Security

概要 Go言語の開発チームは10月8日、マイナーリリースのGo 1.27.2およびGo 1.26.9を公開した。両バージョンには、net/http、crypto/tls、net/textproto、mime/multipart、html/template、os、goコマンドなど標準ライブラリおよびツールチェインにまたがる15件のセキュリティ修正が含まれており、サーバーやツールチェインを利用する開発者には早急な更新が推奨されている。 修正された脆弱性の内容 今回の修正の中でも特に重要度が高いとされるのが、net/httpのトランスポートが複数のContent-Lengthヘッダーを受理してしまう問題で、HTTP/2経由でHTTP/1クライアントへレスポンスを転送する際にHTTPレスポンス密輸攻撃につながりうる欠陥だった。またhtml/templateでは、テンプレートリテラル式の開始位置で古いjsCtxが残留することによるXSSと、regexpPrecederKeywordsにES2015以降の予約語が含まれていないことに起因するXSSという、2件の異なるクロスサイトスクリプティング欠陥が修正されている。 ネットワーク関連では、HTTP/2サーバーが圧縮設定の変更をめぐる並行処理の不備によりクラッシュしうる問題や、トレーラー宣言を悪用したメモリ消費の肥大化、CONNECTリクエストの処理誤りによるレスポンスの誤配送、ファイル配信時のバイトレンジリクエストに関する欠陥、mime/multipartでのファイルアップロード時のメモリ上限回避、TLSハンドシェイク解析時のメモリ枯渇、HTTP/2からHTTP/1へのヘッダー変換の不備など、サービス妨害やデータ漏洩につながりうる欠陥が広範に修正された。チェックサム検証に関しても2件の欠陥が修正され、Windows環境ではosパッケージのファイルシステムジャンクションに起因する脆弱性にも対処している。 ツールチェイン側では、悪意のあるGOMODPROXYが設定された場合にgolang.org/toolchainおよびgolang.org/fips140のチェックサム検証を回避できる問題が修正された。これはビルド環境のモジュールプロキシ設定を信頼できない第三者に握られた場合、改ざんされたツールチェインやFIPS140準拠モジュールが検証をすり抜けて取り込まれる恐れがあるというもので、CI/CD環境でのGOMODPROXYの管理には引き続き注意が必要だ。 今後の対応 Go 1.27.2と1.26.9はいずれも2026年10月8日付でリリース済みで、各脆弱性の個別アドバイザリはGoの脆弱性データベースおよびGitHubの該当issueで公開されている。サーバー用途でGoを利用している開発者は、特にnet/httpのレスポンス密輸問題とhtml/templateのXSS問題について優先的に影響範囲を確認し、速やかにアップグレードすることが望ましい。

概要 セキュリティ企業Huntressは、バックアップ製品AhsayCBSに存在する未パッチの脆弱性2件を連鎖させた攻撃が実環境で発生していることを確認した。悪用されているのは、checkSysPwd関数の認証チェック不備による認証バイパス「CVE-2026-105133」(CVSS 5.5)と、Replication Receiverコンポーネント(/rps/api/json/UpdateReceivers.do)に存在するコマンドインジェクション「CVE-2026-105134」(CVSS 9.3)である。攻撃者はまずCVE-2026-105133で認証ロジックを迂回し、続いてReplication Receiverコンポーネント自体が持つランダムトークンによる認証情報代替の欠陥であるCVE-2026-105134を悪用することで、NT AUTHORITY\SYSTEM権限での未認証リモートコード実行を達成する。10月7日23時20分(UTC)以降に悪用が始まり、10月8日時点で少なくとも5組織が標的となったことが確認されている。AhsayCBSはバージョン10.3.4までが影響を受けるが、執筆時点でパッチは提供されていない。 攻撃チェーンとペイロードの展開 悪用に成功した攻撃者は、悪意あるレシーバー設定を通じてJSP形式のWebシェルをアプリケーションの配信ディレクトリに埋め込み、以降の操作の足がかりとする。続いてAlibaba Cloud OSS上のバケット(imagefiles-backup.oss-ap-southeast-7.aliyuncs.com)からXMRigクリプトマイナーをダウンロードし展開する。このマイナーは実行ファイル名をedge.exeに改名することでMicrosoft Edgeブラウザに偽装し、プロセス一覧からの検出を回避する狙いがある。 検出回避と永続化の手口 永続化のために、攻撃者は正規のサービス管理ユーティリティNSSM(Non-Sucking Service Manager)の改変版をmsedge.exeという名前で配置し、マイナーをWindowsサービスとして常駐させる。さらにMicrosoftEdgeUpdateSvcという名称の不正サービスを作成し、正規のEdgeUpdateサービスであるかのように偽装、SYSTEM権限での実行とクラッシュ時の自動再起動機能を持たせている。加えて、Taskgmr.ps1という名のPowerShellスクリプトが展開されており、タスクマネージャーの起動を監視してマイナーの動作を一時停止させ、18時の時点、あるいは夜間に1時間以上起動したままの場合にはタスクマネージャー自体を強制終了するなど、AI支援による開発が疑われる高度な検出回避ロジックを備えている点も報じられている。これらに加え、調査を免れるための追加のバックドアも一部の環境にインストールされていたという。 影響と推奨される対策 AhsayはJSONベースのAPIを公開するバックアップソフトウェアとして広く利用されており、今回のような未認証RCEと暗号資産マイニングの組み合わせは、計算リソースの悪用に留まらず、バックアップデータそのものへの不正アクセスや改竄のリスクも伴う。ベンダーからのパッチが未提供であるため、各社は当面の緩和策として、AhsayCBSの管理インターフェースへのアクセスを信頼できるIPアドレスのみに制限するか、VPN経由でのアクセスを必須とすることが強く推奨されている。また、侵害の兆候(edge.exeやmsedge.exeという名の不審なプロセス、MicrosoftEdgeUpdateSvcサービスの存在など)が見つかった場合は、信頼できるバックアップからホスト全体を再イメージングすることが望ましいとされている。

概要 Anthropicは10月8日、オープンソースプロジェクトのメンテナー向けに無料の脆弱性スキャナー「OSS Scanner」を発表した。最大の特徴は、Claudeの最上位モデルが生成した脆弱性レポートを人間によるレビューや検証を経ずにそのままメンテナーへ届ける点にある。精度よりも速度を優先する設計で、真陽性率90%超を目標に掲げている。この取り組みは、Anthropicが推進するセキュリティ関連の包括的な施策「Anthropic Cyber Mission」の一環であり、同時に重要インフラ事業者向けのセキュリティ支援プログラムの拡大も発表された。 OSS Scannerの仕組みと参加方法 OSS Scannerはオプトイン制のサービスで、参加を希望するメンテナーはGitHub上のOSS ScannerリポジトリにプルリクエストでリポジトリのURL、連絡先メールアドレス、環境構築用のDockerfileのパスなどを提出する。任意でGPG公開鍵や脅威モデルファイルを添えることもできる。スキャンはオフライン環境で、提出されたDockerfileに基づき構築されたコンテナ内でClaudeの強力なモデルが実行し、インターネット接続は持たない。選定基準はGoogleの「OSS-Fuzz」に近い考え方を採用しているといい、プロジェクトの重要性が自明でない場合はメンテナー側で説明することが求められる。レポートには脆弱性の説明、再現可能な概念実証(PoC)コード、可能であれば修正案までが含まれる。 通常、Anthropicは発見した脆弱性を人間が検証した上で、90日間の標準的な協調的開示プロセスを経て開発者に伝えている。しかしOSS Scannerでは、大量の指摘を処理できる体力のあるプロジェクトを対象に、この検証ステップと開示期間の縛りを外し、モデルが生成した結果を直接送付する。重要度の誤判定など不正確な報告が混在する可能性がある点はAnthropic自身も認めている。 Project Glasswingという土台 OSS Scannerは、Anthropicが過去に実施した脆弱性発見プロジェクト「Project Glasswing」での経験を踏まえて設計された。同プロジェクトでは数百にのぼる広く使われているオープンソースプロジェクトをスキャンし、見つかった脆弱性をトリアージした上で協調的開示プロセスを通じて非公開で報告してきた。2026年10月2日時点で、2万9000件超の脆弱性候補を特定し、6000件超をメンテナーに報告、584件のセキュリティアドバイザリーにつながったという。この過程で一部のメンテナーから「検証を待たずに大量の指摘をそのまま受け取りたい」という要望が寄せられたことが、OSS Scannerのコンセプトに直結している。Anthropicは「脆弱性を悪用するコストは下がり続けているのに、パッチ適用は依然として遅く人手に依存している」と、攻撃と防御の非対称性を課題として挙げている。 重要インフラ向けプログラムの拡大 同日発表されたもう一つの柱が、運用技術(OT)領域のセキュリティを支援する「Critical Infrastructure Defense Program(CIDP)」の拡大だ。Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社が創設パートナーとして参加し、フロンティアのClaudeモデルに加え、Anthropicのエンジニアによる常駐支援や脅威リサーチが電力・水道・製造・交通インフラなどのOT事業者に提供される。OT環境ではシステムを停止してのパッチ適用が困難なため、既知の脆弱性が数年から数十年にわたり放置されがちだという課題に対応するもので、一部パートナーは既にClaudeを使った脆弱性の修復に着手しているという。Anthropicは2026年6月に米国の州・地方自治体向けサイバー防衛プログラムを開始しており、今回の施策はその延長線上にある。今後は初期パートナーからの知見を踏まえ、対象分野やパートナー数をさらに広げる方針を示している。

概要 Citrixは10月9日、NetScaler ADCおよびNetScaler Gatewayに存在する深刻な脆弱性CVE-2026-107406を修正するパッチを公開した。CVSS 4.0スコアは9.5で、CWE-119(メモリバッファ内操作の不適切な制限)に分類されるメモリオーバーフローの欠陥であり、悪用に成功するとリモートコード実行(RCE)またはサービス拒否(DoS)を引き起こす恐れがある。対象となるのはSAMLのIDプロバイダ(IdP)またはサービスプロバイダ(SP)として構成されたNetScaler ADC/Gatewayで、設定に"add authentication samlAction"や"add authentication samlIdPProfile"といったエントリがある環境が該当する。Citrixは現時点でこの脆弱性が実際に悪用された証拠はないとしているが、影響を受ける顧客に対し、アドバイザリを確認し早急にアップグレードするよう強く呼びかけている。 技術的な詳細と対象バージョン 影響範囲はSAML構成の種類によって異なる。SP構成またはIdP構成のいずれかの場合は、13.1-64.23および14.1-73.37より前の全バージョンが影響を受ける。IdP構成のみの場合は13.1-64.23から13.1-64.28まで、および14.1-73.37から14.1-73.41までのバージョンが対象となる。パッチ済みバージョンはNetScaler ADC/Gateway 14.1-73.46以降、13.1-64.29以降で、FIPS/NDcPP対応版(14.1-FIPSは73.46以降、13.1-FIPSおよび13.1-NDcPPは13.1.37.283以降)にも対応するアップデートが提供されている。なお、マネージドクラウドサービスおよびAdaptive Authenticationを利用している顧客については自動的に更新が適用されるため、個別の対応は不要という。この脆弱性はJPMorgan ChaseのXORチームに所属するMichael Tucker氏、Chew Keong Tan氏、Alex Bernier氏、および独立した研究者であるMaxim Suhanov氏によって報告された。 繰り返されるNetScalerの脆弱性問題 今回の修正は、NetScalerで今月相次いで報告されている脆弱性の中でも最新のものだ。The Hacker Newsによれば、CVE-2026-88771、CVE-2026-88772、CVE-2026-88779の3件はすでに実環境で悪用が確認されているという。特にCVE-2026-88772は9月上旬から政府機関、金融、教育分野を標的に悪用が検知されており、10月5日に公開されたCVE-2026-88779(CVSS 8.7)も同様に注視されている。BleepingComputerの報道では、インターネットに公開されているNetScaler機器はShadowserverの集計で約21,000台(うちゲートウェイが1,500台超、ADCが約20,000台)にのぼるとされ、CISAは2021年11月以降、ランサムウェア攻撃で悪用された7件を含め27件のCitrix製品の脆弱性が実際に悪用されたと指摘している。 今後の見通し 今回のCVE-2026-107406自体は悪用の証拠がないものの、過去の事例ではCitrixの脆弱性開示から短期間で悪用が始まるケースが繰り返されており、SAML構成を利用する組織は優先度を上げてパッチ適用を進める必要がある。同時に既知の悪用が確認されているCVE-2026-88771、88772、88779への対応も依然として急務であり、NetScalerを運用する管理者は複数の脆弱性に同時並行で向き合う状況が続いている。

概要 FBIと米司法省は10月8日、中国を拠点とする国家支援ハッカー集団「Flax Typhoon」(Ethereal Panda、RedJuliettとも呼ばれる)が使用していたハッキングツールに関連するドメイン7件を押収したと発表した。押収対象は、脆弱性スキャンツール「MicroScan」へのアクセスに使われたc0cc.cc、スピアフィッシングツール「FishHub」のマルウェア配布に使われた98aicai.com、98aicode.com、outlook3650.com、youtubecard.com、linkedinns.net、そしてSoftEther VPNによる持続的アクセス維持に使われた98aiblog.comの7ドメイン。これらのツールを開発・運用していたのは、中国政府との関係が指摘される北京のコンピュータセキュリティ企業Integrity Technology Group(Integrity Tech)で、同社インフラの無力化はこれが2024年9月以来、約2年ぶり2度目となる。FBIサイバー部門のBrett Leatherman次官補は「中国政府は請負企業を活用してサイバー攻撃の規模と範囲を拡大している。こうしたイネーブラーを摘発・無力化することで、PRC(中華人民共和国)が米国のネットワークを標的にすることを一層難しくする」と述べた。 MicroScanとFishHub、ボットネットの技術的詳細 MicroScanは2017年から運用されてきたPythonベースの脆弱性スキャナーで、1,300件以上のペネトレーションテスト用スクリプトを内蔵し、NMAPやFscan、WPScanといったオープンソースツールを統合していた。標的にはOracle WebLogic、Apache Struts、WordPress、Jenkins、OpenSSLなど広く使われるソフトウェアが含まれ、Shellshock(CVE-2014-6278)、ProFTPDの脆弱性(CVE-2015-3306)、GitLabのリモートコード実行(CVE-2021-22205)など8件の既知の脆弱性が頻繁に悪用されていた。スキャン対象の探索には、IoT機器やSOHOルーターなどに感染したMirai系ボットネットが併用され、その管理には「Sparrow」という独自アプリケーションが使われていた。2024年6月時点で120万台以上の感染デバイス情報を記録したデータベースサーバーが確認されている。米国内の感染デバイスは約38万5千台に及び、常時アクティブな感染端末は約26万台(うち米国内約12.6万台)に達していたという。一方、2026年3月時点でも稼働が確認されていたFishHubはスピアフィッシングとマルウェア展開を担うツールで、米司法省によれば「Integrity Techの顧客に対し、被害者ネットワークへの不正リモートアクセスを提供するか、特定ファイルを検索してIntegrity Tech管理下のサーバーへ送信していた」。さらに、Microsoft 365アカウントを狙うパスワードスプレー攻撃にはオープンソースの総当たりツール「EBurst」が使われ、窃取したメールを直接のアカウントアクセスなしに第三者が閲覧できる独自アプリケーションも運用されていたことが判明している。 標的となった重要インフラと被害範囲 被害に遭った組織は多岐にわたり、米国政府機関、サウスカロライナ州の電力会社、日本とポーランドの空港、台湾のエネルギー・天然ガス関連の重要インフラ企業、台湾の大学(FishHub関連で約20校)、さらには医療・製造・教育分野の組織や多国籍NGOも含まれていた。押収されたサーバーからは20以上の組織(台湾の大学6校を含む)に関するデータが発見されており、攻撃は2022年4月から12月にかけて活発化していたことも確認されている。英国の国家サイバーセキュリティセンター(NCSC)は、Integrity Techに支援された攻撃者が「自動スキャンのようなAIツールを、大規模ボットネットや手動の侵入技術と組み合わせて独自に活用している」と指摘した。 背景と今後の展望 Integrity Techのインフラ無力化は今回が初めてではない。FBIは2024年9月にも、同社が運用していた20万台超のデバイスからなるMiraiボットネット「Raptor Train」を裁判所の許可を得て解体しており、今回の作戦はそれに続く2度目の措置となる。同社は2025年に英国の制裁対象となり、2026年にはEUも追随して制裁を科した。今回の摘発は、FBI・CISA・NSAに加え、英国・オーストラリア・カナダ・日本・ニュージーランド・スペインの関係機関が参加した共同作業の結果であり、侵害の痕跡(IoC)を含む共同勧告も公開され、各組織にパッチ適用、不要サービスの無効化、多要素認証の導入、入力のサニタイズなどの対策が呼びかけられている。ただし、Flax Typhoonはこれまでも持続的な侵入能力を示してきた高度な脅威であり、今回の摘発が攻撃活動の完全な終息を意味するわけではなく、関係機関は引き続き警戒を求めている。

概要 SoftBank Group傘下のIDCフロンティアが提供する「IDCFクラウド」で、10月7日午前3時40分頃に障害が発生した。同社は原因を第三者によるランサムウェア攻撃と発表し、影響を受けた東日本リージョン1をネットワークから遮断してシステムを停止、各リージョンの管理コンソールへの外部アクセスも一時的に停止した。影響範囲は自治体を含む495の企業・団体に及び、日本国内のクラウド基盤を標的にした事案としては大規模なものとなっている。IDCフロンティアは侵入経路の特定と詳細な原因調査を進めているが、現時点で全容は明らかになっていない。 攻撃の規模と技術的被害 攻撃者が顧客の管理コンソール上に残したとされる犯行声明によれば、攻撃自体の実行には約7分しかかからなかったという。被害の内容として、225のデータベース(計3.6ペタバイト相当)の暗号化、239台のハイパーバイザーの侵害、1万6000台分の仮想マシンディスクの封鎖、さらに55万4153個のスナップショットの破壊が挙げられている。IDCフロンティアはデータの取り出しや復元が「困難な見通し」としており、通常のインシデント対応では想定しにくい規模のデータ損失が懸念される状況だ。 下流サービスへの影響 障害はIDCFクラウド上で稼働する複数のサービスにも波及した。シックス・アパートが運営する「Movable Type クラウド版」では31台のサーバーで管理画面やWebサイトが利用できなくなり、同社はバックアップデータを用いて「さくらのクラウド」への移行を進めている。在庫管理サービス「らくらく在庫」を手がけるグリニッジでも、在庫連携や価格更新ができない状態が続いた。さらに、ニッスイの子会社である日水物流では、委託先データセンターへの不正アクセスが原因とみられる障害で入出荷業務が停止したが、この障害とIDCFクラウドへの攻撃との関連は現時点で明確になっていない。親会社のソフトバンクが顧客窓口となって調査・復旧を支援している。個人情報や顧客データが外部に流出した可能性についても確認作業が進められているが、現時点で結論は出ていない。 背景と今後の見通し セキュリティ企業Macnicaの集計では、2026年に入ってから日本国内でデータ窃取や情報漏えいを伴う確認済みインシデントが119件発生しており、これは2025年の年間件数(84件)を既に上回っている。設定ミスや既知の脆弱性を突いた攻撃が増加傾向にあり、AIツールの悪用によって攻撃者側の偵察活動が効率化している可能性も指摘されている。IDCFクラウドの一件は、クラウド基盤そのものが攻撃対象となった場合に、契約企業や自治体の業務に広範囲かつ長期的な影響が及ぶリスクを改めて示した。復旧の具体的な見通しは現時点で示されておらず、データ復元が困難な場合は代替クラウドへの移行を迫られる利用者がさらに増える可能性がある。

概要 SonicWallは10月7日、Secure Mobile Access(SMA)1000シリーズアプライアンスに存在する4件の脆弱性を修正するホットフィックスを公開した。最も深刻なCVE-2026-102255はCVSS10.0の認証前SSRF(サーバーサイドリクエストフォージェリ)で、WorkPlaceインターフェースに細工したリクエストを送るだけで、認証なしの遠隔攻撃者がアプライアンスに代わってリクエストを発行させ、内部機能に到達して権限のない操作を実行できる。現時点でこれらの脆弱性が実際に悪用された証拠は確認されていないが、SonicWallは管理者に対し早急な対応を強く推奨している。 脆弱性の詳細 CVE-2026-102255は、WorkPlaceインターフェースに存在する「意図しない代替アクセスパス」の弱点を悪用するもので、認証やユーザーの操作を必要とせず、攻撃の複雑さも低い。インターネットに公開されたポータルに向けて細工したリクエストを送信するだけで、アプライアンス内部の機能に到達できてしまう点が特に危険とされる。 同時に修正された残り3件は、いずれも管理者権限での認証を前提とする。CVE-2026-102256(CVSS7.8)はSMA1000アプライアンス本体でのOSコマンドインジェクションで、遠隔コード実行につながる。CVE-2026-102257(CVSS7.2)はAMC(Appliance Management Console)における「Zip Slip」型のパストラバーサルで、これも遠隔コード実行を許す。CVE-2026-102258(CVSS5.5)はAMC上の格納型クロスサイトスクリプティングだ。 対象製品と対応状況 影響を受けるのは物理・仮想のSMA1000シリーズ(6210、7210、8200v)で、バージョン12.4.3-03526以前および12.5.0-02952以前が該当する。SonicWallはそれぞれ12.4.3-03670以降、12.5.0-03082以降で修正済みのビルドを提供しており、MySonicWallポータルから入手したホットフィックスを適用するとアプライアンスが再起動して反映される。なお、この脆弱性はSMA100シリーズやSonicWallファイアウォール上のSSL-VPN機能には影響しない。 背景と今後の見通し SonicWallのSMA1000 WorkPlaceを舞台にしたCVSS10.0のSSRF脆弱性は、今年に入ってすでに3件目となる。7月のCVE-2026-15409/15410、9月のCVE-2026-83548/83549はいずれもゼロデイとして実際に悪用されていた経緯があり、今回のCVE-2026-102255も同様のパターンを踏む可能性への警戒感が強い。セキュリティ監視団体Shadowserverの調査では、インターネットに露出したSMA1000アプライアンスが400台以上確認されている。これらのアプライアンスは政府機関、マネージドサービスプロバイダー、大企業のVPNアクセスに広く使われており、CISAは19件のSonicWall関連脆弱性を実際に悪用されたものとしてリストに挙げ、そのうち13件はランサムウェア攻撃と関連付けられている。こうした経緯を踏まえ、SMA1000を運用する組織は悪用証拠の有無にかかわらず、速やかにホットフィックスを適用することが求められる。

概要 Fortinet製メールセキュリティ製品「FortiMail」の管理インターフェースに、未認証の攻撃者が任意のファイルを書き込める深刻な脆弱性(CVE-2026-104286、CVSS 9.8)が発見され、パッチ公開前から実際の攻撃で悪用されていることが確認された。Fortinetの製品セキュリティチームに所属するGwendal Guégniaud氏が発見・報告したもので、Fortinetは社内アドバイザリFG-IR-26-175として10月1日に公表した。米CISAは同日、既知の悪用脆弱性(KEV)カタログに本脆弱性を追加し、米連邦文民機関に対して10月4日までにフォレンジック調査と緩和策の実施を義務付けている。 脆弱性の技術的詳細 脆弱性は、制限ディレクトリへのパス名の不適切な制限(CWE-22、いわゆるパストラバーサル)と、NULLバイト・文字の不適切な無害化(CWE-158)という2つの弱点が組み合わさったもので、管理インターフェースに対して巧妙に作成されたHTTP/HTTPSリクエストを送信するだけで、未認証のまま任意ファイルをシステムに書き込めてしまう。Fortinet自身も「制限ディレクトリへのパス名の不適切な制限の脆弱性により、未認証の攻撃者が基盤システム上に任意のファイルを書き込める可能性がある」と説明しており、書き込んだファイルを起点にリモートコード実行につながる恐れも指摘されている。 影響を受けるのはFortiMail 7.2.07.2.9、7.4.07.4.8、7.6.07.6.6、8.0.08.0.1の各系列。報道時点でFortiMail 7.4系・7.6系・8.0系向けの修正版(7.4.9、7.6.7、8.0.2)は「近日公開」とされ未提供で、7.2系はサポートが終了しているため7.4以降への移行が必要となる。パッチが整うまでの暫定策として、Fortinetは不要であればIdentity Based Encryption(IBE)機能をconfig system encryption ibe/set status disableで無効化すること、および管理インターフェースへのアクセスを信頼できるプライベートネットワークのみに制限することを推奨している。 侵害の実態と対応状況 Fortinetが公開した侵害の兆候(IoC)によれば、攻撃では/bin/smitの改変や/data/lib/liblog.soの追加など7つのファイルが書き換え・追加されており、SHA-256ハッシュ値も併せて示されている。関連する攻撃元IPアドレスとして79.141.169.187と45.129.0.192が報告されている。悪用がいつから始まったか、攻撃者の正体など詳細は明らかにされていないが、パッチが存在しない状態での実被害が確認されている点が事態を深刻化させている。 CISAのKEV登録により、米連邦文民機関には10月4日までにフォレンジック調査と緩和策適用が義務付けられたが、これは連邦機関以外の組織にとっても対応の緊急性を示す指標となる。FortiMailは組織の電子メールゲートウェイとして広く利用されており、管理インターフェースが外部からアクセス可能な構成の場合はリスクが特に高い。修正パッチが提供されるまでは、管理インターフェースのネットワーク分離とIoCに基づく侵害有無の確認を直ちに行うことが強く求められる。

概要 Ciscoは10月8日、NX-OSを稼働するNexus 3000および9000シリーズスイッチ(スタンドアロンNX-OSモード)に影響する重大な脆弱性5件に関するセキュリティ勧告を公開した。いずれも未認証の攻撃者による悪用が可能で、最悪の場合root権限での任意コード実行、あるいはデバイスの強制リロードによるサービス停止を招く恐れがある。データセンターや企業ネットワークの中核を担う機器が対象となるため、影響範囲は広い。なお、ACIモードで動作するNexus 9000やNexus 7000シリーズは今回の脆弱性の対象外とされている。 脆弱性の技術的詳細 5件の脆弱性は、NX-APIおよびNext Generation OAM(NGOAM)、MPLS OAMという3つの機能における入力検証の不備に起因する。具体的には、CVE-2026-76471はNX-APIへの入力検証不足によるもので、デフォルトでは無効化されているNX-APIが有効な環境で、巧妙に作成されたHTTPリクエストを送信することで悪用される。CVE-2026-76485、CVE-2026-76486、CVE-2026-76501はNGOAMにおけるIPトラフィックの検証不備で、不正なIPパケットの送信によって引き起こされる。このうちCVE-2026-76486はSRv6またはNVオーバーレイが有効な構成でのみ、CVE-2026-76501はSRv6が有効な構成でのみ影響を受ける(CVE-2026-76485はNGOAM有効時に一般的に影響を受ける)。残るCVE-2026-76465はMPLS OAMのecho-requestパケットの検証不備で、MPLS OAM機能が明示的に有効化されている場合に限り悪用可能となる。いずれも対象機能が無効であれば攻撃は成立せず、デフォルト設定のまま運用している環境ではリスクが低減される点が共通している。 悪用状況と対応策 Cisco は勧告公開時点で、これら5件の脆弱性について「公開された発表や悪意ある悪用の事実は確認していない」としている。発見はCisco社内のセキュリティテストによるもので、現時点で外部からの実際の攻撃報告はない。対応としては、Cisco Software Checkerツールを用いて自社のNX-OSバージョンに該当する修正パッチを特定し、速やかに適用することが推奨されている。パッチ適用までの暫定対応としては、NX-API、NGOAM、MPLS OAMといった利用していない機能を無効化すること、またアップグレード待ちのスイッチに対してはCiscoのLive Protectシールドを適用することが有効な緩和策として挙げられている。 今後の影響 ネットワークの中核を担うスイッチでroot権限を奪取されれば、データセンター全体やその上で動くサービスへの影響が及ぶ可能性があり、攻撃者にとって高い価値を持つ標的となりうる。現時点で野放しの悪用は確認されていないものの、脆弱性の詳細が公開されたことで今後PoCや攻撃コードが出現するリスクは否定できない。該当機器を運用する企業は、まず影響を受ける機能が有効化されているかを確認し、不要であれば無効化、必要であれば早急なパッチ適用を進めることが求められる。

概要 FBIとシークレットサービスは10月7日、Fortinet製FortiGateファイアウォール/SSL VPNを標的とする大規模な認証情報窃取キャンペーン「FortiBleed」が依然として活発に継続していると共同で警告を発した。両機関は「攻撃者は以前に入手した侵害済み認証情報を使い、インターネットに公開されたFortinetファイアウォールのスキャンを続けている」と明言しており、パッチ適用だけでは不十分であることを強調している。これまでに194カ国で8万6644台ものFortinet機器の認証情報が侵害されたと見られ、管理者が自らのデバイスからロックアウトされる被害や、窃取された初期アクセス権がランサムウェアグループに売買される実態が確認されている。 FortiBleedの正体と攻撃手法 FortiBleedは2026年6月、FortiGateファイアウォールとSSL VPNゲートウェイのユーザー名・平文パスワードが大量に流出していることが発覚したロシア語圏の攻撃者によるキャンペーンとされる。発覚当初は194カ国・7万3932件のファイアウォールURLに関する認証情報の露出が確認され、その後の調査で侵害デバイス数は8万6644台まで拡大した。攻撃者はまず、インフォスティーラーのログや過去の漏洩データから得た認証情報を使ったクレデンシャルスタッフィングやパスワードスプレーでFortiGateの公開エンドポイントに侵入を試みる。さらに注目すべきは、Fortinetが採用していたレガシーなSHA-256方式のパスワードハッシュ保存の弱点を突き、HashcatやHashtopolisによる分散GPUクラスターでオフラインのパスワードハッシュを大量にクラッキングしていた点だ。自作ツール「FortigateSniffer」(Go言語製)を用いて24種類ものプロトコルから認証情報を傍受する手口も確認されており、偵察からクレデンシャル窃取、ハッシュクラッキング、横展開・データ窃取に至る5段階の攻撃チェーンが構築されていたという。研究者が発見した攻撃者側のバックエンドサーバーからは、ターゲットを売上規模やネットワーク構成で選別・優先順位付けする仕組みや、侵害済みアクセス権をパッケージ化して販売する運用体制まで明らかになっている。 管理者ロックアウトとランサムウェアへの波及 FBIとシークレットサービスが特に警鐘を鳴らすのは、攻撃者が侵害した認証情報を使って新たな管理者アカウントを作成したり、既存の管理者アカウントを削除・パスワード変更したりすることで、正規の管理者自身をデバイスから締め出すケースだ。永続化のために「adminin」「fortiAdmin」「forticloud-sync」「fgtsecure」「pakedge」といった紛らわしい名前の不正アカウントが作成される事例も報告されている。盗まれた初期アクセス権は、少なくとも20以上のアフィリエイトが関与する初期アクセスブローカーのモデルを通じて転売されており、INC/Lynxランサムウェアグループへの関連が7月時点でSOCRadarにより指摘されていた。今回の警告では、このアクセス経由で少なくとも12件以上の組織がランサムウェアによる侵害・暗号化被害に遭ったこと、さらにPayloadランサムウェアのアフィリエイトにもアクセス権が供与されていたことが確認されている。 推奨される対策と今後の見通し FBIは、単にFortinet製品へのパッチ適用だけでは不十分であり、より踏み込んだ対応が必要だと強調している。具体的には、外部からの管理アクセスの制限、すべてのアクティブなVPN・管理セッションの強制終了、フィッシング耐性のある多要素認証(MFA)の導入、不審な変更がないかのログ精査、そしてレガシーなSHA-256方式に代わるPBKDF2方式でのパスワード保存の徹底が推奨されている。さらに、既存のFortinetアカウントがすべて正規のものか確認し、疑わしいアカウントの削除や認証情報の全面リセットを行うことも呼びかけられている。CISAは6月の時点で初期警告を出していたが、今回10月の共同警告は、発覚から数カ月を経てもなお攻撃が収束していないことを示すものであり、インターネットに公開されたVPN機器を運用する組織にとって、継続的な監視と多層的な防御の必要性を改めて浮き彫りにしている。