Security

概要 人気のCPU情報ツール「CPU-Z」およびハードウェア監視ツール「HWMonitor」を開発するCPUIDが、2026年4月9日から10日にかけてサイバー攻撃を受けた。攻撃者は同社のバックエンドAPIを侵害し、公式ウェブサイトのダウンロードリンクをマルウェア入りインストーラーに差し替えた。この状態が約6時間続いたため、正規ソフトウェアを入手しようとしたユーザーが資格情報窃取型マルウェアをダウンロードするリスクに晒された。CPUIDは「メインAPIとは別のサイドAPIが侵害され、ウェブサイトが無作為に悪意あるリンクを表示する状態になった」と説明している。なお、侵害の発覚後はクリーンなインストーラーへの切り替えが完了しており、正規の署名済みファイル自体は汚染されていなかったとされている。 マルウェアの技術的な詳細 配布された悪意あるファイルは「HWiNFO_Monitor_Setup」というファイル名を持ち、セキュリティ製品からはTedy TrojanまたはArtemis Trojanとして検出される。VirusTotalでは20以上のアンチウイルスエンジンによってフラグが立てられた。 このマルウェアはセキュリティ回避に高度な技術を駆使している。偽のCRYPTBASE.dllを用いて正規のWindowsコンポーネントに成りすますほか、PowerShellを利用してほぼ完全にメモリ上で動作するファイルレス型の手法をとる。さらに、.NETアセンブリからNTDLL関数をプロキシ化することでEDRやアンチウイルスの検出を回避する。セキュリティ研究グループvxundergroundは「多段階構成で、侵害されたドメインから配布され、ファイル偽装を行い、ほぼ完全にメモリ内で動作する、非常に高度にトロイ化されたマルウェアだ」と評している。最終的なペイロードはGoogle ChromeのIElevation COMインターフェースを悪用してブラウザに保存された認証情報を復号・窃取する機能を持っており、ユーザーのアカウント情報が広範に危険にさらされた可能性がある。 FileZilla攻撃との関連と背景 セキュリティ研究者たちは、今回の攻撃に使われたインフラが2026年3月に発生したFileZillaを標的としたサプライチェーン攻撃と同じ脅威アクターによるものであることを特定した。広く利用されているユーティリティソフトウェアの公式配布ルートを乗っ取ることで、多数のユーザーに一度にマルウェアを届けるという手口が繰り返されており、組織的なキャンペーンの一環とみられている。CPUIDのスポークスマンは、主要開発者が休暇中の時期を狙われたと言及しており、攻撃者が組織の対応能力が低下するタイミングを意図的に選んだ可能性も示唆されている。 ユーザーへの推奨事項 2026年4月9日から10日の間にCPUIDの公式サイトからCPU-ZまたはHWMonitorをダウンロードしたユーザーは、インストーラーのハッシュ値を公式の既知正常値と照合し、マルウェアに感染していないか確認することが強く推奨される。感染が疑われる場合は、ブラウザに保存しているパスワードをすべて変更し、各種アカウントの不審なアクティビティを確認すべきだ。今回の事案は、人気ツールであっても公式サイトからのダウンロードが常に安全とは限らないことを改めて示しており、ダウンロード後のファイルの整合性確認の重要性が浮き彫りになった。

概要 Googleは2026年4月9日、Chrome 147の安定版をリリースし、合計60件のセキュリティ脆弱性を修正した。なかでも深刻度「Critical」に分類される2件の脆弱性は、いずれもWebMLコンポーネントに存在し、悪意を持って作成されたWebページを閲覧するだけでリモートコード実行が可能になるリスクがある。現時点ではこれらの脆弱性がインターネット上で実際に悪用された報告はないが、GoogleはChromeの即時更新を強く推奨している。 クリティカル脆弱性の詳細 2件のクリティカル脆弱性はいずれもWebMLコンポーネントに起因する。 CVE-2026-5858：WebMLにおけるヒープベースのバッファオーバーフロー。細工されたHTMLページを経由して任意のコードを注入・実行できる可能性がある。 CVE-2026-5859：WebMLにおける整数オーバーフロー。同様に悪意あるコンテンツを通じた任意コード実行につながる恐れがある。 Googleはこれら2件の脆弱性を発見・報告した研究者それぞれに43,000ドルのバグバウンティ報奨金を支払っており、今回のアップデート全体での報奨金総額は118,000ドルに上る。残る58件の脆弱性は、高リスク14件（バッファオーバーフロー、use-after-freeなど）、中リスク20件、低リスク24件に分類される。V8 JavaScriptエンジンには型混乱（type confusion）の脆弱性が2件含まれていた。 対象バージョンとアップデート方法 修正済みのバージョンは以下の通り。 プラットフォーム バージョン Windows / macOS 147.0.7727.55 / 56 Linux 147.0.7727.55 Android 147.0.7727.49 Chromeはバックグラウンドで自動更新されるが、メニューの「ヘルプ」→「Google Chromeについて」から現在のバージョンを確認し、手動で更新を適用することもできる。なお、Microsoft EdgeなどChromiumベースのブラウザも同様の脆弱性の影響を受ける可能性があり、各ベンダーのアップデートを確認することが推奨される。次期バージョンのChrome 148は2026年5月初頭にリリース予定とされている。

概要 Helmは2026年4月9日、セキュリティパッチリリースとしてv4.1.4およびv3.20.2を公開した。いずれも速やかなアップグレードが推奨されており、今回の修正では計3件の脆弱性が対処された。うち2件はCVSSスコア8.4（高リスク）に分類されており、悪意あるプラグインや細工されたチャートによる攻撃シナリオが懸念される。 修正された脆弱性 CVE-2026-35206（GHSA-hr2v-4r36-88hr）: チャート名によるパストラバーサル（CVSS 4.8・中） Chart.yaml の name フィールドに . や .. を含むドット記号を混入させることで、helm pull --untar 実行時にチャートの内容が意図しない親ディレクトリへ展開される問題。v3系（3.20.1以前）とv4系（4.1.3以前）の両方に影響する。 CVE-2026-35205（GHSA-q5jf-9vfq-h4h7）: プラグインのプロベナンス検証バイパス（CVSS 8.4・高） Helm v4.0.0〜4.1.3において、署名ファイル（.provファイル）が存在しないプラグインでも署名検証が通過してしまう「fail-open」状態の欠陥。プラグイン作成者が意図的に署名データを省略することで、未署名プラグインのインストールが可能となり、フック実行時に任意コードが実行されるリスクがある。CWE-636（セキュアに失敗しない設計）に分類される。 CVE-2026-35204（GHSA-vmx8-mqv2-9gmg）: プラグインメタデータのパストラバーサル（CVSS 8.4・高） Helm v4.0.0〜4.1.3の plugin.yaml に含まれる version フィールドに /../ などのパスセパレータを埋め込むことで、プラグインのインストール・更新時にファイルシステム上の任意の場所への書き込みが可能となる。v4.1.4ではSemVer以外の version フィールドはエラーとして扱われるよう修正された。 影響範囲と対応 CVE-2026-35205およびCVE-2026-35204はHelm v4系のみに影響し、v3系への対応は不要。CVE-2026-35206はv3・v4両系に影響するが、CVSSスコアが中程度であることから攻撃の現実性は限定的とされている。ただし、Helmはプロダクション環境のKubernetesクラスターで広く利用されるツールであるため、悪意あるチャートやプラグインを経由した攻撃リスクに備え、v4系ユーザーはv4.1.4へ、v3系ユーザーはv3.20.2へのアップグレードを優先的に実施することが強く推奨される。

概要 JPCERT/CCは2026年4月10日、同組織が提供するEmotet感染確認ツール「EmoCheck」にDLL読み込みに関する脆弱性（CVE-2026-28704、JVN#00263243）が存在することを公表した。CVSS v4.0の基本値は8.4、CVSS v3.0では7.8と評価されており、深刻度の高い脆弱性として分類される。影響を受けるのはEmoCheckのすべてのバージョンである。 あわせてJPCERT/CCは、Emotetの脅威が収束したことを理由にEmoCheckの配布を正式に終了し、現在も利用中のユーザーに対して直ちに使用を停止するよう呼びかけている。 脆弱性の技術的詳細 脆弱性の種類はファイル検索パスの制御不備（CWE-427）に分類される。EmoCheckはDLLを読み込む際の検索パスに問題があり、EmoCheckの実行ファイルと同じディレクトリに攻撃者が用意した悪意のあるDLLが配置されている場合、そのDLLを意図せず読み込んでしまう可能性がある。 攻撃が成立するシナリオは次のとおりだ。ユーザーが意図せず悪意のあるDLLをダウンロードし、EmoCheckの実行ファイルと同じディレクトリに配置された状態でEmoCheckを起動した場合、攻撃者はEmoCheckのプロセス権限で任意のコードを実行できる。本脆弱性はPowder Keg Technologies株式会社の島田凌氏によって報告された。 背景と対応 EmoCheckはEmotetマルウェアの感染確認を目的としてJPCERT/CCが開発・配布してきたツールである。Emotetは長期にわたり猛威を振るったが、近年は脅威が大幅に収束しており、JPCERT/CCはこのタイミングでツールの提供を終了する判断を下した。 対策としては「製品の使用を停止する」以外に有効な手段はなく、修正バージョンのリリース予定もない。JPCERT/CCは今後もインターネット上の脅威を低減するためのツールを公開していく予定であるとしている。EmoCheckを業務環境等で継続利用しているユーザーは、速やかに削除・使用停止の対応を取ることが強く推奨される。

概要 オープンソースのPythonリアクティブノートブック「Marimo」に、認証なしでリモートコード実行（RCE）が可能な重大脆弱性（CVE-2026-39987、CVSS 4.0スコア: 9.3）が発見された。影響を受けるのはバージョン0.20.4以前（0.23.0未満）の全バージョンで、脆弱性アドバイザリ（GHSA-2679-6mx9-h9xc）が公開された2026年4月8日21:50 UTCからわずか9時間41分後の4月9日07:31 UTCに、実際の攻撃が観測されている。Sysdigの脅威研究チームは、公開されたPoC（概念実証コード）が存在しない段階での攻撃であることを確認しており、攻撃者はアドバイザリのテキストのみから機能するエクスプロイトを構築したと指摘している。 技術的な詳細 脆弱性の根本原因は、WebSocketエンドポイント間での認証実装の非対称性にある。通常のWebSocketエンドポイント /ws は WebSocketConnectionValidator.validate_auth() を呼び出して適切に認証を行っていたが、ターミナル機能のエンドポイント /terminal/ws は実行モードとプラットフォームサポートのチェックのみを行い、認証検証を完全にスキップしていた。攻撃者はこのエンドポイントへWebSocket接続を確立するだけでPTY（疑似端末）とシェルを取得でき、Marimoプロセスの権限で任意のコマンドをインタラクティブに実行できる状態だった。Endor Labsはこれを「1リクエストでroot権限を取得」と表現している。 実際の攻撃観測 Sysdigが観測した攻撃は人間主導の手動偵察スタイルで進行した。攻撃者（IP: 49.207.56.74）は90分以内に4回接続し、最初のセッションで動作確認（id コマンド実行など）を行い、3回目のセッションではわずか3分でディレクトリ列挙、.env ファイルからのAWSアクセスキー抽出、SSHキーの探索を完了させている。Endor Labsが調査したサンプルでは、インターネット上でアクセス可能な186インスタンスのうち16%（約30件）が未認証WebSocketアップグレードに応答しており、パッチ未適用のまま残存するインスタンスは数十〜数百件に上る可能性があるとしている。 修正と対策 修正はバージョン0.23.0（PR #9098）で提供されており、pip install --upgrade "marimo>=0.23.0" による即時アップグレードが強く推奨される。加えて、VPNやプライベートネットワーク、認証プロキシによるMarimoの編集モード保護、公開インスタンス上の環境変数・.env ファイルの監査と認証情報のローテーション、/terminal/ws への予期しない接続のモニタリングといった多層防御も推奨されている。Sysdigは「攻撃者が広く普及したプラットフォームのみを狙うという前提は誤りであり、人気度に関わらず重大なアドバイザリが公開されたインターネット公開アプリケーションはすべてターゲットになる」と警鐘を鳴らしており、セキュリティ侵害の時間枠が「日単位」から「時間単位」に圧縮されていることを改めて示す事例となった。

概要 2026年4月7日、WordPressおよびJoomla向け人気スライダープラグイン「Smart Slider 3 Pro」を開発・配布するNextend社のアップデートサーバーが攻撃者に侵害された。その結果、バックドアを埋め込んだ悪意あるバージョン3.5.1.35が約6時間にわたり正規のアップデートとして配布された。Smart Slider 3（無料版・Pro版合計）は世界で80万〜90万以上のサイトで利用されており、今回の侵害はサプライチェーン攻撃として深刻な影響を及ぼす可能性がある。無料版は今回の攻撃を受けておらず、影響を受けるのはPro版のバージョン3.5.1.35のみとされている。 技術的な詳細 埋め込まれたバックドアは多層的な永続化機構を備えた高度なマルウェアであった。攻撃者は独自のHTTPカスタムヘッダー（X-Cache-StatusやX-Cache-Keyなど）を通じて認証不要のリモートコード実行（RCE）を可能にし、PHPのeval関数やOSコマンド実行関数を悪用した。 永続化の手口としては、以下の5つの独立した手法が確認されている。 ランダムな名前（例：「wpsvc_a3f1」）を持つ隠し管理者アカウントの作成（フィルタ操作によりユーザー一覧から非表示化） キャッシュコンポーネントに偽装したMust-useプラグイン（mu-pluginsディレクトリ）の設置 テーマのfunctions.phpへの悪意あるコードの注入 WordPressのコアクラスを模倣したバックドアファイルのwp-includesディレクトリへの設置 .cache_keyファイルによる認証キーの隠蔽保存 さらに、侵害されたサイトのURL・ホスト名・管理者メールアドレス・データベース名・管理者認証情報・WordPressやPHPのバージョン情報がC2（コマンド＆コントロール）サーバー「wpjs1[.]com」へ自動送信される機能も含まれていた。 影響範囲と推奨対処法 影響を受けるのはバージョン3.5.1.35のみであり、3.5.1.34以前のバージョンおよび3.5.1.36以降は安全とされている。該当バージョンをインストールしたサイト管理者は、以下の対応を速やかに実施することが推奨されている。 即時対応：バージョン3.5.1.35を完全に削除し、3.5.1.36以降をインストールする 不正要素の除去：不審な管理者アカウント、_wpc_ak・_wpc_uid・_wpc_uinfoなどの悪意あるデータベースエントリ、mu-pluginsやテーマディレクトリに追加された不正ファイルを削除する 認証情報のリセット：WordPressの管理者パスワード、データベースパスワード、FTP/SSHのパスワード、ホスティングアカウントのパスワードをすべて変更する 強化策の実施：管理者アカウントへの二要素認証（2FA）の有効化、WordPressのセキュリティキーの再生成、管理画面へのIPアクセス制限の設定 侵害の可能性がある場合は、4月5日以前のバックアップからの復元も検討すべきとされている。セキュリティ企業PatchStackによる詳細な侵害痕跡（IoC）の分析も公開されており、サイト調査の際に参照が推奨されている。

何が起きたか 2026年3月末から4月初頭にかけて、WireGuard VPNの作者Jason DonenfeldやVeraCryptの作者Mounir Idrassiなど、広く使われているセキュリティ系オープンソースソフトウェアの開発者たちが、MicrosoftのWindows Hardware Programのアカウントを事前警告・説明なしに突然停止させられた。この停止により、WireGuard・VeraCrypt・Windscribe VPNといったプロジェクトがWindowsドライバーの署名や更新の配布を行えない状態に陥った。 DonenfeldとIdrassiはいずれも「Microsoftからメールも事前警告も一切届かなかった」と証言している。ある日サインインしようとしたらアカウントが停止されており、何の説明も受けていないという状況だった。 セキュリティへの深刻なリスク 今回の停止は単なる利便性の問題にとどまらず、ユーザーへの直接的なセキュリティリスクをもたらした。Donenfeldは「もしWireGuardにゼロデイ脆弱性が発見されても、今の状態ではセキュリティパッチを出せない。今こそゼロデイを悪用し始めるのに絶好のタイミングだ」と警鐘を鳴らした。 VeraCryptについてはより深刻な問題も指摘された。VeraCryptはディスク全体を暗号化するソフトウェアであり、Windowsの起動プロセスに深く関わっている。開発者がアップデートを配布できないまま放置された場合、2026年7月以降にVeraCryptを使用しているWindowsデバイスで起動障害が発生する可能性があるという。 Microsoftの主張と欠陥のある通知プロセス MicrosoftはWindows Hardware Programにおけるアカウント認証（verification）の義務化を2025年10月のブログ投稿で発表しており、同社は「2週間の猶予期間中にメール・バナー・リマインダーを送った」と主張している。しかし実際には開発者への通知が届いておらず、通知プロセスの欠陥が明らかとなった。 さらに問題だったのは、停止後の対応手段がほぼ存在しなかった点だ。停止されたアカウントからは異議申し立てシステムにアクセスできない設計になっており、AIサポートツールも適切な担当窓口を特定できなかった。審査キューは60日待ちの状態で、迅速対応の手段がなかった。 公開告発を受けてMicrosoftが謝罪・復旧を約束 開発者がSNSやメディアを通じて問題を公開告発すると、MicrosoftのプレジデントPavan Davuluri氏がSNSで問題を認め、「近日中にアカウントを復旧する」と約束した。通知プロセスの改善についても約束され、WireGuardのアカウントは2026年4月10日に復旧が確認された。 今回の一連の騒動は、大手プラットフォームによるOSSエコシステムへの依存と、その管理・通知プロセスの脆弱性を改めて露呈させた形となった。セキュリティ系ソフトウェアの開発者アカウントが突然停止されるリスクは、エンドユーザーのセキュリティに直結する問題として、今後のプラットフォームポリシーのあり方が問われている。

概要 Adobe Acrobat Readerに未公開のゼロデイ脆弱性が存在し、2025年11月28日にVirusTotalへ最初のサンプルがアップロードされて以来、少なくとも4ヶ月以上にわたって悪用され続けていることがセキュリティ研究者Haifei Liの調査によって明らかになった。Adobeはいまだにパッチを公開しておらず、CVE番号も未割り当てのまま、最新バージョンのAdobe Readerを使用しているすべてのユーザーが攻撃にさらされている状態が続いている。2026年3月23日には2件目のサンプルが発見されており、キャンペーンが継続中であることが確認されている。 攻撃手法と技術的詳細 攻撃は悪意を持って細工されたPDFファイルを通じて実行される。ファイルを開くだけで難読化されたJavaScriptが自動的に実行され、ユーザーの追加操作は一切不要だ。攻撃者はutil.readFileIntoStreamやRSS.addFeedといった本来は権限を要するAcrobat内部APIを悪用し、システム情報（OSの詳細、言語設定、ファイルパスなど）を収集する。窃取されたデータは攻撃者が管理するC2サーバー（169.40.2[.]68:45191）に送信される。 Li氏はこのエクスプロイトについて「ユーザー情報の収集・ローカルデータの窃取・高度なフィンガープリンティングを可能にし、将来の攻撃を準備するための基盤を構築する」と警告している。初期段階の情報収集に留まらず、選別したターゲットに対して第二段階のペイロードを展開することで、リモートコード実行（RCE）やサンドボックスエスケープへとエスカレートする可能性がある。 標的と背景 研究者Gi7w0rmの分析によると、ルアーとして使用されるPDFはロシア語で記述されており、ロシアの石油・ガス産業に関連する内容を扱っている。特定のセクターや地域を意識した高度な標的型攻撃（APT）の手法を示唆しており、高価値ターゲットを選別して攻撃を絞り込む洗練された脅威アクターの関与が疑われる。約4ヶ月間にわたって公開されずに悪用が継続していたことも、攻撃の高度さを裏付けている。 推奨される対応策 Adobeがパッチを公開するまで、ユーザーは以下の対応が推奨される。信頼できないソースからのPDFファイルを開かないことが最も重要だ。また、ネットワーク監視においてUser-Agentヘッダーに「Adobe Synchronizer」を含むHTTP/HTTPSトラフィックが侵害の指標（IOC）となる。法人環境では、Adobe Readerの使用に関するポリシーの見直しや、PDFサンドボックスを強化した代替ビューアーの検討も有効な対策となり得る。

概要 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Ivanti Endpoint Manager Mobile（EPMM）に存在する重大なコードインジェクション脆弱性CVE-2026-1340を「既知の悪用された脆弱性（KEV）カタログ」に追加した。これに伴い、Binding Operational Directive（BOD）22-01に基づき、連邦文民機関に対して2026年4月11日（土曜日）深夜までのパッチ適用を義務付けた。わずか4日間という異例の短い期限が設定されており、脆弱性の深刻さを示している。 CISAはこのタイプの脆弱性を「頻繁な攻撃ベクター」と位置付け、連邦インフラに対する重大なリスクをもたらすと警告している。対応義務は連邦機関に限定されるが、CISAは民間企業を含むすべての組織に対しても優先的なパッチ適用を強く推奨している。 技術的な詳細 CVE-2026-1340は認証不要でリモートコード実行（RCE）が可能な重大（Critical）なコードインジェクション欠陥であり、2026年1月から実際の攻撃への悪用が確認されている。悪用事例としては、Webシェルの設置やクリプトマイナーのインストールなどが報告されている。Ivantiは2026年1月29日に本脆弱性および関連脆弱性CVE-2026-1281を修正するセキュリティアップデートをリリース済みである。 インターネット監視機関のShadowserverの調査によると、世界全体でおよそ950台の脆弱なEPMMデバイスがインターネットに露出していることが確認されており、そのうちヨーロッパが569台、北米が206台を占める。パッチ未適用のデバイスは引き続き攻撃対象となるリスクが高く、早急な対応が求められる。 Ivantiの脆弱性問題の背景 Ivantiはグローバルで40,000社以上の顧客を持つ大手エンタープライズソフトウェアベンダーだが、近年は深刻な脆弱性問題が相次いでいる。CISAが追跡するIvantiの文書化された悪用済み脆弱性はすでに33件に上り、そのうち12件はランサムウェアオペレーションに関連している。今回のCVE-2026-1340の追加は、Ivantiが継続的なセキュリティリスクの発生源となっている現状をあらためて浮き彫りにしている。組織はIvanti製品のパッチ管理を優先的な課題として位置付け、迅速なアップデート体制を整えることが急務となっている。

概要 Djangoプロジェクトは2026年4月7日、セキュリティ修正を含む3つのバージョン（6.0.4、5.2.13、4.2.30）を正式にリリースした。今回のリリースでは計5件の脆弱性が修正されており、すべてのDjangoユーザーに対して速やかなアップデートが推奨されている。また、Django 4.2はこのリリースをもって延長サポート（Extended Support）が終了となり、以降はセキュリティ修正を受け取れなくなる。 修正された脆弱性の詳細 今回修正された5件の脆弱性はいずれも重大度「低」または「中」であり、深刻度の高いものは含まれていない。 CVE-2026-3902（重大度：低）ASGIヘッダースプーフィング — ASGIRequest がヘッダー名をWSGI規約に従ってハイフンからアンダースコアへ正規化するため、ハイフンで保護されたヘッダーがアンダースコアを用いて偽装される可能性があった。 CVE-2026-4277（重大度：低）GenericInlineModelAdminの権限バイパス — フォーム送信時に追加権限の検証が行われていなかったため、権限チェックを回避できる問題があった。 CVE-2026-4292（重大度：低）ModelAdmin.list_editableの権限バイパス — フォームを通じて新規インスタンスの作成が許可される可能性があった。 CVE-2026-33033（重大度：中）MultiPartParserのDoS脆弱性 — Base64エンコードされたファイルアップロードにより繰り返しのメモリコピーが発生し、パフォーマンスが著しく低下する可能性があった。 CVE-2026-33034（重大度：低）ASGIリクエストのメモリ制限バイパス — Content-Length ヘッダーが欠落または過少に報告されることで、アップロードサイズの制限が回避される問題があった。 Django 4.2のサポート終了と今後の対応 Django 4.2はLTS（長期サポート）バージョンとして広く使用されてきたが、今回のリリース（4.2.30）をもって延長サポート期間が正式に終了した。今後はセキュリティ修正を含むいかなるアップデートも提供されないため、4.2系を使用しているプロジェクトはDjango 5.2以降への移行が強く推奨される。現在サポート対象となっているバージョンはDjango 5.2および6.0であり、これらのバージョンへのアップグレード計画を早急に策定することが望ましい。