Security

概要 イーストマン・コダックは2026年6月17日、同社のデータが不正アクセスを受けたことを正式に認めた。「権限を持たない第三者が、限定的な量の社内データに一時的な不正アクセスを行った」と声明で述べており、現在外部のサイバーセキュリティ専門家を起用して調査を進めるとともに、法執行機関とも連携している。コダックは「システムや事業運営への脅威はない」としているが、220万件以上の顧客個人情報（PII）および社内データが窃取されたと主張するサイバー犯罪グループShinyHuntersが公開を示唆していたことで、このデータ侵害が広く注目を集めた。 ShinyHuntersの手口と要求 ShinyHuntersは、ダークウェブ上に独自のリークサイトを持つ恐喝専門のサイバー犯罪組織だ。2026年6月15日にコダックのデータを盗んだと主張してリークサイトに掲載し、6月18日を期限として「それまでにコダックが連絡を取らなければ盗んだデータを公開する」と脅迫した。同グループは、ソーシャルエンジニアリングやビッシング（音声フィッシング）によって従業員の認証情報を詐取した上でデータを窃取するほか、サプライチェーン攻撃にゼロデイ脆弱性を悪用するなど多様な手口を駆使することで知られる。今回のコダックへの侵入経路については調査中であり、特定の手法は明らかにされていない。 ShinyHuntersの過去の攻撃歴 ShinyHuntersは2026年だけでも複数の大規模侵害に関与している。教育プラットフォームのInstructure Canvas（9,000以上の機関に影響）、通信大手のCharter Communications（4,200万件のレコード）、Oracle PeopleSoftのユーザー企業群（100社以上）などが標的となっており、同グループの攻撃能力は業種を問わず広範に及ぶ。それ以前にも、SalesforceやSnowflakeの顧客企業数百社を標的とした攻撃が確認されており、組織化された高度な脅威アクターとして認識されている。 データ恐喝の現代的トレンドと企業への示唆 今回の事例は、ランサムウェアによるシステム暗号化から、データ窃取と公開脅迫を組み合わせた「二重恐喝」モデルへとサイバー攻撃の主流が移行しつつあることを示している。攻撃者はシステムを停止させることなくデータのみを抜き出し、公開期限を設けることで被害企業に圧力をかける手法を採る。コダックはシステムや業務への影響はないと強調しているが、影響を受けた顧客への通知と補償対応が今後の焦点となる。企業側には、従業員を狙ったソーシャルエンジニアリング対策や、サプライチェーンを含む広範なアクセス管理の強化が改めて求められる。

概要 「Orchid Files」として知られる個人セキュリティ研究者が、GitHub上で正規リポジトリをクローンしたトロイの木馬入りの偽リポジトリを1万件以上にわたって独力でマッピングし、2026年6月に公開した。この研究者が最初に異変に気付いたのは2026年2月頃で、自身のプロジェクトをBingで検索したところ、わずか1時間前に不審なREADMEコミットが行われた「ほぼ同一」のクローンが検索結果に表示されたことがきっかけだった。サイバーセキュリティ企業Hexastrikeが2026年4月に109件のリポジトリで同一ペイロードファミリーを確認していたが、今回の開示によりその規模は約91倍に拡大した。 GitHubは積極的な削除対応を進めているものの、新たなクローンリポジトリが継続して作成されており、被害は収まっていない。このキャンペーンは開発者個人だけでなく、コードリポジトリを自律的に参照するAIエージェントも標的としており、ソフトウェアサプライチェーン全体に対する新たな脅威として注目されている。 感染チェーンと技術的な手口 攻撃者は人気の正規リポジトリを選定してクローンし、READMEに目立つダウンロードボタンを設置、そこからマルウェアを含むZIPアーカイブへ誘導する。ZIPにはバッチ起動スクリプト、LuaJIT 2.1.0-beta3インタープリター（GUI サブシステム使用、署名なし）、および .txt や .log 拡張子でカモフラージュされた難読化Luaスクリプトが同梱されている。この2ファイルを単独で分析した場合には無害に見えるが、バッチファイルがLuaJITを起動してスクリプトを引数として渡すことで初めてマルウェアとして機能するという「分割ペイロード」設計が、自動セキュリティスキャンによる検出を長期間にわたって回避させてきた。 ローダーコンポーネント「SmartLoader」はPrometheusで難読化された単一行Luaスクリプト（296〜309 KB）で構成される。定数が算術恒等式で隠蔽され、文字列が置換エンコードされ、変数名はランダム化されている。さらに、LuaJITのFFI（外部関数インタフェース）でWindows APIを直接呼び出し、ネイティブシェルコードによるアンチデバッグ確認、GDIパイプラインを使ったスクリーンショット取得、システムフィンガープリンティング、そしてPEヘッダー解析とインメモリ実行支援など高度な機能を備える。 ブロックチェーンを悪用したC2インフラ 特筆すべき点は、C2（コマンド＆コントロール）サーバーのアドレス取得にPolygonブロックチェーンのスマートコントラクト（0x1823A9a0Ec8e0C25dD957D0841e3D41a4474bAdc）を利用していることだ。SmartLoaderは polygon.drpc.org へのJSON-RPCを通じてコントラクトをクエリし、現在のC2アドレスを動的に取得する。これにより、攻撃者はマルウェアを再ビルドすることなくサーバーを入れ替えられるため、テイクダウン対策が著しく困難になる。実際のC2として観測されたIPは 144.31.57.65 と 144.31.57.67（同一 /24 サブネット）で、被害者のホスト情報やスクリーンショットをマルチパートPOSTで送信する。 第2ステージのペイロードは攻撃者が管理するGitHubリポジトリ（deepanshugoel99/long）から暗号化された形で取得され、情報窃取マルウェア「StealC」がインメモリで実行される。永続化は「AudioManager_ODM3」や「OfficeClickToRunTask」など正規ソフトに偽装したスケジュールタスクを2本作成することで実現し、一方が削除されても他方がGitHubから再取得して感染を維持する冗長設計になっている。 検出回避と規模拡大の仕組み このキャンペーンが1年以上にわたって検出を回避し続けた背景には、複数の工夫がある。リポジトリは数時間おきに最新コミットを削除して「Update README.md」という同名の新規コミットをプッシュする。この繰り返しの上書きがGitHubのセキュリティアルゴリズムを混乱させ、通常のメンテナンス活動と区別しにくくしていると研究者は分析する。また、クローン元は著名な既存リポジトリではなく比較的マイナーな本物のリポジトリで、偽クローンが検索結果で本物を上回る順位に表示されるケースも確認されている。さらに、AIコーディングエージェントがリポジトリを検索して自動的に依存関係を解決する際に、偽クローンを正規のものと誤認して取り込むリスクが指摘されており、AI開発ワークフロー固有の脅威面として浮上している。 セキュリティ上の示唆と対策 このキャンペーンの検出シグナルとしては、非ブラウザプロセスからの *.drpc.org へのDNS/HTTPアクセス、スマートコントラクトアドレスや関数セレクタ 0x3bc5de30 を含む eth_call リクエスト、ベアIPアドレスへの /api/ や /task/ エンドポイントへのPOSTリクエストが挙げられる。行動面では、.txtや.log拡張子のスクリプト引数を持つ署名なし実行ファイルのバッチ起動、非標準パスからのLuaJIT DLL読み込み、%LOCALAPPDATA% 参照のスケジュールタスク作成などが指標となる。GitHubからコードをダウンロードする際はリポジトリのスター数・コントリビュータ・更新履歴を確認し、公式の組織アカウントであることを必ず検証すること、また依存ライブラリを自動解決するAIエージェントやCI/CDパイプラインに対してもアーティファクト検証の仕組みを導入することが、今回のような攻撃に対する有効な防御策となる。

概要 DragonForceランサムウェアグループが、Microsoft TeamsのTURN（Traversal Using Relays around NAT）リレーインフラを悪用してコマンド＆コントロール（C2）通信を隠蔽する新たな手口を用いていたことが、Symantecの調査によって明らかになった。攻撃者はGoベースのカスタムバックドア「Backdoor.Turn」を展開し、正規のMicrosoftサーバーへのトラフィックとして偽装することで、防御側による検知を1〜2か月にわたって回避した。これはTURNリレーインフラを悪用したマルウェアとして野生環境で初めて確認された事例とされる。標的となったのは米国の大手サービス企業である。 Backdoor.Turnの技術的仕組み Backdoor.Turnが採用するC2通信の隠蔽技術は「Ghost Calls」と呼ばれる手法に基づく。具体的には、MicrosoftのSkypeアイデンティティサービスから匿名のTeamsビジタートークンを取得し、正規のMicrosoft TURNリレーサーバーを接続確立に利用したうえで、攻撃者のC2サーバーへのQUICセッションを確立する仕組みだ。ネットワークを監視する防御担当者には正規のMicrosoft Teamsサーバーへの通信しか見えないため、データが外部に持ち出されていることに気付くことが極めて困難となる。 マルウェアの機能は多岐にわたる。コマンド実行・プロセス起動、ネットワークスキャン、TLS証明書情報の取得、LDAP/Active Directoryの列挙、盗んだ認証情報を用いたラテラルムーブメント、ブラウザに保存された認証情報の窃取などが実装されており、ランサムウェア展開後も持続的なアクセス維持のために同バックドアが注入されることが確認されている。研究者たちは「ランサムウェア攻撃者が自前のカスタムツールを使用すること自体が珍しいが、Backdoor.Turnほど洗練されたカスタムツールを使用するのはさらに例外的だ」と指摘している。 攻撃のタイムラインと手法 攻撃の初期侵入は2025年12月に遡り、SQL/MSSQLサーバーの脆弱性悪用またはアクセスブローカーの関与が疑われている。侵入後は正規のVirtualBoxやDbgViewをDLLサイドローディングに悪用して追加マルウェアを取得し、偵察活動を開始した。 権限昇格には複数の署名済み脆弱なドライバを持ち込むBYOVD（Bring Your Own Vulnerable Driver）戦略が採用された。悪用されたドライバには、HuaweiのHWAuidoOs2Ec.sys、Topaz AntifraudのCVE-2023-52271（wsftprm.sys）、Tower of FantasyのCVE-2025-61155（GameDriverx64.sys）、K7 SecurityのCVE-2025-1055（K7RKScan.sys）、そしてPalo Alto Networksのドライバを偽装したカスタムドライバ「ABYSSWORKER」が含まれる。セキュリティプロセスを無効化したうえでデータを外部流出させ、最終的にランサムウェアペイロードを展開するまでに1〜2か月の潜伏期間が設けられていた。 背景と対応 DragonForceはランサムウェア・アズ・ア・サービス（RaaS）モデルから、高度な標的型攻撃を行う組織的なカルテル構造へと移行しており、今回の攻撃はその継続的な能力開発の一端を示している。Microsoftのクラウドインフラを盾に利用するこの手口は、エンタープライズ環境において広く展開されているコラボレーションツールが新たな攻撃ベクターになり得ることを示す重大な事例だ。Symantecは侵害指標（IoC）を公開しており、セキュリティチームはネットワーク上のTeamsトラフィックの精査と、脆弱なドライバの監視を強化することが求められる。

概要 Splunk EnterpriseにCVSSスコア9.8（最高レベル）の深刻な脆弱性CVE-2026-20253が発見された。PostgreSQL sidecarサービスのエンドポイントに認証制御が欠如しており、ネットワークから到達可能な未認証ユーザーが任意のファイル操作やリモートコード実行（RCE）を行える。CISAは2026年6月18日時点で実際の悪用を確認し、Known Exploited Vulnerabilities（KEV）カタログに追加した。Binding Operational Directive 26-04に基づき、米連邦機関は6月21日（日曜日）までにパッチを適用することが義務付けられた。 技術的な詳細 watchTowr Labsが公開した技術分析によると、攻撃チェーンは以下の手順で構成される。まず /v1/postgres/recovery/backup エンドポイントを介して攻撃者が制御するデータベースの内容をファイルに書き出し、続いて /v1/postgres/recovery/restore エンドポイントで悪意あるデータベースダンプを復元する。復元処理中にSQL関数 lo_export を利用して任意のファイルを書き込み、最終的にPythonスクリプトを上書きすることでコード実行を達成する。同LabはPoC（概念実証）コードも公開しており、攻撃の再現が容易になっている。 影響を受けるバージョンと修正版 影響を受けるのはSplunk Enterprise 10.0.0〜10.0.6（修正版: 10.0.7）および10.2.0〜10.2.3（修正版: 10.2.4）。Splunk Enterprise 10.4以降とSplunk CloudはPostgreSQL sidecarを使用していないため影響を受けない。Shadowserverの調査によると、インターネット上に公開されているSplunkインスタンスは世界で1,400件以上確認されており、うち北米で952件、欧州で223件が露出している。 推奨される対策 最優先の対策は修正済みバージョンへの即時アップデートである。即時のパッチ適用が困難な場合の一時的な回避策として、PostgreSQL sidecarサービスを無効化する方法があるが、この操作によりEdge Processor、OpAmp、SPL2データパイプラインが機能しなくなる点に注意が必要だ。Splunk PSIRTは6月18日に「限定的な悪用を確認した」と発表しており、パッチ未適用のシステムはすでに攻撃対象となっているリスクが高い。連邦機関以外の組織も早急な対応が求められる。

概要 セキュリティ研究者のBob Diachenkoが公開サーバー上に「FortiBleed」と名付けられた大規模な認証情報漏洩を発見した。このデータセットには194カ国にわたる約73,932台のFortinetファイアウォールに対応するURLが含まれており、ユーザー名・メールアドレス・平文パスワードを含む有効なFortigate VPN認証情報が記録されていた。これはインターネット上にアクセス可能な全FortiGateデバイスの約半数に相当し、影響を受けたユニークドメイン数は21,632件に上る。 影響を受けた主な組織には、Chevron・Samsung・Foxconn・Comcast・AT&T・Mercedes-Benz・Toyota・PwC・Accenture・Oracleなどのグローバル大企業に加え、複数の政府機関が含まれている。地理的には、インド・米国・台湾・メキシコ・トルコ・タイ・コロンビア・マレーシア・チリ・UAEが上位の被害国として挙げられている。 攻撃手法と流出経緯 研究者らによると、脅威アクターは320,777台のFortiGateターゲットに対して約11.6億回ものクレデンシャル試行を実施した。また、Hashtopolisというソフトウェアで管理された45基のGPUクラスターを使用してSSL VPN認証ハッシュを解読したとされている。流出した認証情報はFortinetの設定ファイルから抽出されたと見られているが、その初期取得方法については依然として不明であり、既知の脆弱性の悪用なのか、未公開の欠陥を突いたものなのか、あるいは別の攻撃ベクターによるものなのかは確認されていない。 推奨される対策 影響を受ける可能性のある組織は、以下の対策を速やかに実施することが強く推奨されている。 認証情報のローテーション：Fortinetデバイスに関連するすべてのパスワードを直ちに変更する 多要素認証（MFA）の有効化：VPN接続に対してMFAを設定し、認証情報が漏洩しても不正アクセスを防ぐ ゲートウェイログの精査：不審なアクセスや認証試行の痕跡がないかログを確認する 従業員認証情報の監視：Hudson Rockの無料ルックアップツール等を活用して、組織の認証情報がデータ漏洩に含まれていないかを確認する 今回の事案は、Fortinetデバイスを含むネットワーク境界機器に対する大規模かつ組織的な認証情報収集キャンペーンが継続していることを改めて示しており、ゼロトラスト原則の実装や特権アクセス管理の強化が急務であることを浮き彫りにしている。

概要 米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、JoomlaのContent Editor（JCE）拡張機能に存在する脆弱性CVE-2026-48907（CVSSスコア10.0）を既知の悪用済み脆弱性カタログ（KEV）に追加した。この脆弱性は不適切なアクセス制御に起因し、未認証のユーザーが悪意のあるPHPコードをサーバー上にアップロード・実行することを可能にする最大深刻度の欠陥だ。CISAはすべての連邦政府機関（FCEB）に対し、2026年6月19日までに修正パッチを適用するよう義務付けている。 技術的な詳細 Widget Factory社が開発するJCE拡張機能のバージョン1.0.0から2.9.99.4までが対象となる。攻撃者は「index.php?option=com_jce&task=profiles.import」へのリクエストを通じて不正なエディタープロファイルをインポートし、Webシェルを展開してサーバーへの永続的なバックドアを確立する。既にパブリックな悪用コードが公開されており、攻撃は自動化されているため、被害が広がるリスクが高い。修正版はバージョン2.9.99.5として2026年6月3日にリリース済みだ。 対応と注意事項 Joomlaは、更新を適用しても「すでに侵害されたサイトはクリーンアップされない」と警告している。Joomlaサイトの管理者はJCEを最新版（2.9.99.5以降）へアップデートするとともに、アクセスログを精査して不審なエディタープロファイルのインポートリクエストがなかったか確認することが推奨される。既に侵害を受けている場合はサーバー全体のフォレンジック調査が必要となる。公開されているエクスプロイトコードにより攻撃の自動化が進んでいることから、パッチ適用は一刻を争う対応が求められる。

概要 セキュリティ研究者「Nightmare Eclipse」は、Microsoft Defenderのマルウェア対策エンジン（Malware Protection Engine）に存在するゼロデイ権限昇格脆弱性「RoguePlanet」のPoC（概念実証コード）を公開した。この脆弱性はCVE-2026-50656として追跡されており、完全にパッチが適用された最新のWindows 10およびWindows 11上でも、SYSTEM権限を持つコマンドプロンプトを起動できる。Microsoftはすでに脆弱性を認識しており、「高品質なセキュリティアップデートの提供に向けて作業中」と声明を出した。 技術的な詳細 RoguePlanetの本質はレースコンディションであり、タイミング次第でSYSTEM権限のシェルを取得できる。研究者によれば「エクスプロイトはレースコンディションのため成否がある。一部の機器では100%の成功率を達成できたが、機器によっては安定しないこともある」とのことで、環境依存の再現性を持つ点が特徴だ。またリアルタイム保護の有効・無効を問わず機能することが確認されており、単純な保護機能の無効化では根本的な緩和とならない。 開示の背景と研究者との対立 今回の公開は、MicrosoftのバグバウンティおよびVDP（脆弱性開示プログラム）をめぐる研究者との継続的な対立の一部として行われた。Nightmare Eclipseは過去にも「BlueHammer」「RedSun」「GreenPlasma」「MiniPlasma」「YellowKey」など複数のWindowsゼロデイを公開しており、GitHubおよびGitLabからリポジトリを削除されたと主張した後、自己管理のGitリポジトリ上でPoCを公開している。なお、MicrosoftはCVE-2026-50656の公式通知において元の研究者をクレジットしていない。 現在の対応状況 Microsoftは「本脆弱性に対処する高品質なセキュリティアップデートの提供に向けて作業中」とし、アップデートが利用可能になり次第CVE上で情報を提供するとしているが、公開時期は明らかにしていない。現時点で記事内では暫定的な緩和策や設定変更は案内されておらず、根本的な対処にはMicrosoftの修正パッチの適用が必要となる。企業・個人ユーザーともに、Microsoftのセキュリティ情報を継続的に確認し、パッチの公開次第、速やかに適用することが強く推奨される。

概要 2026年6月12〜14日にかけて、WordPressプラグインベンダーAwesome Motiveが運営するコンテンツデリバリーネットワーク（CDN）が侵害され、同社の主要プラグイン3本のJavaScriptファイルに悪意あるコードが埋め込まれた。影響を受けたのはOptinMonster（100万以上のサイトで使用）、TrustPulse、PushEngageで、合計120万サイト以上が潜在的な脅威にさらされた。セキュリティ企業Sansecが6月13日に侵害を発見し、OptinMonsterとTrustPulseのCDNスクリプトは6月12日22:42 UTCに除去され、PushEngageは6月14日までに対応が行われた。 侵害の経緯と攻撃手法 攻撃者はまず、Awesome Motiveのマーケティングウェブサイト上で稼働していたUpdraftPlusプラグインの既知の脆弱性を悪用してサーバーへのアクセスを取得した。そのサーバーは本番環境とは分離されていたものの、CDNアカウントのAPIキーが保存されており、攻撃者はこれを窃取して以下のCDNファイルを直接改ざんした： a.omappapi.com/app/js/api.min.js（OptinMonster） a.opmnstr.com/app/js/api.min.js（OptinMonster） a.trstplse.com/app/js/api.min.js（TrustPulse） clientcdn.pushengage.com/sdks/pushengage-web-sdk.js（PushEngage） 改ざんされたスクリプトは高度な検出回避機能を備えており、ヘッドレスブラウザやWebDriverの検出を避けるロジックを持ち、さらにlocalStorageに24時間のタイムスタンプを書き込んで同一サイトでの再実行を抑制した。ログイン状態のWordPress管理者がサイトを訪問した場合にのみコードが起動するという巧妙な設計で、一般ユーザーには無害に見える構造になっていた。 不正管理者アカウント作成とバックドア設置の仕組み スクリプトが起動すると、管理者のセッションを利用してREST APIおよびAJAXエンドポイントから認証トークンとnonceを収集した。その後、以下の4つの経路を試みて不正な管理者アカウントを作成した： REST API（/wp-json/wp/v2/users） 管理フォーム（/wp-admin/user-new.php） WordPress AJAX 隠しiframe 作成されるアカウントは固定型（developer_api1 / customer1usx@gmail.com）とランダム型（dev_xxxxxx / dev_xxxxxx@gmail.com）の2パターンがあった。Patchstackの観測では、36時間で81のIPアドレスから271件の不正リクエストが検出されており、そのうち267件がランダム型のアカウント名を使用していた。 管理者アカウント取得後は、ZIPファイル形式のバックドアを/wp-admin/update.php?action=upload-plugin経由でアップロードし、「Content Delivery Helper」または「Database Optimizer」という無害に見える名称のプラグインとしてインストールした。このバックドアはウェブシェルや任意のPHP実行機能を備えており、攻撃者に完全なリモートアクセス権限を与えた。収集したデータはXOR暗号化（鍵：jX9kM2nP4qR6sT8v）でエンコードされ、正規サービスのtidio.comを模倣して4月28日に登録されたC2ドメインtidio.cc（IP: 84.201.6.54）へ送信された。 影響範囲と対応状況 OptinMonsterとTrustPulseへの悪意あるコード注入は6月12日22:17 UTCから始まり、わずか25分後の22:42 UTCには除去された。一方、PushEngageは6月14日まで侵害された状態が続いた。Awesome Motiveの他製品（WPForms：600万インストール、All in One SEO：300万インストール、MonsterInsights：200万インストール）への侵害は現時点では確認されていないが、警戒が必要な状況にある。 影響を受けた可能性のあるサイト管理者は以下の対応が推奨される： developer_api1またはdev_xxxxxx形式の不審な管理者アカウントを削除 wp-content/pluginsディレクトリをファイルシステム上で直接検査し、隠しプラグインを確認 サーバーサイドのマルウェアスキャンを実施 すべての認証情報とセキュリティソルトをローテーション C2ドメインtidio.ccをブロック なお、サイトのダッシュボードからは隠しプラグインが見えないよう細工されている可能性があるため、ファイルシステムを直接確認することが重要だ。 サプライチェーン攻撃としての教訓 今回の攻撃は、自身のWordPressサイトが完全にパッチ済みであっても、利用しているプラグインのCDNが侵害された場合にはなす術がないことを示している。攻撃コードはプラグインの配布サーバーではなくCDNファイルに直接埋め込まれており、標準的なファイル整合性チェックでは検出が困難だった。セキュリティ研究者は、CDNを経由したサプライチェーン攻撃に対してはサードパーティリソースの継続的な監視と、ウェブアプリケーションファイアウォール（WAF）による異常なAPI呼び出しの検出が有効な対策であると指摘している。

概要 Ciscoは2026年5月15日、Catalyst SD-WANシリーズに存在する認証バイパス脆弱性（CVE-2026-20182）に対するパッチを公開した。同脆弱性は攻撃者が特殊に細工したパケットを送信することでピアリング認証を回避し、対象システムの管理者権限を遠隔から取得できるもので、深刻度はクリティカルと評価されている。影響を受ける製品はCisco Catalyst SD-WAN Controller（旧称：SD-WAN vSmart）とCisco Catalyst SD-WAN Manager（旧称：SD-WAN vManage）であり、両製品ともに早急なパッチ適用が求められる。 本脆弱性は2026年3月9日にRapid7が発見・報告しており、Ciscoはパッチを2026年5月15日に提供した。その後CISAは脆弱性を「Known Exploited Vulnerabilities（KEV）」カタログに追加しており、実際の攻撃での悪用が確認されている。これは2026年に入ってからSD-WAN製品で悪用が確認されたゼロデイ脆弱性の6件目であり、CiscoのSD-WAN製品群を標的とした攻撃の深刻化を改めて示している。 攻撃の実態と脅威グループ 攻撃活動は2026年5月から活発化しており、Cisco Talosの分析によると「UAT-8616」と呼ばれる高度に洗練された脅威グループが関与していることが判明している。このグループの所属国家や最終的な目的は現時点では不明だが、インフラストラクチャがCisco Talosが監視するOperational Relay Box（ORB）ネットワークと重複していることが確認されている。 侵害後の活動としては、SSHキーの追加、NETCONF設定の改ざん、ルート権限への昇格試みなどが観測されている。Cisco Talosは計10のアクティビティクラスターを特定しており、これらのクラスターは仮想通貨マイナー、認証情報窃取ツール、バックドアといった多様なマルウェアを展開していることが確認されている。 深刻化するSD-WAN製品への標的型攻撃 CISAのKEVカタログには現在、Cisco SD-WAN関連の脆弱性が計15件登録されており、そのうち2026年に発見されたものが5件含まれている。このペースはSD-WAN製品が国家レベルの脅威アクターやサイバー犯罪グループにとって高価値な標的となっていることを示している。SD-WANコントローラーはネットワーク全体のトラフィックルーティングやポリシー制御を担う中枢機器であり、一度侵害されると広範なネットワークへのアクセスが可能になるため、引き続き攻撃者の関心を集めていると考えられる。 影響を受ける製品を利用している組織はCiscoが公開したセキュリティアドバイザリを確認し、速やかにパッチを適用するとともに、異常なSSH接続やNETCONF設定変更の有無を確認することが強く推奨される。

概要 Node.jsは2026年6月17日（水）、現在サポート中の複数リリースラインを対象とするセキュリティリリースを公開した。影響を受けるのは 26.x・24.x・22.x の3ラインで、いずれも最高深刻度が HIGH（高） に分類されている。Node.jsチームはすべてのユーザーに対して速やかな更新を強く推奨している。 影響を受けるバージョン 今回のセキュリティリリースは、現行のアクティブおよびメンテナンス対象リリースラインすべてに影響する。 リリースライン 最高深刻度 26.x（最新版） HIGH 24.x（LTS） HIGH 22.x（LTS） HIGH 脆弱性の具体的な CVE 番号や技術的詳細は、リリース公開とあわせて順次開示される。セキュリティポリシーに従い、悪用リスク低減のため詳細情報の公開はリリース後に行われる。 推奨される対応 Node.js を本番環境で利用しているユーザーおよび組織は、以下の対応を優先的に実施することが求められる。 最新パッチバージョンへのアップグレード: 利用しているリリースラインの最新版に更新する サポート対象バージョンの確認: EOL（サポート終了）バージョンを使用している場合は、LTS バージョンへの移行を検討する セキュリティ通知の購読: Node.js 公式の低頻度アナウンスメーリングリスト「nodejs-sec」に登録することで、今後のセキュリティ情報を迅速に受け取れる Node.js のリリーススケジュールや EOL 情報は、GitHub の release ページで確認できる。