Security

概要 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年4月14日、Fortinet・Microsoft・Adobe製品に存在する合計7件の脆弱性を「既知悪用脆弱性（KEV）カタログ」に追加した。いずれもCISAが悪用の証拠を確認したうえでKEVカタログに追加されたもので、BOD 22-01指令に基づき連邦政府機関には迅速なパッチ適用が義務付けられている。ただし、一部の脆弱性については公開された悪用報告がまだ確認されていない。最も緊急性が高いFortinet製品の脆弱性については修正期限が4月16日と極めて短く設定されており、民間組織に対しても早急な対応が強く推奨されている。 追加された脆弱性の詳細 今回追加された7件の脆弱性は以下のとおりである。 CVE番号 製品 脆弱性の種類 CVSSスコア 修正期限 CVE-2026-21643 Fortinet FortiClient EMS SQLインジェクション 9.1 4月16日 CVE-2023-21529 Microsoft Exchange Server 信頼できないデータの逆シリアル化 8.8 4月27日 CVE-2026-34621 Adobe Acrobat/Reader プロトタイプポリューション 8.6 4月27日 CVE-2023-36424 Microsoft Windows (Common Log File System Driver) 境界外読み取り 7.8 4月27日 CVE-2025-60710 Microsoft Windows Host Process 不適切なシンボリックリンク処理 7.8 4月27日 CVE-2020-9715 Adobe Acrobat Reader 解放後使用（Use-After-Free） 7.8 4月27日 CVE-2012-1854 Microsoft Office VBA 安全でないライブラリ読み込み（DLLハイジャック） 7.8 4月27日 なかでもCVE-2026-21643（Fortinet FortiClient EMS）はCVSSスコア9.1と最も深刻度が高く、認証不要のリモート攻撃者がHTTPリクエストを細工するだけでSQLインジェクションを通じて任意コードを実行できる。悪用は2026年3月24日以降に確認されており、他の脆弱性より11日も早い修正期限が設けられた。 注目される脅威：Medusaランサムウェアとの関連 CVE-2023-21529（Microsoft Exchange Server）は、認証済み攻撃者が信頼できないデータを逆シリアル化することでリモートコード実行を可能にする脆弱性である。この脆弱性はすでに脅威アクターStorm-1175によって武器化されており、Medusaランサムウェアの配信に活用されていることが確認されている。Exchange Serverはインターネットに直接公開されているケースも多く、悪用の広がりが懸念される。 ...

概要 Eclipse Foundationは、VS Code互換プラットフォーム向け拡張機能レジストリ「Open VSX Registry」のセキュリティを強化するため、「セキュリティ研究者認定プログラム（Security Researcher Recognition Program）」を正式に発表した。このプログラムは、脆弱性の責任ある開示（Responsible Disclosure）を奨励しつつ、世界中のセキュリティ研究者による貢献を公式に表彰することを目的としている。 Open VSX Registryは直近で月間ダウンロード数3億件を突破し、AIネイティブIDEを含む多数の開発者プラットフォームにとって重要なインフラとなっている。Eclipse FoundationのエグゼクティブディレクターであるMike Milinkovichは「Open VSXは現代の開発者プラットフォームにとって重要なインフラであり、悪意ある行為者にとってますます魅力的なターゲットになっている」とコメントし、プロアクティブなセキュリティ対策の必要性を強調した。 プログラムの仕組みと参加対象 プログラムの核心は、脆弱性を安全に報告するための透明性のある経路の整備だ。報告した研究者は「Security Hall of Fame（セキュリティ殿堂）」への掲載という形で公式に表彰されるほか、影響度に応じてデジタルバッジ、証明書、グッズなどが授与される。金銭的な報奨金（バグバウンティ）ではなく、認知・表彰を重視した設計となっている点が特徴的だ。 参加対象は独立したセキュリティ研究者、学術機関、セキュリティコンサルタント会社、オープンソースコントリビューター、そして実際にエコシステムリスクを発見した開発者と幅広い。 背景：拡張機能レジストリへのサプライチェーン攻撃リスク 拡張機能レジストリはサプライチェーン攻撃の標的として注目されており、攻撃者が悪意あるコードを正規パッケージに紛れ込ませて開発環境を侵害するリスクが高まっている。今回の取り組みは、外部の目を活用することでそうしたリスクへの対処能力を高めようとするものだ。Eclipse Foundationはベンダーニュートラルなガバナンスのもとでオープンソースインフラの持続可能性を重視しており、本プログラムはその姿勢を具体的に示した施策といえる。

概要 Vercelは2026年4月8日、Next.js v16.2.3をリリースした。本リリースはセキュリティ修正とバグ修正のバックポートに特化したもので、カナリアブランチの新機能は含まない。最大の変更点は、React Server ComponentsのApp RouterにおけるDoS脆弱性（CVE-2026-23869）の修正であり、Next.js 13.x〜16.xを利用するプロジェクトのすぐさまアップグレードが推奨されている。 CVE-2026-23869の詳細 CVE-2026-23869はCVSSスコア7.5（高）と評価されたDoS（Denial of Service）脆弱性で、App RouterのServer Functionエンドポイントに影響する。攻撃者が特定の細工を施したHTTPリクエストをServer Functionエンドポイントへ送信すると、デシリアライズ処理中にCPUを過剰消費させることができ、正規ユーザーへのサービス停止を引き起こす可能性がある。 影響を受けるバージョンはNext.js 13.x・14.x・15.x・16.xと広範で、修正済みバージョンはNext.js 15.5.15以降および16.2.3以降となる。Vercelのホスティング環境ではWAF（Webアプリケーションファイアウォール）ルールによる自動保護も実施されているが、公式アドバイザリはプラットフォーム側の保護のみに依存せず、パッチ済みバージョンへの即時アップグレードを強く求めている。 その他のバグ修正 セキュリティ修正に加え、v16.2.3では以下の不具合も修正されている。 ISRエラー報告の修正: onRequestErrorを通じてアプリページが古いISR再検証エラーを正しく報告するよう改善された。 HMRの不具合修正: Next.js 16.2で発生していたmanifest.tsが原因のHMR（Hot Module Replacement）停止バグが解消された。 出力アセットの重複排除: ビルド時の出力アセットの重複を排除し、コンテンツ競合を検出する仕組みが追加された。 styled-jsxの競合状態修正: 並行レンダリング時にスタイルが失われる競合状態が修正された。 turbo-tasks-backendの安定性向上: タスクキャンセルおよびエラーハンドリングに関する安定性修正が含まれる。 対応のポイント App Routerを使用しているすべてのNext.jsプロジェクトがCVE-2026-23869の影響範囲に入るため、早急なアップグレードが必要だ。Self-hosted環境ではVercelのWAF保護が適用されないため、特にバージョンアップが急務となる。v16.2.3への更新はnpm install next@16.2.3または各パッケージマネージャーの相当コマンドで実施できる。

概要 NTTデータは2026年4月14日、米国のAIセキュリティ企業WitnessAI社とリセラー契約を締結し、同社のAIガバナンスプラットフォーム「WitnessAI」の国内向け提供を同日より開始すると発表した。「WitnessAI」は企業における生成AI活用からAIエージェント活用まで対象に、AIへの入出力を監視・制御することでリスク低減とガバナンス強化を支援するプラットフォームだ。NTTデータは自社の「Responsible & Secure AI」サービスにおける「AI Protectionサービス」の一環として同製品を組み込み、顧客企業のセキュアなAI利活用を推進していく。 技術的な特徴 WitnessAIが持つ最大の特徴は、ネットワークレベルで完全な可視化を提供する点にある。従来のネットワークセキュリティソリューションでは把握が困難だったAI利用の実態を可視化し、機密情報の外部送信や不適切な応答生成といったリスクを検知・防止する。リスク検知においてはキーワードマッチングに依存せず、「利用者の意図を踏まえた分析」を行うことで精度の高い監視を実現している。また、単一テナント構成を採用しており、企業ごとのデータ主権に対応できる点も企業導入のハードルを下げる要素となっている。 導入背景と今後の展開 NTTデータグループはすでに2025年度において、WitnessAIを含むAIガードレール製品の検証・導入を自社内で実施済みであり、「クライアントゼロ」として培った実装知見を活かして顧客支援を行う体制を整えている。AIエージェントの普及や各国・地域における法規制の変化に対応すべく、サービスの継続的な高度化も予定している。また、NTTデータグループ各社においてもリセラー契約の検討が進んでおり、グループ全体でのAIガバナンス支援体制の拡充が見込まれる。

概要 FBIアトランタ支部とインドネシア国家警察は2026年4月13日、大規模なフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「W3LL」の解体に成功したと発表した。米国とインドネシアがフィッシングキット開発者を対象に連携した初の法執行行動とされており、開発者として特定された「G.L.」がインドネシア当局によって逮捕されるとともに、プラットフォームに関連する複数のドメインおよびインフラが押収された。W3LLは少なくとも2017年から活動していたとされ、当初はスパムツール開発から始まり、やがてMicrosoft 365アカウントを主な標的とする高度なフィッシングプラットフォームへと進化した。 ツールの技術的特徴 W3LLキットは約500ドルで販売されており、サイバー犯罪者が正規の企業ログインページに見せかけた偽サイトを構築することを可能にした。最大の特徴は、Adversary-in-the-Middle（AitM）攻撃手法の採用で、攻撃者のインフラ経由で正規ログインポータルをプロキシする仕組みにより、認証情報・ワンタイムMFAパスコード・セッションクッキーをリアルタイムで傍受できた。これにより多要素認証（MFA）の保護を回避し、被害者のアカウントへ不正アクセスが可能となった。また、ビジネスメール詐欺（BEC）向けに16種類のカスタマイズ可能なツールを提供しており、攻撃者は侵害後に受信トレイの監視、メール転送ルールの設定、請求書詐欺の実行まで一貫して行えた。付属のマーケットプレイス「W3LLSTORE」では、窃取した認証情報や不正ネットワークアクセスの売買も行われていた。 被害規模と活動の経緯 W3LLによる被害は長期にわたり広範囲に及ぶ。2019年から2023年にかけてW3LLSTOREを通じて25,000件以上の侵害アカウントが販売され、2022年10月から2023年7月の期間だけでも米国・英国・オーストラリア・ヨーロッパの企業Microsoft 365アカウント56,000件以上が標的にされた。2023年から2024年にかけては世界で17,000人以上の被害者が確認されており、試みられた詐欺被害総額は2,000万ドル以上にのぼる。Group-IBが2023年9月にW3LLSTORE の活動を初めて公式に記録したが、同年にストアは閉鎖された。しかしその後も運営者は暗号化メッセージングプラットフォームを通じて活動を継続し、ツールをリブランドして他の脅威アクターへの配布を続けていた。 今後の展望 今回の摘発はPhaaS（Phishing-as-a-Service）モデルへの対応における重要な一歩だが、課題も浮き彫りになった。W3LLSTOREが2023年に閉鎖された後も活動が継続した事例が示すように、PhaaSエコシステムはインフラが押収されても他のチャネルを通じて存続する高い回復力を持つ。FBIは今回の成果について「サイバー犯罪者が不正アクセスに利用していた主要なリソースの遮断」と評価しており、今後も国際的な法執行機関の連携強化が求められる。組織や企業としては、MFA回避攻撃への対策としてFIDO2/パスキーなどフィッシング耐性のある認証方式への移行がより強く推奨される状況となっている。

概要 組み込みシステムやIoT機器向けに広く使用される暗号ライブラリwolfSSLに、証明書の署名検証を迂回できる重大な脆弱性（CVE-2026-5194）が発見された。CVSSスコアは9.3（Critical）で、影響を受けるバージョンはwolfSSL 3.12.0から5.9.1未満のすべてとなる。修正版となるwolfSSL 5.9.1は2026年4月8日にリリース済みであり、早急なアップデートが推奨されている。 wolfSSLはIoT機器、産業用制御システム、ルーター、自動車システム、航空宇宙機器など、世界で50億台以上のデバイスや機器に組み込まれているSSL/TLSライブラリである。今回の脆弱性はセキュリティアドバイザリ「AV26-344」として2026年4月9日に公表された。 技術的な詳細 本脆弱性はCWE-295（不適切な証明書検証）に分類される。問題の本質は、ECDSA署名の検証処理においてハッシュアルゴリズムのサイズやOID（Object Identifier）のチェックが不十分であることにある。具体的には、FIPS 186-4または186-5の基準で求められる長さより短いダイジェスト、あるいは対象の鍵タイプに対して不適切なサイズのハッシュを、署名検証関数が誤って受け入れてしまう。 影響を受ける署名アルゴリズムは以下の通り： ECDSA / ECC DSA ML-DSA（格子ベースの耐量子署名） Ed25519 Ed448 この欠陥を悪用された場合、攻撃者は偽造した証明書を標的のデバイスやアプリケーションに受け入れさせることができる。セキュリティ研究者のLukasz Olejnik氏は「本脆弱性により、システムが本来拒絶すべき悪意あるサーバーを正規の存在として信頼してしまう危険性がある」と警告している。脆弱性はECC機能とEdDSAまたはML-DSAの両方が有効なビルドにおいて、証明書ベースの認証を実施するシステムに特に影響する。 影響範囲と対応策 wolfSSLの採用規模を考えると、本脆弱性の潜在的な影響は極めて広範囲に及ぶ。IoT機器から産業用制御システム、コネクテッドカー、さらには航空宇宙システムまで、幅広い分野で使用されているため、迅速なパッチ適用が困難なデバイスが多数存在する点も懸念材料だ。 推奨される対応はwolfSSL 5.9.1へのアップデートである。ベンダー独自の実装を使用している場合は、上流のwolfSSLバージョンを確認したうえで対応を判断する必要がある。公式リリースはwolfSSLのGitHubリポジトリから入手可能であり、カナダサイバーセキュリティセンター（CCCS）も同アドバイザリを公表している。本脆弱性はAnthropicのNicholas Carliniにより報告され、開発チームは報告から1日で修正を完了させた。

概要 北朝鮮の国家支援型ハッキンググループAPT37（別名：ScarCruft）が、Facebookを活用した高度なソーシャルエンジニアリング攻撃を展開していることが明らかになった。攻撃者はFacebook上に「richardmichael0828」や「johnsonsophia0414」といった偽アカウントを作成し、所在地を平壌や平城に設定した上で標的にフレンドリクエストを送付。Messengerを通じた会話で信頼関係を構築した後、最終的にTelegramへと誘導する多段階のソーシャルエンジニアリングを実施した。 被害者には、暗号化された軍事文書とともにZIPファイルが配布された。攻撃者は「このファイルを開くためには専用ソフトウェアが必要」と説明し、正規のPDFビューアソフト「Wondershare PDFelement」をトロイの木馬化した改ざん版をインストールさせることで、マルウェアの実行を実現した。 感染チェーンと技術的詳細 改ざんされたPDFビューアが実行されると、内部に埋め込まれたシェルコードが動作し、C2サーバー（japanroom[.]com）への通信を確立する。このC2には日本の不動産サイトが侵害されて悪用されており、攻撃インフラを正規ドメインに偽装することで検知を困難にしている。次に「1288247428101.jpg」という名称のJPG画像に偽装した第2段階ペイロードが配信され、最終的にRokRATが展開される。 RokRATはスクリーンショットの撮影、cmd.exeを介したリモートコマンド実行、ホスト情報の収集、システム偵察といった機能を備える。さらに、Qihoo 360 Total Securityなどのセキュリティツールを積極的に回避する機能を持つ。今回の攻撃は、正規ソフトウェアの改ざん、侵害された実在ドメインのC2活用、悪意あるペイロードの画像ファイル偽装という三つの手法を組み合わせた「高度な回避戦略」として評価されている。 背景と今後の展望 APT37はRokRATのコア機能そのものを革新するのではなく、配信・実行・回避のチェーンを継続的に進化させる戦略を取っている。これは国家支援型アクターとしての成熟した運用能力を示しており、検知・対処が難しい持続的脅威となっている。Facebookのような一般的なSNSプラットフォームを初期接触の場として利用する手口は、標的型攻撃（スピアフィッシング）の新たな形態として注目されており、軍事・政府・安全保障関連の組織を中心に警戒が必要だ。セキュリティチームは、業務外のSNSを通じた不審なファイル共有の依頼や、ソフトウェアのインストールを促す誘導には特に注意を払う必要がある。

概要 欧州最大級のフィットネスチェーンを運営するオランダ企業Basic-Fitは2026年4月13日、同社の会員管理システムへの不正アクセスを公表した。被害を受けた会員数は約100万人にのぼり、氏名・住所・メールアドレス・電話番号・生年月日・銀行口座情報・会員情報が流出対象となった。一方、身分証明書やアカウントパスワードについては流出していないとしている。Basic-Fitは12カ国以上に1,700以上のクラブを展開し、約500万人の会員を有する企業だが、今回の侵害はその約2割にあたる会員に影響を与えた。 影響を受けた地域と範囲 被害が確認された国は、オランダ（約20万人）・ベルギー・ルクセンブルク・フランス・スペイン・ドイツの計6カ国。なお、フランチャイズ店舗の会員データは独立したシステムで管理されており、今回の侵害の影響を受けていないことが確認されている。 企業の対応と現状 Basic-Fitによれば、自社のシステム監視によって不正アクセスが検出され、数分以内にアクセスを遮断したとのことだ。発覚後は外部のセキュリティ専門家による調査を実施し、流出したデータがオンライン上で公開・売買されている痕跡は現時点では確認されていないと報告している。同社は引き続き状況を監視する方針を示しており、影響を受けた会員への個別通知も行っている模様だ。フィットネス業界では会員の個人情報や金融情報を大量に保有するため、今回のような侵害は業界全体のセキュリティ対策の見直しを促すきっかけとなる可能性がある。

概要 セキュリティ企業Censysの調査により、全世界で5,219台のRockwell Automation/Allen-Bradley製プログラマブルロジックコントローラ（PLC）がEtherNet/IPプロトコルを介してインターネット上に露出していることが明らかになった。その74.6%にあたる約3,891台が米国内に存在しており、イラン系サイバー脅威アクターによる攻撃の標的となるリスクが高まっている。これらのデバイスは水道・下水道システムや医療施設など重要インフラを支えるOT（運用技術）環境に組み込まれていることが多く、深刻な懸念をもたらしている。 イラン系脅威アクターによる攻撃の実態 米国とイランおよびイスラエルの間の地政学的対立を背景に、複数のイラン政府系ハッキンググループが米国の産業制御システムを標的にしてきた。主要なグループとしては、イスラム革命防衛隊（IRGC）に関連するとされるCyberAv3ngersと、イラン情報省に関連するとされるHandalaが知られている。 2023〜2024年にかけて、CyberAv3ngersは米国内のUnitronics製OTシステムを攻撃し、75台以上のPLCを侵害した。被害を受けた施設の約半数が水道・下水道システムであり、重要インフラへの直接的な影響が確認された。また最近ではHandalaが医療機器メーカーのStrykerのシステムに攻撃を仕掛け、約80,000台のデバイスをワイプ（データ消去）したとも報告されている。2026年3月以降の攻撃では、デバイスのプロジェクトファイルの抽出やHMI・SCADAディスプレイ上のデータ操作が確認されており、攻撃の手口はより精巧になっている。 推奨されるセキュリティ対策 露出したICSデバイスに対してセキュリティ研究者らは以下の防御策を推奨している。 ネットワーク隔離：ファイアウォールによる保護またはインターネット接続の完全遮断 ログ監視：悪意あるアクティビティの痕跡を定期的に確認 通信トラフィックの検査：OTポートへの不審なアクセス（特に海外ホストからの接続）を監視 多要素認証（MFA）の導入：OTネットワークへのアクセスに対してMFAを義務化 機器の最新化と不要サービスの無効化：古いPLCのファームウェア更新および未使用の通信サービス・認証方式の無効化 Censysのデータは、EtherNet/IPに応答するデバイスが広範囲にわたって直接インターネットに接続されているという根本的な問題を浮き彫りにしており、OTセキュリティにおけるネットワーク設計の見直しが急務とされている。

概要 AI画像生成プラットフォームとして広く普及しているComfyUIのインターネット公開インスタンスを標的とした、巧妙な大規模攻撃キャンペーンが確認された。セキュリティ研究者は、1,000件以上の公開ComfyUIインスタンスが暗号通貨マイニングやプロキシボットネットに悪用可能な脆弱な状態にあることを特定した。攻撃者はクラウドのIPレンジを継続的にスキャンする専用のPythonスキャナーを使い、ComfyUI-Managerがインストールされた認証なしの公開インスタンスを自動的に発見・侵害する手法をとっている。 攻撃手法：悪意あるカスタムノードの自動インストール 攻撃の中核は、ComfyUIのカスタムノード機能を悪用したリモートコード実行にある。認証なしで公開されたデプロイメント上でカスタムノードが生のPythonコードをそのまま実行できるという致命的な設定ミスを突いている。スキャナーはまずComfyUI-Shell-ExecutorやComfyUI_Fill-Nodesなど既知の脆弱なノードファミリーの存在を確認し、見つからない場合はComfyUI-Managerを経由して攻撃者自身が作成した悪意あるノードパッケージ（ComfyUI-Shell-Executor）をインストールした上で再度攻撃を試みる。コード実行に成功すると、攻撃者のサーバーからシェルスクリプト（ghost.sh）がダウンロードされ、証拠隠滅のためにComfyUIのプロンプト履歴が消去される。 多重の永続化メカニズムと高度な回避技術 侵害後のマルウェアは、検出・削除を困難にする複数の永続化手法を組み合わせている。シェルスクリプトは6時間ごとに自動ダウンロードされ、ComfyUI起動時にエクスプロイトワークフローが再実行される。さらにchattr +iコマンドによりマイナーバイナリをroot権限でも削除・変更できないファイルとして固定し、LD_PRELOADフックを利用してウォッチドッグプロセスを隠蔽することでマイナーが終了した場合でも自動再起動する仕組みを持つ。 2026年4月2日に観測された更新バージョンでは、さらに高度な回避技術が追加されている。RAM容量、ネットワークインターフェース数、デバッガーの有無、「sandbox」「malware」「honeypot」などのシステムキーワードをもとにリスクスコアを計算し、サンドボックス環境と判断した場合は処理を中断する。また、CPU使用率80%超のプロセスや疑わしいディレクトリ（/tmp、共有メモリ、/var/tmp）で動作するプロセスを積極的に終了させる機能も備えている。 マイニング・プロキシボットネット・ラテラルムーブメント 侵害されたホストはXMRig経由のMonero（XMR）とlolMiner経由のConflux（CFX）の暗号通貨マイニングに利用される。すべての採掘活動はFlaskベースのC2ダッシュボードを通じて管理される。また感染マシンはHysteria V2ボットネットに組み込まれ、プロキシノードとして転売される可能性がある。競合するボットネット（「Hisana」など）を発見した場合は単に終了させるだけでなく、設定を書き換えて採掘益を攻撃者のウォレットに横取りし、C2ポートをダミーのPythonリスナーで占拠するという徹底した手口をとる。さらに、Docker（ポート2375）や認証なしのRedisサーバーへの横展開機能も持ち、SSHキーを登録することで継続的なリモートアクセスも確保する。 攻撃インフラと背景 攻撃ツールキットはAeza Group（ブレットプルーフホスティングプロバイダー）と関連する77.110.96[.]200のIPアドレス上で発見された。攻撃者のシェルコマンド履歴からは、継続中のRedisデータベース攻撃キャンペーンとの関連も示唆されている。今回の事案はSpamhausが2025年の2つの半期にそれぞれ26%・24%のボットネットノード増加を報告するなど、より広範なボットネット活性化傾向の一部と位置づけられる。公開状態のComfyUIインスタンスを持つユーザーは、認証設定の見直しや外部アクセスの制限など、即時の対策が求められる。