Security

概要 Grafana Labsは2026年3月25日、深刻度CriticalのCVE-2026-27876とHighのCVE-2026-27880を修正したセキュリティアップデートをリリースした。対象となる修正済みバージョンはGrafana 11.6.14、12.1.10、12.2.8、12.3.6、12.4.2で、これらのいずれかへの速やかなアップグレードが強く推奨されている。Grafana Cloud、Amazon Managed Grafana、Azure Managed Grafanaについてはすでにパッチ適用済みとなっている。 CVE-2026-27876：SQL ExpressionsによるRCE（Critical / CVSS 9.1） CVE-2026-27876はGrafanaのSQL Expressions機能（sqlExpressionsフィーチャートグル）に存在する任意ファイル書き込みの脆弱性であり、最終的にリモートコード実行（RCE）へとエスカレートする可能性がある。攻撃者はSqlyzeドライバーの上書きやAWSデータソースの設定ファイルの細工といった複数の攻撃ベクトルを連鎖させることで、ホストへのSSHアクセスを取得できる。バグバウンティプログラム経由の責任ある開示によって発見された。 悪用には2つの条件が同時に満たされる必要がある。1つはGrafanaインスタンスでsqlExpressionsフィーチャートグルが有効化されていること、もう1つは攻撃者がViewer権限以上を持っていることだ。ネットワーク経由・認証あり・ユーザーインタラクション不要という攻撃特性のため、権限を持つ内部ユーザーや侵害されたアカウントからの悪用リスクが高い。影響を受けるバージョンはGrafana 11.6.0〜11.6.13、12.0.0〜12.4.1（各系列の最終パッチバージョン未満）である。 CVE-2026-27880：OpenFeature経由の認証なしDoS（High / CVSS 7.5） CVE-2026-27880はGrafanaのOpenFeatureフィーチャーフラグ検証エンドポイントに存在する認証バイパスの脆弱性で、Grafana Labsのセキュリティチームが内部で発見した。エンドポイントが認証を要求せず無制限のユーザー入力を受け付けるため、攻撃者が大量の巨大ペイロードを送信することでサーバーのメモリを急速に枯渇させ、アプリケーションをクラッシュさせて持続的なDoS状態を引き起こすことができる。影響を受けるのはGrafana 12.1.0以降である。 対応と緩和策 即時のアップグレードが困難な場合、CVE-2026-27876に対する暫定的な緩和策としてsqlExpressionsフィーチャートグルの無効化が有効である。加えて、GrafanaへのネットワークアクセスおよびViewer権限の付与を最小限に制限すること、ログ監視とネットワークアクティビティの継続的な監視が推奨される。現時点でEPSSスコアは0.00105と低く、CISAのKEVリストへの掲載もないが、CriticalのCVSSスコアを持つRCE脆弱性であることから、可能な限り早期のパッチ適用が不可欠だ。

概要 2026年4月6日、ドイツ連邦刑事局（BKA）は、壊滅したREvilランサムウェアグループ（別名Sodinokibi）の中心人物2名を公式に特定・公開した。身元を明かされたのはダニイル・マクシモヴィチ・シュチュキン（31歳、ロシア・クラスノダール在住）と、アナトリー・セルゲエヴィチ・クラフチュク（43歳、ウクライナ・マキイウカ出身のロシア国籍）の2名。両者は2019年初頭から2021年7月にかけてREvilを運営し、ドイツ国内で130件以上のサイバー攻撃に関与したとされる。被害総額はドイツ国内だけで3,540万ユーロ（約4,080万ドル）を超え、うち24〜25件で実際に身代金が支払われ、その総額は約190万ユーロに上る。 特定された人物の詳細 シュチュキンは「UNKN」「UNKNOWN」などのエイリアスで知られ、GandCrabおよびREvilグループのリーダーを務めた人物だ。2007年以前からサイバー犯罪に従事しており、2010〜2011年には「Ger0in」名義でボットネット運営者として活動した記録もある。XSSサイバー犯罪フォーラムでグループの活動を宣伝し、自身のインタビューでは「子供のころはゴミ山をあさっていた。今は百万長者だ」と語ったとされる。BKAはShchukinに関連する暗号資産ウォレットから317,000ドル超を押収済みだ。一方、クラフチュクはREvilの主要開発者として技術的な中核を担っていた。両名は現在も逃亡中であり、BKAは国際的な指名手配データベースに登録して各国当局と情報を共有している。 REvilグループの歴史と活動 REvilは2019年5月に「累計20億ドル超の身代金を獲得した」と宣言して活動を停止したGandCrabの後継として即座に登場し、ランサムウェア・アズ・ア・サービス（RaaS）モデルで約60のアフィリエイトを抱える世界最大級のサイバー犯罪組織へと成長した。年収1億ドル超の企業やサイバー保険加入企業を標的に選び、「暗号化による業務停止＋データ公開脅迫」という二重恐喝手法を先駆的に実施した。2021年7月には1,500社以上に影響を与えたKaseya社への大規模攻撃を行い、その後まもなく活動を停止。2022年1月にはロシアのFSBがメンバー数名を逮捕し、2024年にはウクライナ人アフィリエイトのYaroslav Vasinskyiが13年超の禁固刑、ロシア人メンバー4名が4.5〜6年の禁固刑を言い渡された。 法執行機関の取り組みと今後の展望 今回のBKAによる公開は、ロシアが犯人引き渡しに協力しないなかで国際的な法執行機関が採る「名指し・追い詰め戦略」の一環だ。両名の短期的な逮捕は困難な見通しだが、過去の事例が示すように、逃亡中であっても長期的な国際的圧力が最終的に訴追に結びつく可能性はある。今回の発表はREvilの壊滅から数年を経てもなお続く捜査の継続を示しており、組織犯罪としてのランサムウェアに対する欧州当局の追跡能力の高さを改めて示した。

概要 Microsoftは、中国を拠点とする金銭目的のサイバー犯罪グループ「Storm-1175」がMedusaランサムウェアのアフィリエイトとして活動していることを特定した。このグループは既知の脆弱性（nデイ）とゼロデイ脆弱性を組み合わせた高速攻撃を展開しており、初期侵入からデータ窃取・ランサムウェア展開までを24時間以内に完了させるケースも確認されている。標的はオーストラリア、英国、米国における医療・教育・専門サービス・金融分野に及ぶ。 Microsoftは同グループを「境界面の公開資産の特定において高い作戦テンポと習熟度を持つ」と評価している。CISAも2025年3月に、Medusaランサムウェア攻撃が米国内300以上の重要インフラ組織に影響を与えたと報告しており、Storm-1175の活動はその一端を担っているとみられる。 技術的な詳細 Storm-1175は10製品にわたる16以上の脆弱性を悪用しており、主な対象はGoAnywhere MFT（CVE-2025-10035、パッチ公開1週間前に悪用）、SmarterMail（CVE-2026-23760、認証バイパスのゼロデイ）、Microsoft Exchange（CVE-2023-21529）、Ivanti Connect/Policy Secure（CVE-2023-46805、CVE-2024-21887）、ConnectWise ScreenConnect（CVE-2024-1709、CVE-2024-1708）、JetBrains TeamCity（CVE-2024-27198、CVE-2024-27199）、SimpleHelp（CVE-2024-57726〜57728）、CrushFTP（CVE-2025-31161）、BeyondTrust（CVE-2026-1731）などである。 攻撃チェーンは、まず境界面に公開されたサービスへの侵入から始まり、その後に永続的なユーザーアカウントの作成、リモート監視・管理（RMM）ツールの展開、資格情報の収集、セキュリティソフトの無効化、そしてMedusaランサムウェアの展開とデータ窃取という順序で進行する。 背景と影響 Storm-1175は2024年7月にもBlack BastaおよびAkiraランサムウェアの展開においてVMware ESXiの認証バイパス脆弱性を悪用したことでMicrosoftに注目されていた。ゼロデイ悪用（パッチが存在しない段階での攻撃）能力を持つことは、グループが内部的なエクスプロイト開発リソースを持つか、エクスプロイトブローカーへのアクセスを有している可能性を示唆する。 防御側にとっては、24時間以内という極めて短い対応ウィンドウが大きな課題となる。攻撃チェーンの特徴から、境界面サービスのパッチ適用の優先化、新規アカウント作成やRMMツール展開の監視、短い滞在時間を想定したインシデント対応計画が重要となる。

概要 Fortinet FortiGuard Labsの調査により、北朝鮮に関連する脅威アクターがGitHubのリポジトリをC2（コマンド＆コントロール）インフラとして悪用し、韓国の組織を標的にした多段階攻撃を展開していることが判明した。攻撃はフィッシングメールに添付された難読化済みWindowsショートカット（LNK）ファイルを起点としており、実行すると囮のPDFを表示しながら裏でPowerShellスクリプトを密かに起動する仕組みになっている。 セキュリティ研究者のCara Lin氏は、攻撃者が「PEファイルの展開を最小化し、Windowsネイティブツールを積極的に活用することで、検出率を下げながら標的の範囲を広げている」と指摘している。 技術的な詳細 PowerShellスクリプトには、仮想マシン・デバッグツール・フォレンジック解析ソフトウェアを検出する環境チェック機能が組み込まれており、分析環境と判断した場合は即座に実行を終了する。チェックを通過すると、Visual Basicスクリプトをドロップし、PowerShellペイロードを30分おきに隠しウィンドウで起動するWindowsスケジュールタスクを登録することで持続性を確立する。 収集したシステム情報はハードコードされたアクセストークンを使用してGitHubリポジトリへ送信される。攻撃に使用されたGitHubアカウントとして「motoralis」「God0808RAMA」「Pigresy80」が確認されている。攻撃者はGitHubリポジトリ上の特定ファイルを解析して追加モジュールや指令を取得する手法を採用しており、GitHubの信頼性が高いドメインを利用することでネットワーク監視による検出を回避している。 帰属と過去の活動 ENKIおよびTrellix社はいずれも、GitHub C2を利用した類似の攻撃をKimsuky（北朝鮮国家支援の脅威グループ）に帰属させている。以前のキャンペーンではLNKファイルを介してXeno RATやMoonPeakが配布されており、AhnLabも同様のLNK感染チェーンを記録している。このチェーンではDropboxを経由したPythonベースのバックドアが使用されている。また、別の北朝鮮系脅威グループであるScarCruftも、従来のLNKベースの攻撃チェーンからHWP OLEベースのドロッパーへと手法を移行し、ScarCruft専用のリモートアクセス型トロイの木馬「RokRAT」を展開していることが報告されている。GitHubのような広く信頼されたサービスをC2インフラとして悪用する手口は、従来のセキュリティ対策をかいくぐるための巧妙な戦術として今後も続く可能性が高い。

概要 Chainguardが公開した「State of Trusted Open Source Report（2026年4月版）」は、2025年12月から2026年2月までの期間に2,200以上のコンテナイメージプロジェクトと33,931件の脆弱性インスタンスを分析した調査結果をまとめたものだ。最大の注目点は、ユニーク脆弱性数が前四半期比145%増と急増した一方で、修正の中央値は安定した2.0日を維持していたことである。AIコード生成ツールの普及による開発サイクルの加速が、脆弱性発見件数の急増に直接影響していると報告は指摘する。 AI活用がもたらした技術スタックの変化 AIワークロードの本番環境への流入が、利用技術スタックにも明確な変化をもたらした。Chainguardの顧客の72.1%がPythonイメージを使用しており、機械学習やデータ処理ワークフローの主軸として定着している。またPostgreSQLの利用は前四半期比73%増と急伸しており、AI向けのベクター検索やRAG（検索拡張生成）機能の採用が主な要因とされる。上位25の本番イメージのうち半数以上を言語エコシステムが占め、Node（60.7%）、Java（44.4%）、Go（42.8%）、.NET（27%）が主要インフラを支えている。 脆弱性の急増と修正対応力 脆弱性の件数は急増したが、対応速度は維持された。組織は前四半期比で300%以上の修正を適用し、それにもかかわらず高リスク脆弱性の97.9%が1週間以内に修正されている。最も懸念されるのは、CVEインスタンスの96.2%が最もよく使われる上位20イメージの外側で発生している点だ。顧客は中央値で74%のイメージをこの上位20外から調達しているが、こうした「見えにくい依存関係」へのセキュリティ注目度は依然として低く、サプライチェーンリスクの温床となっている。 コンプライアンス対応とFIPS普及の加速 規制対応という観点では、FIPS準拠のPythonイメージが初めて顧客数トップ10に入り、セキュリティコンプライアンスが事実上の標準要件へと移行しつつあることを示している。現在、42%の顧客が本番環境で少なくとも1つのFIPSイメージを稼働させており、FedRAMP・PCI DSS・SOC 2に加え、EUサイバーレジリエンス法（CRA）などの規制要件が後押ししている。本レポートが示す核心は、AIによって開発規模が拡大し続ける中で、見過ごされがちな依存関係のセキュリティをいかに一貫して管理し続けるかという課題が、現代のソフトウェアセキュリティの最重要テーマになりつつある点だ。

概要 Fortinet は2026年4月4〜5日、エンドポイント管理製品 FortiClient EMS に存在する深刻な脆弱性 CVE-2026-35616 に対する緊急ホットフィックスを公開した。CVSS スコアは 9.1（Critical）で、未認証のリモート攻撃者が API の認証・認可保護を完全にバイパスし、任意のコードやコマンドを実行できる。watchTowr のハニーポットが記録した最初の悪用は2026年3月31日にさかのぼり、Fortinet も公式に「野放し状態での悪用（exploited in the wild）を確認済み」と認めている。発見者は Defused Cyber の Simo Kohonen および Nguyen Duc Anh で、「週初めにゼロデイとして悪用を観測した」と報告している。 脆弱性の技術的詳細 本脆弱性は CWE-284（不適切なアクセス制御）に分類される。攻撃者は細工したリクエストを送信するだけで FortiClient EMS の API 認証・認可保護を迂回でき、特権やユーザー操作を一切必要としない。悪用に成功した場合、エンドポイント管理インフラへの不正アクセスや、管理下にある端末データの侵害、さらには管理機能を通じた横断的な侵害につながるリスクがある。インターネットに直接公開されている EMS 環境は特に危険度が高い。 影響を受けるバージョンは FortiClient EMS 7.4.5 および 7.4.6 で、7.2 系ブランチは対象外とされている。 対応方法 Fortinet はバージョンごとに以下のホットフィックスを提供しており、「脆弱性を完全に防止するのに十分」と声明している。 対象バージョン ホットフィックス 7.4.5 7.4.5.2111 7.4.6 7.4.6.2170 恒久対応版として FortiClient EMS 7.4.7 への修正組み込みも予定されている。すでに悪用が確認されているため、対象バージョンを運用するすべての組織はホットフィックスの緊急適用を最優先とする必要がある。また、ネットワーク境界での EMS へのアクセス制限を合わせて検討することも推奨される。

概要 2026年4月初旬、セキュリティ研究者はnpmレジストリに公開された36個の悪意あるパッケージを発見した。これらはすべて strapi-plugin- という命名パターンを持ち、正規のStrapi CMSプラグインに見せかけていた。strapi-plugin-cron、strapi-plugin-database、strapi-plugin-server など実在しそうな名前を使い、すべてバージョン3.6.8として統一して公開されていた。4つのソックパペットアカウント（umarbek1233、kekylf12、tikeqemif26、umar_bektembiev1）が13時間という短期間のうちに一斉にアップロードしており、組織的な攻撃の痕跡が明白だった。SafeDepの動的分析パイプラインが strapi-plugin-events を最初に検出し、C2通信シグナルおよび秘密情報の探索行動が確認されたことで調査が始まった。 攻撃チェーンの技術的詳細 このサプライチェーン攻撃は npm install の実行時に postinstall.js スクリプトが自動的に起動することで始まる。SafeDepの分析によれば、8段階（他の調査では11段階）に及ぶ攻撃チェーンが展開される。 まず Redis RCEとして、CONFIG SET コマンドを悪用し、crontabエントリ、PHPウェブシェル（/app/public/uploads/shell.php）、SSHキーを注入する。続いてブロックデバイスへのアクセスを試みてraw diskを読み取り、Dockerコンテナ脱出を経てリバースシェル（ポート4444でbash、ポート8888でPython）を展開する。 情報窃取フェーズでは、.env ファイルやStrapi設定ファイル、PEM/keyファイルを収集し、Redisの完全ダンプとKubernetesシークレットを抽出する。また、ハードコードされた認証情報（user_strapi / 1QKtYPp18UsyU2ZwInVM）でPostgreSQLへの不正接続も試みる。最終的に /tmp/.node_gc.js への永続インプラントを書き込み、144.31.107.231:9999 のC2サーバーと通信を確立する。C2エンドポイントは /c2/<id>/（約5分間のC2コマンドポーリング）、/db/<id>/（データベース窃取）、/shell/（3秒間隔の永続シェルセッション）に分かれており、インプラントが残存している限り攻撃者は継続的なリモートアクセスを維持できる。 標的と攻撃者の意図 攻撃者が特定の企業を狙っていたことは、コード内に埋め込まれた手がかりから明らかだ。暗号資産決済プラットフォームであるGuardarianに関連するモジュール名や、HOT_WALLET、COLD_WALLET、MNEMONIC といったウォレット関連の文字列の探索が確認されている。また、永続インプラントの書き込み条件がホスト名「prod-strapi」に限定されていることから、攻撃者がターゲットの本番環境構成を事前に把握していた可能性が高い。Jenkins CI/CDパイプラインへの言及もあり、開発インフラ全体を侵害しようとする意図がうかがえる。 見分け方と推奨される対応策 正規のStrapiパッケージは @strapi/ スコープ付きで公開されているが、悪意あるパッケージはスコープなしで公開することで開発者の信頼を悪用していた。このタイポスクワッティングおよびブランドなりすましの手口は、依存関係を機械的にインストールする開発者にとって見分けにくい。 侵害が疑われる場合、/tmp/.node_gc.js、/tmp/vps_shell.sh、/app/public/uploads/shell.php の存在確認と削除、crontabにおける node_gc 参照の除去、IPアドレス 144.31.107.231 への通信遮断を直ちに行う必要がある。また、JWT シークレット、データベース認証情報、APIキーを含む全認証情報のローテーションが推奨される。予防策としては、npm audit や Snyk、Dependabot の導入、組織ポリシーによるスコープなしパッケージの拒否設定が有効だ。

概要 米国のテレヘルス大手Hims & Hers Healthは2026年4月、カスタマーサポートプラットフォームのZendeskへの不正アクセスによりデータが漏洩した可能性があると顧客に通知した。侵害は2026年2月4日から7日にかけて発生し、同社は2月5日に検知、3月3日に侵害を確認した後、4月2日に顧客への通知を行った。漏洩した可能性のあるデータはサポートチケットに含まれる氏名・連絡先情報などの個人情報に限定されており、医療記録や医師との通信は侵害されていないと強調している。 攻撃手法と攻撃者の帰属 BleepingComputerの報道により、今回の攻撃は悪名高いサイバー恐喝グループShinyHuntersによるものと判明した。攻撃者はOkta SSOアカウントの侵害を足がかりとして、Zendeskのインスタンスへの不正アクセスを実現し、複数の組織から数百万件に及ぶサポートチケットを窃取したとされる。Hims & Hersの被害はこのキャンペーンの一部に過ぎず、同一手法によりManoMano（2026年2月）やCrunchyroll（2026年3月）なども被害を受けており、Zendeskを利用する多数の企業が連続して標的とされていたことが明らかになっている。 影響範囲と同社の対応 Hims & Hersは影響を受けた顧客数や漏洩データの全容を公式には開示していないが、被害顧客に対して12か月間の無料クレジットモニタリングを提供するとともに、フィッシング攻撃への警戒強化と信用情報における不審な動きの監視を呼びかけている。今回の事例は、テレヘルス企業が保有する機微な情報を狙った攻撃の深刻さを改めて示しており、サードパーティのSaaSプラットフォームを経由したサプライチェーン型の侵害リスクへの対策が業界全体で急務となっている。

概要 ドイツの民主社会主義政党「左翼党（Die Linke）」は、2026年3月26日にサイバー攻撃を受け、翌27日に公表した。党組織内部の機密データおよび党本部職員の個人情報が窃取されたことを正式に認めている。同党は攻撃発生直後にITシステムをオフラインに切り替えて対応し、4月1日にロシア語話者のランサムウェアグループ「Qilin」がダークウェブのリークサイトで犯行を主張した。Die Linkeはドイツ当局に通報し刑事告訴を行うとともに、独立したITの専門家と連携してシステムの復旧作業を進めている。 被害の範囲と党の対応 Die Linkeによると、攻撃者が党組織内部のデータや職員の個人情報を公開すると脅迫しているものの、党員データベースは影響を受けておらず、攻撃者は党員情報の窃取には失敗したとしている。同党は2007年に設立された比較的新しい政党で、連邦議会（Bundestag）に64議席を持ち、登録党員数は約123,000人に上る。 Qilinについて Qilinは2022年から活動するRansomware-as-a-Service（RaaS）グループで、毎月40件以上の被害を主張し、2025年6月には月間100件のピークを記録した。データを暗号化しつつTorポータルを通じた公開を脅迫する「二重恐喝」戦術を採用しており、2025年10月にはDragonForceおよびLockBitとの戦略的連携を結んで攻撃能力を強化したとされる。 ハイブリッド戦争の一環との見方 Die Linkeは今回の攻撃について「偶然ではない」と強調し、こうしたデジタル攻撃をハイブリッド戦争の構成要素と位置づけた。背景には、2024年にロシア系APTグループ「APT29」がドイツのCDU（キリスト教民主同盟）をWineLoaderマルウェアで標的にした事例があり、ドイツの政党を狙ったサイバー攻撃が続いていることが浮き彫りになっている。今回はQilinがリークサイトへの掲載時点でデータサンプルを公開しておらず、身代金支払いを促す圧力戦術として活用されている状況だ。

概要 セキュリティ研究機関のwatchTowrは2026年4月2日、Progress ShareFileのStorage Zones Controller（SZC）に存在する2つの脆弱性を組み合わせた認証前リモートコード実行（Pre-Auth RCE）チェーンを公開した。CVE-2026-2699（認証バイパス）とCVE-2026-2701（RCE）を連鎖させることで、未認証の攻撃者が対象サーバーにASPX Webシェルを設置できる。影響を受けるのはSZCのASP.NETブランチ5.x系（バージョン5.12.3以前）で、インターネットに公開されているインスタンスは約3万台に上るとされている。 脆弱性の技術的詳細 CVE-2026-2699は「Execution After Redirect（CWE-698）」に分類される認証バイパス脆弱性だ。/ConfigService/Admin.aspxのコードがResponse.Redirect(path, false)を第2引数にfalseを指定して呼び出しているため、HTTPリダイレクト（302レスポンス）を返した後もページ処理が継続して実行される。攻撃者はHTTPリダイレクト（302レスポンス）を無視してレスポンスボディを直接読み取るだけで管理パネルへの認証をバイパスできる。 CVE-2026-2701のRCEは次の3ステップで実現される。まず「Network Share Location」フィールドをWebルートディレクトリ（例：C:\inetpub\wwwroot\ShareFile\StorageCenter\documentum）に変更する。次にゾーン設定変更時にアプリケーションが自動補完するパスフレーズから暗号化キーを入手する。最後に/upload.aspxエンドポイントへunzip=trueパラメータ付きでASPX Webシェルを含むZIPファイルをアップロードすると、展開処理がファイル拡張子を保持したままWebルート配下に展開し、Webシェルが設置される。なお、TempData2パラメータに含まれるBase64エンコード・AES暗号化されたZone Secretは、固定ソルト値p3510060xfZ2s9とパスフレーズを用いて復号され、復号されたZone Secretがアップロードリクエストの署名に使用されるHMAC-SHA256の鍵として用いられる。 影響範囲と対応状況 FOFAの調査によると、インターネットに公開されているSZCインスタンスは約3万台。ShadowServer Foundationは700件のエクスポーズされたインスタンスを確認しており、米国・欧州への集中が見られる。公開時点（2026年4月2日）では実際の悪用は観測されていない。 Progressはすでに2026年3月10日にバージョン5.12.4で修正を提供している。今回の公開開示により脅威アクターを引き付ける可能性があるため、影響を受けるバージョンを運用中の組織は速やかにアップデートを適用することが推奨される。 背景と歴史的文脈 Progress ShareFileをめぐっては、2023年にも認証バイパス脆弱性（CVE-2023-24489）が悪用されてランサムウェア攻撃に利用された前例がある。今回の脆弱性チェーンはAccellion、SolarWinds Serv-U、MOVEitといったファイル転送・共有ソリューションを標的とした一連の攻撃パターンとも重なる。Clopをはじめとするランサムウェアグループがこうした製品の脆弱性を積極的に悪用してきた歴史から、早期パッチ適用の重要性が改めて強調されている。