Security

概要 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年6月5日、SolarWindsのファイル転送ソフトウェア「Serv-U」に存在する高深刻度のサービス拒否（DoS）脆弱性（CVE-2026-28318）を既知悪用脆弱性（KEV）カタログに追加した。この脆弱性はCVSSスコア7.5と評価されており、野外での積極的な悪用が確認されたことを受けての措置となる。CISAはBinding Operational Directive（BOD）22-01に基づき、連邦民間行政機関（FCEB機関）に対して2026年6月19日までに修正版を適用することを義務付けた。また、民間組織に対しても速やかな対応を強く推奨している。 脆弱性の技術的詳細 CVE-2026-28318は、Serv-Uにおける「制御されないリソース消費（CWE-400）」に分類される欠陥だ。攻撃者は認証なしに、Content-Encoding: deflate ヘッダーを含む細工されたPOSTリクエストをServ-Uサーバーに送信するだけで、サービスを過剰なリソース消費状態に追い込みクラッシュさせることができる。攻撃に必要な複雑度は低く、ユーザーの操作も不要なため、遠隔から容易に悪用可能な点が深刻とされている。 SolarWindsは2026年6月4日に修正版「Serv-U 15.5.4 Hotfix 1」をリリースしており、それ以前のすべてのバージョンが影響を受ける。即時パッチ適用が困難な組織向けの緩和策として、アクセスを既知のIPアドレスに限定することや、content-encoding を含むPOSTリクエストをブロックする設定が推奨されている（なお、この機能はアプリケーション上必須ではない）。 露出状況と影響範囲 インターネット上への露出状況も懸念材料となっている。Shodanの調査では12,000件以上のServ-Uインスタンスがインターネットに公開されており、Shadowserverもさらに約3,100台のサーバーを追跡している。これらすべてが脆弱なバージョンを実行しているとは限らないが、パッチ適用率は依然として不明であり、未対応のシステムが多数残存している可能性がある。現時点でランサムウェアグループによる悪用との関連は報告されていないが、認証不要で実行可能な攻撃の性質上、早急な対応が求められる。

概要 2026年6月6日、セキュリティ界に2つの大きなニュースが同時に飛び込んだ。セキュリティ企業depthfirstの自律型AIエージェントが広く使われているメディアライブラリFFmpegに21件の未知の脆弱性（ゼロデイ）を発見したことと、GoogleがChrome 149のリリースで過去最多となる429件の脆弱性をパッチしたことだ。いずれもAIが脆弱性発見の加速に与える影響を改めて浮き彫りにする出来事となった。 AIエージェントによるFFmpegゼロデイの発見 depthfirstが開発した自律型AIセキュリティエージェントは、動画・音声処理の定番ライブラリであるFFmpegを解析し、21件の未知の脆弱性を発見した。特筆すべきはそのコストで、今回の一連の調査にかかった費用はわずか約1,000ドルに過ぎなかった。 発見された脆弱性の多くはヒープオーバーフローおよびスタックオーバーフローであり、TSデマクサーやVP9デコーダーなど、パーサーやデマクサーコンポーネントに集中していた。中には2003年から存在していたスタックオーバーフローをはじめ、15〜20年以上にわたって誰にも気づかれずにコードに潜伏し続けていたバグも含まれる。21件のうち9件にはCVE識別子（CVE-2026-39210〜CVE-2026-39218）が付与され、研究チームは動作するProof-of-Conceptコードも公開している。 Chrome 149：史上最大規模のセキュリティアップデート Googleは同日、Chrome 149（バージョン149.0.7827.53/54）をLinux・Windows・macOS向けにリリースした。今回のリリースに含まれるパッチ数は429件と、Chromeの歴史上1回のリリースで修正した脆弱性の数として過去最多を更新した。この数は2025年1年間にChromeで修正されたセキュリティ脆弱性の合計の数倍に達する規模だ。 429件のうち22件はCritical（重大）に分類されており、そのほとんどがUse-After-Free（UAF）エラーだ。内訳はUse-After-Free 110件、不十分な入力検証 88件、不適切な実装 60件、高リスクの脆弱性 87件、中〜低リスク 320件となっている。影響コンポーネントではWebGLライブラリのANGLEが37件と最多で、次いでExtensionインターフェースとメディア処理がそれぞれ18件だった。 最も深刻な脆弱性はCVE-2026-10881（CVSS 9.6）で、ANGLEグラフィックスエンジンの範囲外読み書きを突くことでChromeのサンドボックスを突破し、OSレベルのコード実行につながる恐れがある。Googleはこの脆弱性の報告者に97,000ドルのバグバウンティを支払った。ほかにもNetworkコンポーネントのUAFであるCVE-2026-10882に43,000ドル、ANGLEの範囲外書き込みCVE-2026-10883に5,000ドルが支払われており、外部研究者への支払総額は約209,000ドルに達している。なお429件のうち371件はGoogle自身が内部で発見したものだ。 AIが変えるセキュリティリサーチの展望 今回のFFmpeg事例が示すのは、AIが脆弱性発見の速度と規模を根本的に変えつつあるという現実だ。1,000ドルという低コストで20年以上前から潜む脆弱性を21件発見できるなら、従来の手動ペネトレーションテストや静的解析と比較して経済性は圧倒的に高い。Googleはすでにこのトレンドを意識しており、AI生成のバグ報告が急増していることに対応するためバグバウンティプログラムの運用を見直している。ただしChrome 149の429件についてGoogleはAIによる発見だとは説明しておらず、重大バグの大半はGoogle社内のセキュリティチームによる発見で、AIとの関連はバグ報告の「量」にあって「発見そのもの」ではないとされる。それでもAI生成のバグ報告が急増している事実は、セキュリティ研究においてAIの存在感が急速に拡大していることを示している。なお、Chrome 149ではセキュリティ修正に加えてPDF編集機能（注釈・署名）も追加されており、ユーザーは「ヘルプ → Google Chrome について」から手動で更新を確認できる。

攻撃の概要 2026年6月3日、自己複製型マルウェア「Miasma」がMicrosoftのGitHub組織（Azure、Azure-Samples、Microsoft、MicrosoftDocs）配下の73リポジトリに侵害をもたらした。GitHubは攻撃を検知した後、影響を受けたリポジトリへのアクセスを停止したと報告しており、封じ込めにかかった時間は「105秒以内」とされている。ただし、下流ユーザーの被害範囲は依然として不明確だ。 MiasmaはTeamPCPが2026年5月に公開した「Mini Shai-Hulud」の亜種であり、さらに遡れば2025年9月に登場したnpm初の自己複製マルウェア「Shai-Hulud」から続く一連のキャンペーンの最新段階にあたる。侵害されたリポジトリには、Azure Functions Host、Durable Taskエコシステム（.NET・Go・JS・MSSQL・Java実装）、azure-search-openai-demo、llm-fine-tuningなどの重要なインフラプロジェクトが含まれる。「durabletask」PyPIパッケージは2026年5月のTeamPCPによる侵害に続く再侵害であり、セキュリティアナリストのPaul McCarty氏は「同じリポジトリが先月のキャンペーンの起点となり今月の封じ込めの中心にもなっている。これは偶然ではない—同じ傷が再び開いたのだ」と指摘している。 AIコーディングエージェントを標的にした注入メカニズム 今回の攻撃が注目を集めている最大の理由は、AIコーディングエージェントの自動実行機構を直接の起動トリガーとして利用した点にある。攻撃者は「chore: update dependencies [skip ci]」というコミットメッセージで6つのファイルをリポジトリに植え付けた。メインペイロードは .github/setup.js（4.3MBのランナー）で、これを以下の5つの開発ツールから自動起動するよう設定された。 Claude Code / Gemini CLI：.claude/settings.json および .gemini/settings.json に SessionStart フックを追加し、node .github/setup.js を自動実行 Cursor：.cursor/rules/setup.mdc に「always apply」ルールを設定し、AIアシスタントがセッション開始時に同コマンドを実行するよう誘導 VS Code：.vscode/tasks.json に folderOpen トリガーを仕込み、フォルダを開くだけで実行 npm：package.json の test スクリプトを上書き この設計により、開発者が感染リポジトリをクローンしてエディタやAIエージェントで開くだけでペイロードが起動し、npmレジストリを一切経由せずにマルウェアを実行できる。 ペイロードの技術詳細と自己複製機構 .github/setup.js 本体はキャラクタコード配列にシーザーシフト変換を施した難読化コードであり、eval() を経て実行される。復号後の非同期ローダーはAES-128-GCMで暗号化された2つのブロブを復号し、667KBのペイロードをランダムな一時ファイルに書き出してBunランタイム（ホスト環境になければ自動ダウンロード）で実行する。 最終ペイロードはAWS・Azure・GCP・Vault・Kubernetes・npm・GitHubの認証情報を収集する多機能窃取ツールだ。収集した認証情報を用いて被害者がアクセス可能なリポジトリに同様のコードをコミットすることで、エコシステム全体へと自律的に拡散する。GitHub検索では同一シグネチャを含むリポジトリが123件確認されており、攻撃者は「Miasma」系の命名パターンを持つ82件の公開リポジトリと「Hades - The End for the Damned」という命名パターンを持つ13件の公開リポジトリを使って盗んだ認証情報を保管・管理していた。 信頼モデルへの根本的な挑戦 セキュリティ企業FalconFeeds.ioはこの攻撃について「正当なキーで署名され、認証済みメンテナーが公開したパッケージは安全という仮定——プラットフォームが構築されてきた信頼モデルそのものを悪用している」と指摘した。 SafeDep社の研究者が強調するのは、AI開発ツールの普及が生み出した新たな脅威面だ。「クローンしたリポジトリをエディタで開くことは従来は安全と見なされていたが、AIコーディングエージェントの統合により危険な実行環境へと変わった」。Cursorのケースのように、設定ファイルの「always apply」ルールがAIアシスタント自身にスクリプト実行を指示するという手法は、AI固有の攻撃ベクタを示す前例となる。 検出インジケータとしては .github/setup.js の存在確認（test -f .github/setup.js）、署名のないコミット（github-actions 身元の利用）、AIエージェント設定ファイルへの不審なフックの追加が挙げられる。今回の攻撃はShai-Hulud登場からおよそ9カ月で急速に進化したサプライチェーン攻撃の最新形であり、AIコーディングツール統合が標準化しつつある開発環境において、リポジトリクローンという日常的な操作が新たなリスク要因となることを示した。

概要 CiscoはUnified Communications Manager（Unified CM）およびUnified CM Session Management Edition（SME）に影響するサーバーサイドリクエストフォージェリ（SSRF）脆弱性CVE-2026-20230を公開し、パッチの適用を強く推奨している。CVSSスコアは8.6（High）だが、Ciscoは悪用が成功した場合にroot権限への完全な昇格が可能であることを理由にCritical評価を付与している。特に懸念されるのは、概念実証（PoC）コードがすでに公開されており、現時点では実際の悪用事例は確認されていないものの、攻撃者に先手を打たれる前に対処できるウィンドウが狭まっている点だ。 脆弱性の技術的詳細 本脆弱性はUnified CMのHTTPリクエスト処理における不適切な入力バリデーションに起因する。未認証の攻撃者がネットワーク上から細工したHTTPリクエストを送信するだけで、対象システムのOS上に任意のファイルを書き込むことができる。攻撃者はこのファイル書き込み機能を踏み台として、root権限への特権昇格を達成できる。 重要な制約として、本脆弱性が悪用可能なのはWebDialerサービスが有効化されている環境に限られる。WebDialerはデフォルトで無効化されているため、標準的な設定のまま運用している組織は影響を受けない。ただし、WebDialerを意図的に有効化した環境は直ちにリスクにさらされる状態となる。 パッチと緩和策 Ciscoが提供する修正は以下の通り： バージョン14系： 14SU6へのアップデートにより脆弱性が完全に解消される バージョン15系： 完全修正版の15SU5は2026年9月に提供予定。現時点では暫定的なCOP（Cisco Options Package）パッチが利用可能 パッチの即時適用が困難な場合は、Cisco Unified CM AdministrationのTools > Service Activationからサービス一覧を確認し、WebDialerを無効化する緩和策を講じることができる。WebDialerが業務上不要であれば、これが最も迅速かつ確実な対策となる。 脆弱性の背景と継続するリスク Cisco Unified CMはエンタープライズ向け電話・ビデオ会議インフラの中核を担う製品であり、金融・医療・行政などの重要インフラでも広く採用されている。本脆弱性は孤立した事例ではなく、2025年から2026年にかけてUnified CMに対する深刻な脆弱性が相次いでいる。直近ではCVE-2025-20309（ハードコードされたSSH認証情報）やCVE-2026-20045（認証不要のRCEで実際の攻撃に悪用済み）が報告されており、製品のアーキテクチャ全体にわたるセキュリティ課題が浮き彫りになっている。PoCが出回っている現状では、未パッチの環境が実際の攻撃対象となる可能性が高く、バージョン15向けの完全修正が提供される9月を待たずに暫定措置を施すことが強く推奨される。

概要 Aikido SecurityのセキュリティリサーチャーCharlie Eriksenが2026年6月1日、OpenAI Codexの非公式リモートWebUIとして広く利用されていたnpmパッケージ「codexui-android」が認証トークンを窃取する悪意あるコードを含んでいることを公開した。同パッケージは週間29,000件以上のダウンロード数を誇り、一見正規のツールとして開発者コミュニティに浸透していた。公開されているGitHubリポジトリのコードは無害であり、npm経由で配布されるビルド成果物にのみ悪意あるコードが混入されるという巧妙な手口が特徴的だ。 攻撃の手口と盗まれるデータ 悪意あるコードはバージョン0.1.82以降に含まれるようになり、ローカルの~/.codex/auth.jsonからアクセストークン・リフレッシュトークン・IDトークン・アカウントIDを抜き出す仕組みになっている。窃取された認証情報は、正規のエラー監視サービス「Sentry」を模した偽ドメイン「sentry.anyclaw[.]store」へ送信される。特に危険なのはリフレッシュトークンの扱いで、Eriksenは「リフレッシュトークンには有効期限がない。攻撃者はこれを持つだけで、いつまでも無制限に被害者になりすますことができる」と警告している。窃取されたトークンを悪用すると、Codexのセッションへのアクセス、APIクレジットの不正消費、開発中のプロジェクトやコードの閲覧、OpenAIサービス上での被害者へのなりすましが可能になる。 Androidアプリへの拡大と攻撃者の同一性 さらにAikido Securityは同一の脅威アクターによる2本のAndroidアプリも発見している。「OpenClaw Codex Claude AI Agent」（50,000件以上のダウンロード）と「Codex application」（10,000件以上のダウンロード）の2本で、いずれも問題のnpmパッケージを内包し、盗んだ認証情報を攻撃者のサーバーに送信していた。Androidアプリがサンドボックス内でNode.jsを実行しnpmパッケージを動かすという構造を悪用しており、モバイルプラットフォームを経由したサプライチェーン攻撃の新たな手口として注目されている。悪意ある通信先ドメインのWHOIS情報によると、当該ドメインはパッケージの初回アップロードからわずか2日後の2026年4月12日に登録されており、攻撃の意図的な計画性がうかがえる。 開発者への影響と対応 連絡を受けたパッケージ作者は当初「npmアカウントへのアクセス権を失った」と説明し、後に「社内で調査中」と述べた。しかし第三者との認証情報共有を否定しながら、悪意あるコードが公開GitHubリポジトリではなくnpmビルドにのみ存在する理由や、認証情報へのアクセスが必要な理由については明確な説明がなかった。今回の攻撃はタイポスクワット（よく似た名前の偽パッケージ）ではなく、一定の実績と機能を持つ正規風パッケージを踏み台にする手口であり、AIツール関連のOSSエコシステムを標的にした高度なサプライチェーン攻撃の増加傾向を示している。codexui-androidを利用していた開発者はOpenAIの認証情報を早急にローテーションし、アクティブなセッションを失効させることが推奨される。

概要 広く普及しているメール転送エージェント（MTA）のExim（バージョン4.97〜4.99.2）において、認証なしにリモートコード実行（RCE）を可能にする重大な脆弱性CVE-2026-45185が公開された。本脆弱性はGnuTLSを使用してビルドされた環境にのみ影響し、OpenSSLビルドは対象外となる。セキュリティ研究機関XBOWの研究者Federico Kirschbaumが発見し、2026年5月1日に報告、同月5日に承認された後、主要なLinuxディストリビューションへの通知を経て修正版が公開された。 技術的な詳細 本脆弱性の根本原因は、TLSセッションのシャットダウン処理中にBDAT（Binary Data）チャンク方式のSMTPトラフィックを処理する際のUse-After-Free（UAF）欠陥にある。具体的には、GnuTLSのTLSバッファが解放された後も古いコールバック参照が残存し、解放済みメモリ領域へのデータ書き込みが可能になる。攻撃者はこの状態を悪用することで、SMTPの認証フェーズを経ることなくサーバー上で任意のコードを実行できる。 攻撃が成立する条件はSTARTTLSおよびCHUNKING拡張機能を有効にしたGnuTLSビルドであることが前提となる。DebianやUbuntuなどのディストリビューションではGnuTLSビルドが標準的に採用されているケースが多く、インターネット上で公開された多数のメールサーバーが影響を受ける可能性がある。 対策と推奨事項 Eximプロジェクトは修正済みバージョン4.99.3をリリースしており、影響を受けるすべての環境に対して速やかなアップグレードが強く推奨されている。DebianやUbuntuなどのapt系ディストリビューションでは、パッケージマネージャー経由で最新のEximパッケージを適用することで対処できる。即時アップグレードが困難な場合は、STARTTLSまたはCHUNKING拡張機能の一方を無効化することで攻撃面を縮小できる。Eximはインターネット上で広く使われているMTAであることから、本脆弱性の影響範囲は広く、早急な対応が求められる。

概要 Symantec（Carbon Black脅威ハンターチーム）は2026年6月、大手グローバル証券取引所の上級幹部のOutlookメールボックスが少なくとも5か月間にわたって不正アクセスされていたことを報告した。攻撃者は2025年10月10日に最初の悪意ある活動を開始し、2025年11月12日からは本格的な窃取作戦に移行。2026年2月17日まで2～4週間ごとのサイクルで計9回にわたりメールデータを外部へ持ち出し続けた。2026年3月19日には新しいバックドアが設置されたが、実行はされていない。 証券取引所幹部のメールボックスには、上場廃止計画や取引条件、市場変動に関する非公開情報が含まれる可能性が高く、インサイダー情報の収集を目的とした高度な諜報活動とみられる。 攻撃手法とツール 攻撃者はメールデータの窃取に「Aspose」ライブラリをベースとした独自ツールを使用した。このツールはOutlookのメールボックスをPST形式に変換し、日付範囲とパスワードフラグを指定して実行する仕組みになっており、最初の抽出時は2025年8月以降のすべてのメールを取得、以降は差分のみを定期的に持ち出す設計だった。 データの外部流出にはDropbox APIトークンを活用し、通常のクラウドストレージアクセスに偽装することで検出を回避した。さらにMicrosoftのIPアドレス範囲を利用してDNSベースの検出を逃れた。また、マルウェアはAdobeの更新プログラムやOneDriveのプロセスを装ったバイナリとして配置されていた。 侵害の深度を高めるために使用されたツールは多岐にわたる。トラフィックのトンネリング（外部への持ち出し経路の確立）にはFRPC、Windows認証情報の抽出にはSecretsdump、ブラウザやアプリケーションに保存されたパスワードの回復にはSharpDecryptPwdが用いられた。さらにUAC（ユーザーアカウント制御）バイパスツールも使用されており、特権昇格が試みられたことが示されている。 セキュリティへの示唆 Symantecの研究者が強調するのは、「このインシデントにはCVEは関係しない」という点だ。新たに開示された脆弱性の悪用ではなく、標的の人物のメールボックスへの執拗な侵入であり、攻撃成功の鍵は技術的な脆弱性よりも、長期間にわたる検知回避と段階的なデータ持ち出しにあった。 今回のケースは、組織におけるメールセキュリティ監視の重要性を改めて浮き彫りにしている。クラウドストレージサービスへの異常なアクセスパターンや、大容量のPSTファイル生成といった振る舞いに対して、継続的な監視と迅速な対応体制が主要な防御手段となる。特に市場に影響を与えうる非公開情報を扱う金融機関にとって、こうした長期潜伏型の諜報活動への対策は急務といえる。

概要 WordPressのカスタマイズプラグイン「Kirki」に、認証なしで任意のユーザーアカウントを乗っ取れる重大な脆弱性CVE-2026-8206が発見された。CVSSスコアは最大値に近い9.8と評価されており、50万近いアクティブインストール数のうち約15万サイト（全体の約40%）が脆弱なバージョンを稼働させていると推定される。セキュリティ企業Wordfenceは、過去24時間で自社顧客に対する悪用試行を222件以上ブロックしており、すでに実環境での攻撃が進行中であることが確認されている。 脆弱性の技術的詳細 この欠陥はバージョン6.0.0で導入されたパスワードリセット機能に起因する。プラグインのREST APIエンドポイントが公開するhandle_forgot_password()関数に根本的な実装ミスがあり、ユーザー名とメールアドレスのパラメーターの対応関係を検証しないという問題を抱えている。 正常なパスワードリセットフローでは、リセットトークンはアカウント所有者のメールアドレスにのみ送信されるべきである。しかしこの脆弱性を悪用することで、攻撃者は標的の管理者ユーザー名と自分が制御するメールアドレスを組み合わせてリクエストを送信でき、リセットリンクが攻撃者のメールボックスに届いてしまう。これにより、攻撃者はパスワードを任意に変更して対象アカウントを完全に乗っ取ることができる。特別な権限や事前の認証は一切不要であり、攻撃難度は極めて低い。 発見から修正までの経緯 本脆弱性はセキュリティ研究者Choigyeongmin氏がWordfenceのバグバウンティプログラムを通じて発見し、2026年5月15日に開発元へ報告した。開発チームは報告から3日後の5月18日にバージョン6.0.7をリリースして問題を修正した。研究者への報奨金は6,436ドルが支払われている。Wordfenceのプレミアムユーザーはすでに5月9日からファイアウォールルールで保護されており、無料ユーザーへの適用は6月8日に予定されている。 侵害された場合のリスクと推奨対応 攻撃者が管理者権限を取得した場合、悪意あるプラグインのインストール、コンテンツの改ざん、Webシェルの設置、バックドアの設置、データベースへの不正アクセスなど、サイトを完全に掌握するあらゆる行為が可能になる。影響を受けるバージョンは6.0.0から6.0.6であり、すべてのサイト管理者に対してKirki 6.0.7以降への即時アップデートが強く推奨されている。アップデートが困難な場合は、プラグインを一時的に無効化することが代替措置として有効である。

概要 Googleは2026年6月のAndroidセキュリティパッチを公開し、合計124件の脆弱性を修正した。今回のアップデートでとりわけ注目されるのは、Android Frameworkに存在する高深刻度のゼロデイ脆弱性CVE-2025-48595で、Googleは「限定的かつ標的型の悪用が確認されている」と明言している。この脆弱性はローカルの攻撃者がコード実行と権限昇格を組み合わせてデバイスを乗っ取ることを可能にするもので、Android 14・15・16・16 QPR2が影響範囲に含まれる。 パッチは2026-06-01と2026-06-05の2段階で配信される。2026-06-01が基本的な修正バンドルで、2026-06-05はサードパーティコンポーネントやカーネルを含む包括的なアップデートとなっている。Pixel端末には即時展開されるが、他メーカー製端末はデバイス固有のカスタマイズが必要なため配信に時間がかかる場合がある。 修正された脆弱性の詳細 今回のパッチでは18件のクリティカル脆弱性が修正されており、System・Framework・Qualcommコンポーネントにわたりサービス拒否（DoS）や権限昇格を引き起こし得る問題が解消されている。 特に危険度が高いとされるのがCVE-2025-65018で、Frameworkのクリティカルな欠陥としてユーザーの操作や追加権限なしにリモートからの権限昇格を可能にする。SystemコンポーネントでもCVE-2026-0043・CVE-2026-0097・CVE-2026-21352・CVE-2026-21353の4件がローカル権限昇格を可能にするクリティカル脆弱性として修正された。 QualcommコンポーネントではCVE-2025-47392・CVE-2026-25276・CVE-2026-25277の3件のクリティカル脆弱性が対処されたほか、MediaTek・Imagination Technologies・Unisocからのサードパーティ修正も含まれている。 背景と推奨対応 CVE-2025-48595の悪用は今回が初めてではない。Googleは昨年12月に2件（CVE-2025-48633、CVE-2025-48572）、今年3月にQualcommのディスプレイコンポーネントの脆弱性（CVE-2026-21385）について「限定的な標的型悪用の証跡あり」と開示しており、こうしたゼロデイへの標的型攻撃が継続的に行われていることが浮き彫りになっている。Googleは新しいAndroidバージョンほどプラットフォームのセキュリティ強化により悪用が困難になるとして、「可能な限り最新バージョンへのアップデート」を強く推奨している。 ユーザーへの具体的な推奨事項としては、(1) 利用端末のセキュリティパッチを速やかに適用する、(2) 信頼できないソースからのアプリのサイドロードを避ける、(3) Google Play Protectを常に有効にしておく、(4) メーカーのサポートが継続しているAndroidバージョンを使用する、の4点が挙げられている。

概要 2026年6月1日の週末にかけて、Metaが2025年12月に導入したAIサポートアシスタントを悪用したInstagramアカウント乗っ取り攻撃が発覚した。被害を受けたのはSephora、米スペース・フォースの最上位期間兵曹（Chief Master Sergeant of the Space Force）、セキュリティ研究者のJane Manchun Wong、開発者Albert Renshaw（ハンドル名@albert）、オバマ政権ホワイトハウスのアーカイブアカウント、さらに著名な@kornや@heyといったバニティハンドルなど、多数の高プロファイルアカウントが含まれる。攻撃者はこの脆弱性を少なくとも2026年3月から悪用しており、Telegramのブラックマーケットチャンネルを通じて不正アクセス権が売買されていた。 攻撃手口の詳細 攻撃は複数の欠陥を組み合わせた手口で実行された。まず攻撃者は「パスワードを忘れた」フローを開始し、身元確認のために要求されるセルフィー（自撮り）確認をAI生成のディープフェイク動画で突破した。ターゲットのInstagramプロフィール上の公開写真から静止画を取得し、AIビデオジェネレーターでリアルタイム動画に変換することで、Metaの顔認証システムを欺いた。 さらに深刻な問題として、Meta AIサポートボットは位置情報ベースの認証を主要な確認手段としており、VPNを使ってターゲットの通常利用地域付近からアクセスするだけで所有者確認が通過できる状態にあった。加えて、ボットはメールアドレスの変更要求を「ほぼ確認なし」で処理していたことが判明しており、メールアドレスを変更した後に標準的なパスワードリセット手順を踏むことで2段階認証（2FA）を完全に回避できた。 被害者の証言とMetaの対応 @kornアカウントの所有者は「6時間かけてヒトのサポートを探したが、Meta AIは4つのリンク切れを返すだけだった。『AIに盗まれ、別のAIには直せない』状態だ」と述べ、被害後の救済策の不在も問題化した。被害アカウントはAIサポートツールを通じた回復もできず、人間のサポート担当者に直接連絡する手段もなかった。 MetaのVP（コミュニケーション担当）Andy Stoneは「問題は解決済みで、影響を受けたアカウントを保護している」と表明し、パッチは6月1日までに適用された。ただし正式な声明は発表されておらず、詳細な技術的説明も公開されていない。 セキュリティへの示唆 今回の攻撃は、AI搭載のカスタマーサポートツールが新たな攻撃ベクターとなることを示す事例として注目されている。従来のフィッシングや総当たり攻撃とは異なり、AIシステムの「便利さ」を目的とした設計上の妥協点（確認なしのメール変更、位置情報ベースの緩い認証）を突いた攻撃であり、AIサポートツールの設計における認証の厳格化と人間によるエスカレーションパスの確保が急務であることを浮き彫りにした。