数を誇るエコシステム全体が影響を受ける規模であり、Microsoftは「高い確信度」でこの攻撃を北朝鮮の国家支援脅威アクター「Sapphire Sleet（別名：BlueNoroff）」に帰属すると断定した。 攻撃の手口 攻撃の核心は、正規の日付ライブラリ「dayjs」を模倣したタイポスクワットパッケージ「easy-day-js」の悪用だ。攻撃者はまず2026年6月16日午前7時5分（UTC）に「sergey2016」というユーザー名でこのパッケージを一見無害なライブラリとして公開。翌6月17日午前1時1分（UTC）に悪意ある変更を加えた後、侵害したアカウントを使って対象パッケージの依存関係にこれを注入していった。 実行チェーンは多段階で構成されている。パッケージのインストール時に postinstall フックが起動し、難読化されたペイロードがTLS検証を無効化した状態で攻撃者のC&Cインフラ（IPアドレス：23.254.164.92）から第2段階のペイロードをダウンロード。マルウェアはデタッチされたバックグラウンドプロセスとして実行された後、自身を削除してフォレンジック回避を図る。最終段階のマルウェアはブラウザ履歴の収集、MetaMask・Phantom・Binance Walletを含む166種類の暗号資産ウォレット拡張機能の探索を行い、Windows（レジストリキー）、macOS（LaunchAgents）、Linux（systemdサービス）それぞれに最適化した手法で永続化を確立する。 アカウント侵害の入り口はソーシャルエンジニアリングだった。攻撃者はLinkedIn上で採用担当者を装い、対象の開発者を通話に誘い込んで不審なリンクをクリックさせる手法を取った。 背景と脅威アクターのプロファイル Sapphire Sleetは暗号資産窃取を主目的とする北朝鮮の国家支援グループであり、金融セクターや開発者コミュニティを繰り返し標的にしてきた。2026年4月には人気HTTPクライアントライブラリ「axios」のnpmサプライチェーン攻撃も同グループが実行したとされており、今回のMastra攻撃は手口が酷似している——クリーンなデコイバージョンの事前公開、postinstallドロッパーの活用、暗号資産ウォレットへの執着という3点が共通している。AIツールや開発者向けインフラを標的にする戦術の洗練度が増しており、今後も類似した攻撃が継続する可能性が高い。 推奨される対処法 侵害されたパッケージを利用していた場合は、直ちに安全なバージョンへロールバックし、クラウド認証情報・LLM APIキー・暗号資産ウォレットのシードフレーズをすべてローテーションすることが急務だ。侵害の痕跡がシステム上に残っていないか監査も必要になる。再発防止の観点では、パッケージ署名検証とSLSAプロビナンス証明の義務化がサプライチェーンセキュリティの強化策として挙げられている。今回の攻撃は、オープンソースのAIフレームワークエコシステムが国家レベルの攻撃者にとって魅力的な標的となっていることを改めて示した事例となった。

概要 インシデント対応・セキュリティチームの国際フォーラムFIRST（Forum of Incident Response and Security Teams）は、2026年のCVE（共通脆弱性識別子）登録件数が約66,000件に達するとの予測を発表した。この数字は年初の予測を大きく上回るもので、AnthropicのMythosやOpenAIのGPT-5.4-Cyberといった自律型AIエージェントがソフトウェアの脆弱性を独自に発見・報告するようになったことが主な要因とされている。 AIエージェントによる脆弱性発見の実例 この傾向を示す具体的な事例として、MozillaがAnthropicのProject Glasswingを活用したケースが挙げられる。同プロジェクトはFirefox 150のリリースに向けた検証プロセスで271件のバグを検出・修正したとされ、AI自律エージェントが実際の製品開発サイクルに組み込まれた形で大量の脆弱性を発見できることを示した。GitHub Security AdvisoriesやVulnCheckなどのプラットフォームもCVEカタログの拡張・補完（バックフィル）を進めており、登録件数の増加に寄与している。 人間の検証能力がボトルネックに FIRST CEOのChris Gibsonは「信頼できるネットワークと情報共有が、2026年の脆弱性嵐を乗り切る鍵となる」と述べ、コミュニティ間の連携強化を訴えた。最大の課題はCVEの登録数ではなく、人間のセキュリティアナリストによる検証・トリアージ・パッチ適用のスピードが追いつかないことにある。AIが生成した一時的なアプリケーションや短命なコードに存在するバグがCVEデータベースの外に大量に蓄積される問題も新たに浮上しており、ソフトウェア全体の量的増大が作業負荷をさらに増加させている。研究者はこの状況を「大雨と洪水」に例え、多くのCVEは実質的なノイズである一方、実際に悪用されるリスクを持つ脆弱性は限られたグループに集中すると指摘する。 攻防AIの速度競争と今後の展望 防御側でもAIの活用が進んでおり、攻撃型AIと防御型AIの「速度競争」が2026年後半の焦点になると見られている。開発段階での脆弱性除去にAIを活用する取り組みが拡大しており、パッチ適用の上流化による負荷軽減が期待される。実装チームは作業量の倍増に備える必要があるが、パッチ適用チームへの負荷は比較的安定して推移するとの見方もある。AIによる脆弱性発見の民主化が進む一方、その成果を安全に処理・対処するための体制整備が業界全体の急務となっている。

概要 脅威インテリジェンス企業Defusedは2026年6月16日、Fortinet FortiSandboxに存在するCVSSスコア9.1の重大脆弱性3件が実際の攻撃で悪用されていることを確認したと発表した。対象となるのはCVE-2026-39813（JRPC APIにおけるパストラバーサルによる認証バイパス）、CVE-2026-39808（認証なしのOSコマンドインジェクション）、CVE-2026-25089（WebUIにおけるOSコマンドインジェクション）の3件で、いずれも未認証の攻撃者がユーザー操作なしにリモートから特権昇格やコード実行を行える低複雑度の攻撃が可能となる。FortiSandboxは他のFortinet製品が脅威判定を依存するプラットフォームであるため、侵害された場合の影響は特に大きい。 各脆弱性の詳細 CVE-2026-39813はFortiSandboxのJRPC APIに存在するパストラバーサル脆弱性で、認証なしの攻撃者が特別に細工したHTTPリクエストを送ることで認証をバイパスできる。CVE-2026-39808はOSコマンドインジェクション脆弱性で、未認証の状態でリモートコード実行が可能となる。これら2件は2026年4月14日に修正パッチが提供された。CVE-2026-25089はFortiSandbox本体に加えFortiSandbox CloudおよびFortiSandbox PaaSのWebUI全体に影響するOSコマンドインジェクションで、2026年6月9日に修正された。つまり、脆弱性の悪用が確認されたのはパッチ公開からわずか1週間後のことであった。なお、Defusedの分析によれば、CVE-2026-25089向けのエクスプロイトコードはAIを用いて開発された形跡（いわゆる「バイブコーディング」）があり、動作に不具合を抱えている可能性があるという。 背景とFortinet製品を狙う攻撃の傾向 Fortinetの製品はランサムウェアグループや国家支援型サイバー諜報活動において繰り返し標的とされており、CISAは現在26件のFortinet CVEが実際の攻撃に悪用されていることを把握し、そのうち13件はランサムウェア組織による悪用が確認されている。FortiSandboxはこれまで比較的攻撃対象として目立っていなかった製品だが、今回の悪用確認はその状況が変化しつつあることを示す。また、AIによる脆弱性調査や悪用コード開発の加速が、攻撃者の公開済み脆弱性への対応スピードを高めていることも懸念される。 推奨される対応策 Fortinetはすべての影響を受けるバージョンに対してパッチを提供済みであり、各組織は速やかにFortiSandboxを最新バージョンへアップグレードすることが強く推奨される。あわせて、多要素認証（MFA）の有効化とセキュリティ認証情報の定期的な更新も実施すべきとされている。パッチ適用が即座に困難な場合は、FortiSandboxへのネットワークアクセスを信頼済みの送信元に限定するなど、緩和策を検討する必要がある。

概要 イーストマン・コダックは2026年6月17日、同社のデータが不正アクセスを受けたことを正式に認めた。「権限を持たない第三者が、限定的な量の社内データに一時的な不正アクセスを行った」と声明で述べており、現在外部のサイバーセキュリティ専門家を起用して調査を進めるとともに、法執行機関とも連携している。コダックは「システムや事業運営への脅威はない」としているが、220万件以上の顧客個人情報（PII）および社内データが窃取されたと主張するサイバー犯罪グループShinyHuntersが公開を示唆していたことで、このデータ侵害が広く注目を集めた。 ShinyHuntersの手口と要求 ShinyHuntersは、ダークウェブ上に独自のリークサイトを持つ恐喝専門のサイバー犯罪組織だ。2026年6月15日にコダックのデータを盗んだと主張してリークサイトに掲載し、6月18日を期限として「それまでにコダックが連絡を取らなければ盗んだデータを公開する」と脅迫した。同グループは、ソーシャルエンジニアリングやビッシング（音声フィッシング）によって従業員の認証情報を詐取した上でデータを窃取するほか、サプライチェーン攻撃にゼロデイ脆弱性を悪用するなど多様な手口を駆使することで知られる。今回のコダックへの侵入経路については調査中であり、特定の手法は明らかにされていない。 ShinyHuntersの過去の攻撃歴 ShinyHuntersは2026年だけでも複数の大規模侵害に関与している。教育プラットフォームのInstructure Canvas（9,000以上の機関に影響）、通信大手のCharter Communications（4,200万件のレコード）、Oracle PeopleSoftのユーザー企業群（100社以上）などが標的となっており、同グループの攻撃能力は業種を問わず広範に及ぶ。それ以前にも、SalesforceやSnowflakeの顧客企業数百社を標的とした攻撃が確認されており、組織化された高度な脅威アクターとして認識されている。 データ恐喝の現代的トレンドと企業への示唆 今回の事例は、ランサムウェアによるシステム暗号化から、データ窃取と公開脅迫を組み合わせた「二重恐喝」モデルへとサイバー攻撃の主流が移行しつつあることを示している。攻撃者はシステムを停止させることなくデータのみを抜き出し、公開期限を設けることで被害企業に圧力をかける手法を採る。コダックはシステムや業務への影響はないと強調しているが、影響を受けた顧客への通知と補償対応が今後の焦点となる。企業側には、従業員を狙ったソーシャルエンジニアリング対策や、サプライチェーンを含む広範なアクセス管理の強化が改めて求められる。

概要 「Orchid Files」として知られる個人セキュリティ研究者が、GitHub上で正規リポジトリをクローンしたトロイの木馬入りの偽リポジトリを1万件以上にわたって独力でマッピングし、2026年6月に公開した。この研究者が最初に異変に気付いたのは2026年2月頃で、自身のプロジェクトをBingで検索したところ、わずか1時間前に不審なREADMEコミットが行われた「ほぼ同一」のクローンが検索結果に表示されたことがきっかけだった。サイバーセキュリティ企業Hexastrikeが2026年4月に109件のリポジトリで同一ペイロードファミリーを確認していたが、今回の開示によりその規模は約91倍に拡大した。 GitHubは積極的な削除対応を進めているものの、新たなクローンリポジトリが継続して作成されており、被害は収まっていない。このキャンペーンは開発者個人だけでなく、コードリポジトリを自律的に参照するAIエージェントも標的としており、ソフトウェアサプライチェーン全体に対する新たな脅威として注目されている。 感染チェーンと技術的な手口 攻撃者は人気の正規リポジトリを選定してクローンし、READMEに目立つダウンロードボタンを設置、そこからマルウェアを含むZIPアーカイブへ誘導する。ZIPにはバッチ起動スクリプト、LuaJIT 2.1.0-beta3インタープリター（GUI サブシステム使用、署名なし）、および .txt や .log 拡張子でカモフラージュされた難読化Luaスクリプトが同梱されている。この2ファイルを単独で分析した場合には無害に見えるが、バッチファイルがLuaJITを起動してスクリプトを引数として渡すことで初めてマルウェアとして機能するという「分割ペイロード」設計が、自動セキュリティスキャンによる検出を長期間にわたって回避させてきた。 ローダーコンポーネント「SmartLoader」はPrometheusで難読化された単一行Luaスクリプト（296〜309 KB）で構成される。定数が算術恒等式で隠蔽され、文字列が置換エンコードされ、変数名はランダム化されている。さらに、LuaJITのFFI（外部関数インタフェース）でWindows APIを直接呼び出し、ネイティブシェルコードによるアンチデバッグ確認、GDIパイプラインを使ったスクリーンショット取得、システムフィンガープリンティング、そしてPEヘッダー解析とインメモリ実行支援など高度な機能を備える。 ブロックチェーンを悪用したC2インフラ 特筆すべき点は、C2（コマンド＆コントロール）サーバーのアドレス取得にPolygonブロックチェーンのスマートコントラクト（0x1823A9a0Ec8e0C25dD957D0841e3D41a4474bAdc）を利用していることだ。SmartLoaderは polygon.drpc.org へのJSON-RPCを通じてコントラクトをクエリし、現在のC2アドレスを動的に取得する。これにより、攻撃者はマルウェアを再ビルドすることなくサーバーを入れ替えられるため、テイクダウン対策が著しく困難になる。実際のC2として観測されたIPは 144.31.57.65 と 144.31.57.67（同一 /24 サブネット）で、被害者のホスト情報やスクリーンショットをマルチパートPOSTで送信する。 第2ステージのペイロードは攻撃者が管理するGitHubリポジトリ（deepanshugoel99/long）から暗号化された形で取得され、情報窃取マルウェア「StealC」がインメモリで実行される。永続化は「AudioManager_ODM3」や「OfficeClickToRunTask」など正規ソフトに偽装したスケジュールタスクを2本作成することで実現し、一方が削除されても他方がGitHubから再取得して感染を維持する冗長設計になっている。 検出回避と規模拡大の仕組み このキャンペーンが1年以上にわたって検出を回避し続けた背景には、複数の工夫がある。リポジトリは数時間おきに最新コミットを削除して「Update README.md」という同名の新規コミットをプッシュする。この繰り返しの上書きがGitHubのセキュリティアルゴリズムを混乱させ、通常のメンテナンス活動と区別しにくくしていると研究者は分析する。また、クローン元は著名な既存リポジトリではなく比較的マイナーな本物のリポジトリで、偽クローンが検索結果で本物を上回る順位に表示されるケースも確認されている。さらに、AIコーディングエージェントがリポジトリを検索して自動的に依存関係を解決する際に、偽クローンを正規のものと誤認して取り込むリスクが指摘されており、AI開発ワークフロー固有の脅威面として浮上している。 セキュリティ上の示唆と対策 このキャンペーンの検出シグナルとしては、非ブラウザプロセスからの *.drpc.org へのDNS/HTTPアクセス、スマートコントラクトアドレスや関数セレクタ 0x3bc5de30 を含む eth_call リクエスト、ベアIPアドレスへの /api/ や /task/ エンドポイントへのPOSTリクエストが挙げられる。行動面では、.txtや.log拡張子のスクリプト引数を持つ署名なし実行ファイルのバッチ起動、非標準パスからのLuaJIT DLL読み込み、%LOCALAPPDATA% 参照のスケジュールタスク作成などが指標となる。GitHubからコードをダウンロードする際はリポジトリのスター数・コントリビュータ・更新履歴を確認し、公式の組織アカウントであることを必ず検証すること、また依存ライブラリを自動解決するAIエージェントやCI/CDパイプラインに対してもアーティファクト検証の仕組みを導入することが、今回のような攻撃に対する有効な防御策となる。

概要 DragonForceランサムウェアグループが、Microsoft TeamsのTURN（Traversal Using Relays around NAT）リレーインフラを悪用してコマンド＆コントロール（C2）通信を隠蔽する新たな手口を用いていたことが、Symantecの調査によって明らかになった。攻撃者はGoベースのカスタムバックドア「Backdoor.Turn」を展開し、正規のMicrosoftサーバーへのトラフィックとして偽装することで、防御側による検知を1〜2か月にわたって回避した。これはTURNリレーインフラを悪用したマルウェアとして野生環境で初めて確認された事例とされる。標的となったのは米国の大手サービス企業である。 Backdoor.Turnの技術的仕組み Backdoor.Turnが採用するC2通信の隠蔽技術は「Ghost Calls」と呼ばれる手法に基づく。具体的には、MicrosoftのSkypeアイデンティティサービスから匿名のTeamsビジタートークンを取得し、正規のMicrosoft TURNリレーサーバーを接続確立に利用したうえで、攻撃者のC2サーバーへのQUICセッションを確立する仕組みだ。ネットワークを監視する防御担当者には正規のMicrosoft Teamsサーバーへの通信しか見えないため、データが外部に持ち出されていることに気付くことが極めて困難となる。 マルウェアの機能は多岐にわたる。コマンド実行・プロセス起動、ネットワークスキャン、TLS証明書情報の取得、LDAP/Active Directoryの列挙、盗んだ認証情報を用いたラテラルムーブメント、ブラウザに保存された認証情報の窃取などが実装されており、ランサムウェア展開後も持続的なアクセス維持のために同バックドアが注入されることが確認されている。研究者たちは「ランサムウェア攻撃者が自前のカスタムツールを使用すること自体が珍しいが、Backdoor.Turnほど洗練されたカスタムツールを使用するのはさらに例外的だ」と指摘している。 攻撃のタイムラインと手法 攻撃の初期侵入は2025年12月に遡り、SQL/MSSQLサーバーの脆弱性悪用またはアクセスブローカーの関与が疑われている。侵入後は正規のVirtualBoxやDbgViewをDLLサイドローディングに悪用して追加マルウェアを取得し、偵察活動を開始した。 権限昇格には複数の署名済み脆弱なドライバを持ち込むBYOVD（Bring Your Own Vulnerable Driver）戦略が採用された。悪用されたドライバには、HuaweiのHWAuidoOs2Ec.sys、Topaz AntifraudのCVE-2023-52271（wsftprm.sys）、Tower of FantasyのCVE-2025-61155（GameDriverx64.sys）、K7 SecurityのCVE-2025-1055（K7RKScan.sys）、そしてPalo Alto Networksのドライバを偽装したカスタムドライバ「ABYSSWORKER」が含まれる。セキュリティプロセスを無効化したうえでデータを外部流出させ、最終的にランサムウェアペイロードを展開するまでに1〜2か月の潜伏期間が設けられていた。 背景と対応 DragonForceはランサムウェア・アズ・ア・サービス（RaaS）モデルから、高度な標的型攻撃を行う組織的なカルテル構造へと移行しており、今回の攻撃はその継続的な能力開発の一端を示している。Microsoftのクラウドインフラを盾に利用するこの手口は、エンタープライズ環境において広く展開されているコラボレーションツールが新たな攻撃ベクターになり得ることを示す重大な事例だ。Symantecは侵害指標（IoC）を公開しており、セキュリティチームはネットワーク上のTeamsトラフィックの精査と、脆弱なドライバの監視を強化することが求められる。

概要 Splunk EnterpriseにCVSSスコア9.8（最高レベル）の深刻な脆弱性CVE-2026-20253が発見された。PostgreSQL sidecarサービスのエンドポイントに認証制御が欠如しており、ネットワークから到達可能な未認証ユーザーが任意のファイル操作やリモートコード実行（RCE）を行える。CISAは2026年6月18日時点で実際の悪用を確認し、Known Exploited Vulnerabilities（KEV）カタログに追加した。Binding Operational Directive 26-04に基づき、米連邦機関は6月21日（日曜日）までにパッチを適用することが義務付けられた。 技術的な詳細 watchTowr Labsが公開した技術分析によると、攻撃チェーンは以下の手順で構成される。まず /v1/postgres/recovery/backup エンドポイントを介して攻撃者が制御するデータベースの内容をファイルに書き出し、続いて /v1/postgres/recovery/restore エンドポイントで悪意あるデータベースダンプを復元する。復元処理中にSQL関数 lo_export を利用して任意のファイルを書き込み、最終的にPythonスクリプトを上書きすることでコード実行を達成する。同LabはPoC（概念実証）コードも公開しており、攻撃の再現が容易になっている。 影響を受けるバージョンと修正版 影響を受けるのはSplunk Enterprise 10.0.0〜10.0.6（修正版: 10.0.7）および10.2.0〜10.2.3（修正版: 10.2.4）。Splunk Enterprise 10.4以降とSplunk CloudはPostgreSQL sidecarを使用していないため影響を受けない。Shadowserverの調査によると、インターネット上に公開されているSplunkインスタンスは世界で1,400件以上確認されており、うち北米で952件、欧州で223件が露出している。 推奨される対策 最優先の対策は修正済みバージョンへの即時アップデートである。即時のパッチ適用が困難な場合の一時的な回避策として、PostgreSQL sidecarサービスを無効化する方法があるが、この操作によりEdge Processor、OpAmp、SPL2データパイプラインが機能しなくなる点に注意が必要だ。Splunk PSIRTは6月18日に「限定的な悪用を確認した」と発表しており、パッチ未適用のシステムはすでに攻撃対象となっているリスクが高い。連邦機関以外の組織も早急な対応が求められる。

概要 セキュリティ研究者のBob Diachenkoが公開サーバー上に「FortiBleed」と名付けられた大規模な認証情報漏洩を発見した。このデータセットには194カ国にわたる約73,932台のFortinetファイアウォールに対応するURLが含まれており、ユーザー名・メールアドレス・平文パスワードを含む有効なFortigate VPN認証情報が記録されていた。これはインターネット上にアクセス可能な全FortiGateデバイスの約半数に相当し、影響を受けたユニークドメイン数は21,632件に上る。 影響を受けた主な組織には、Chevron・Samsung・Foxconn・Comcast・AT&T・Mercedes-Benz・Toyota・PwC・Accenture・Oracleなどのグローバル大企業に加え、複数の政府機関が含まれている。地理的には、インド・米国・台湾・メキシコ・トルコ・タイ・コロンビア・マレーシア・チリ・UAEが上位の被害国として挙げられている。 攻撃手法と流出経緯 研究者らによると、脅威アクターは320,777台のFortiGateターゲットに対して約11.6億回ものクレデンシャル試行を実施した。また、Hashtopolisというソフトウェアで管理された45基のGPUクラスターを使用してSSL VPN認証ハッシュを解読したとされている。流出した認証情報はFortinetの設定ファイルから抽出されたと見られているが、その初期取得方法については依然として不明であり、既知の脆弱性の悪用なのか、未公開の欠陥を突いたものなのか、あるいは別の攻撃ベクターによるものなのかは確認されていない。 推奨される対策 影響を受ける可能性のある組織は、以下の対策を速やかに実施することが強く推奨されている。 認証情報のローテーション：Fortinetデバイスに関連するすべてのパスワードを直ちに変更する 多要素認証（MFA）の有効化：VPN接続に対してMFAを設定し、認証情報が漏洩しても不正アクセスを防ぐ ゲートウェイログの精査：不審なアクセスや認証試行の痕跡がないかログを確認する 従業員認証情報の監視：Hudson Rockの無料ルックアップツール等を活用して、組織の認証情報がデータ漏洩に含まれていないかを確認する 今回の事案は、Fortinetデバイスを含むネットワーク境界機器に対する大規模かつ組織的な認証情報収集キャンペーンが継続していることを改めて示しており、ゼロトラスト原則の実装や特権アクセス管理の強化が急務であることを浮き彫りにしている。