Security

概要 1300万人以上のフォロワーを持つMicrosoft公式のX(旧Twitter)アカウント(@Microsoft)が、2026年10月2日に乗っ取り被害を受けた。攻撃者は同アカウントを使い、Microsoftのマスコットキャラクター「Clippy」を模倣したアカウント「@clippymsftcto」をフォロー・リポストし、架空の暗号資産トークン「$Clippy」を宣伝する投稿を拡散させた。投稿では、このトークンがMicrosoft株($MSFT)と直接ペアになった流動性プールを持つと虚偽の主張がされており、Clippyのブランドおよび同社の知的財産が無断で利用された典型的な「ポンプ・アンド・ダンプ」詐欺の手口とみられる。 Microsoftの対応と攻撃者の身元 Microsoftは「当社のアカウントへの不正アクセスを確認した。Microsoftが発信したものではない投稿が含まれていた」との声明を発表し、不正な投稿をすべて削除してアカウントを保護した上で調査を進めているとしている。本記事執筆時点で攻撃者の身元は不明であり、侵入の具体的な手法についても詳細は明らかにされていない。 過去の類似事件と暗号資産詐欺の広がり 同種の事案は過去にも発生している。2024年6月にはMicrosoft India公式アカウントが乗っ取られ、ウォレット内の資産を抜き取るマルウェアの配布に利用された。また2024年1月には米証券取引委員会(SEC)のXアカウントがSIMスワッピング攻撃を受けており、関与したハッカーのEric Council Jr.氏は2025年2月に司法取引に応じ、2025年5月に14ヶ月の禁固刑を受けている。X上での著名アカウント乗っ取りによる暗号資産詐欺は依然として横行しており、2023年には「MS Drainer」と呼ばれるサービスが、乗っ取られたアカウントの広告を通じて6万3000人の被害者から約5900万ドルを騙し取ったとされる。今回の事案は、著名な公式アカウントであっても暗号資産詐欺の標的から免れないことを改めて示した。

概要 Fortinetは10月1日、メールセキュリティアプライアンス「FortiMail」の管理インターフェースに存在する脆弱性(CVE-2026-104286、CVSSスコア9.8)が、ゼロデイ攻撃として実際に悪用されていることを公表した。本脆弱性はパストラバーサル(CWE-22)とNULLバイト・NULL文字の処理不備(CWE-158)を組み合わせたもので、未認証の攻撃者が特別に加工したHTTP/HTTPSリクエストを送信するだけで、対象システム上に任意のファイルを書き込めるという深刻な内容だ。書き込み先次第ではコード実行につながる可能性もあるとされている。Fortinetは発表時点で正式な修正パッチを提供できておらず、暫定的な緩和策の適用を呼びかけている。 対象バージョンと緩和策 影響を受けるのはFortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9の各バージョン。修正版として7.4.9、7.6.7、8.0.2が近く提供される予定だが、7.2系列のユーザーは7.4系列以降へのアップグレードが推奨されている。パッチが未提供のため、Fortinetは当面の対策として、不要であればIBE(Identity Based Encryption)機能をコマンドラインから無効化すること、および管理インターフェースへのアクセスを信頼できるネットワークに限定し、インターネットからの到達を遮断することを推奨している。ただしThe Registerが指摘するように、これらの回避策はあくまで新たな侵入を防ぐものであり、すでに攻撃者が設置したファイルや永続化の仕組みを除去するものではない。管理者は自組織の環境がすでに侵害されていないか個別に確認する必要がある。 実悪用の状況と発見経緯 本脆弱性はFortinetのプロダクトセキュリティチームに所属するGwendal Guégniaud氏が社内で発見した。BleepingComputerによれば、Fortinetは攻撃活動として侵害されたシステム上での不正なファイルの変更・追加を確認しており、侵害の痕跡として79.141.169.187および45.129.0.192のIPアドレスを示唆する情報も公開している。一方でThe Registerは、Fortinetのアドバイザリが攻撃の発生時期や関与した攻撃者、被害を受けた顧客数などの詳細を明らかにしていない点を指摘しており、実際の悪用の規模はまだ不透明な部分が残る。 政府機関の対応と背景 CISA(米サイバーセキュリティ・インフラセキュリティ庁)は10月1日、本脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、連邦文民機関に対して10月4日までの対応完了を義務付けた。Fortinetも「CISAを含む政府機関と調整を進めている」とコメントしている。The Registerは、今回の事案を2026年6月に約75,000台のFortiGateファイアウォールで発生した認証情報窃取事件に続くものと位置づけ、Fortinet製品が攻撃者から継続的に標的とされている状況を浮かび上がらせている。パッチ提供までの間、FortiMailを利用する組織は管理インターフェースの露出を直ちに見直すことが強く求められる。

概要 Python 3.14系の8回目のメンテナンスリリースとなるPython 3.14.8が2026年9月30日に公開された。今回は通常のメンテナンスリリースとは異なり、SSLコンテキストの処理、tarfileおよびzipfileのアーカイブ展開処理、urllibの認証情報管理に関連する合計9件のセキュリティ修正を含む緊急リリースとなっており、該当バージョンの利用者には速やかなアップデートが推奨されている。142人の開発者による約354件のバグ修正・ビルド改善・ドキュメント更新を含む通常のメンテナンス作業の一部として配布された。 修正された主な脆弱性 最も深刻度が高いとみられるのが、sslモジュールにおける2件の脆弱性だ。CVE-2026-19445 (gh-156293) は、TLSサーバー側でsni_callbackが別のSSLContextに切り替えた際に元のコンテキストが参照されなくなることで発生するuse-after-freeの欠陥で、クラッシュや不正なメモリアクセスにつながる恐れがある。CVE-2026-19553 (gh-156793) は、SSLContext.wrap_bio()がserver_hostnameパラメータの検証を欠いていた問題で、wrap_socket()と同様の検証を行うよう修正された。 アーカイブ処理ではtarfileに2件の脆弱性が見つかった。CVE-2026-82049 (gh-157190) は、ハードリンクをシンボリックリンクへ張ることで展開フィルタを回避し、ファイルの改変や内容の漏洩を許してしまう問題。CVE-2026-19672 (gh-155999) は、「../evil/../dest/sub/file」のように一旦展開先の外に出て戻ってくるパス名を使うことで、展開先ディレクトリの外にディレクトリを作成できてしまう展開フィルタのバイパスだ。zipfileについても、bzip2・LZMA・Zstandardで圧縮されたメンバーを展開する際にメモリを使い果たす可能性があるCVE-2026-15310 (gh-156002) が修正され、deflate方式と同様にデコンプレッション時のデータ量に上限が設けられた。 さらに、urllib.request.HTTPPasswordMgrがURLスキームを区別せずに認証情報を送信してしまうCVE-2026-15806 (gh-155694)、stringprepモジュールがRFC 3454で定義された範囲を超えたUnicodeコードポイント属性を扱っていたCVE-2026-17084 (gh-155292) も修正対象に含まれる。加えてセキュリティ関連の更新として、バンドルされているExpatが2.8.5に、Windows・macOS・Android・iOS向けのOpenSSLが3.5.9にそれぞれアップデートされた。 今後の対応 これら9件の修正はいずれもセキュリティ上の懸念に対応するものであり、サーバー証明書検証やアーカイブファイルの展開、HTTP認証情報の扱いなど幅広い領域に影響する。Python 3.14系を利用している開発者は早急に3.14.8へのアップデートを行うことが推奨される。なお、macOS 27.0環境ではIDLEやtkinterがハングする可能性がある既知の問題も報告されており、該当環境の利用者は注意が必要だ。

概要 Ciscoは、Catalyst SD-WAN Managerに存在する深刻な認証バイパスの脆弱性(CVE-2026-76504、CVSS スコア9.8)が実際の攻撃で悪用されていると警告した。この脆弱性を突かれると、無認証の遠隔攻撃者がログイン情報を一切持たないまま管理APIにアクセスし、デフォルトでnetadminロール(デバイスに対するあらゆる操作が可能な権限)を持つadminユーザーとして振る舞えるようになる。設定内容にかかわらず、すべてのCatalyst SD-WAN Manager環境が影響を受ける。CiscoのPSIRT(製品セキュリティインシデント対応チーム)は、2026年9月にテクニカルサポート対応の過程で実際の悪用を確認したとしているが、攻撃件数や攻撃者の身元については明らかにしていない。 技術的な詳細 脆弱性の原因は、HTTPリクエスト中のURIエンコーディングの処理不備にある。セッションベースのログインに使われるj_security_checkエンドポイントを保護する認証ルールに対し、攻撃者は"j"を表す"%6a"のような文字エンコーディングを用いた細工済みリクエストを送ることで、認証チェックをすり抜けてしまう。攻撃者に必要なのは、公開されたManagerインスタンスへHTTPリクエストを送信できることだけであり、インターネットに露出した環境は即座に侵害のリスクにさらされる。 影響を受けるのは20.9系、20.12系、20.15系、20.18系、26.1系、26.2系で、それぞれ20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1、26.2.1への更新で修正される。Ciscoは、管理インターフェース(ポート443、22、830)へのインターネットアクセスを制限するよう推奨するとともに、/var/log/nms/containers/service-proxy/serviceproxy-access.logやvmanage-server.logを調査し、見慣れないIPアドレスからのj_security_check関連のアクセスや、“viptela-reserved-“で始まるユーザー名のエントリがないか確認するよう呼びかけている。 CISAの対応と背景 CISAは本脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、「URIエンコーディングの不適切な処理により、無認証の遠隔攻撃者がadminユーザーの権限で対象システムにアクセスできる」と説明した。これを受けて連邦民間行政機関(FCEB)には、10月3日までに修正を適用することが義務付けられている。 SD-WAN Managerを狙った攻撃はこれが初めてではなく、報道によれば年初来5件目のSD-WANゼロデイ脆弱性の実悪用例とされ、2026年だけで8件のCisco SD-WAN関連CVEがKEVカタログに追加されている。ネットワーク全体の制御を担うSD-WAN基盤が攻撃者にとって価値の高い標的になっていることがうかがえる。企業のネットワーク管理者には、パッチ適用とあわせてログの精査、管理インターフェースの外部露出の遮断など、早急な対応が求められる。

概要 Europol主導の国際共同捜査「Operation Killswitch」により、ランサムウェア集団KillSecの運営者とみられるルーマニア国籍の16歳少年が9月30日、スペイン・アリカンテで逮捕された。捜査当局はこれと合わせてイギリス・ルーマニアでも20代の容疑者2人を逮捕し、スペイン・ギリシャ・イギリス・ルーマニアの4カ国で計8件の家宅捜索を実施した。捜索では主要サーバーを含むサーバー5台とドメイン5件が押収され、KillSecが被害者を脅迫するために使っていたダークウェブのリークサイトも制圧下に置かれた。押収されたデータは110テラバイトを超える。 捜査の規模と押収内容 捜査はドイツ・ハンブルク州警察およびハンブルク検察庁が主導し、米連邦捜査局（FBI）サンフアン支局とプエルトリコの検察当局、スペインの治安警察隊（Guardia Civil）とカタルーニャ自治警察（Mossos d’Esquadra）、ルーマニアの組織犯罪・テロ対策捜査局（DIICOT）などが参加、EuropolとEurojustが全体を調整した。ベルギー、フィンランド、ドイツ、ギリシャ、オランダ、ルーマニア、スペイン、スイス、イギリス、アメリカの10カ国が捜査に関与している。スペインでの捜索では、容疑者宅からコンピュータ機器や携帯電話、暗号資産ウォレットも押収された。なお、18歳になったばかりとみられる開発者の存在も特定されているが、この人物は今回逮捕されていない。イギリスで逮捕された容疑者は「Archduke」と名乗るオランダ国籍のFouad Eltibrizi氏で、プエルトリコ地区の米連邦大陪審により9月16日付で不正アクセス共謀罪で起訴されている。 KillSecの活動実態 KillSecは2021年以降、ハクティビスト集団として活動を開始し、2023年10月にランサムウェア攻撃へ転換、2024年6月からはアフィリエイト向けにRaaS（Ransomware-as-a-Service）として展開していた。ソフトウェアの脆弱性や設定不備のあるクラウドストレージを突いてデータを窃取し、ダークウェブのリークサイトで公開をちらつかせて金銭を要求する手法を取っていた。捜査当局によれば、同集団は世界で約1000件の攻撃に関与したとみられ、うち約500件が侵入に成功し、スペイン警察はこれまでに280件超の被害を確認済みとしている。 今後の見通し 当局は押収したサーバーやデバイスの解析、暗号資産の追跡を継続しており、他のメンバーの特定にも捜査を広げる方針だ。少年を含む運営者層の摘発に加え、関連する容疑者の起訴が米国でも進んでいることから、今回の作戦はRaaSモデルで拡大してきたランサムウェア集団に対する国際的な摘発の一例として注目される。一方で、主要な開発者とみられる人物が未逮捕であることから、KillSecの技術基盤やコードが別の集団に引き継がれる可能性も残されている。

概要 Zimbra Collaboration Suite(ZCS)のSNMP通知機能に存在する未認証コマンドインジェクションの脆弱性(CVE-2026-73570、CVSSスコア8.9)が実際に悪用されていることが、Microsoft Threat Intelligenceの調査で明らかになった。オプションパッケージのzimbra-snmpがインストールされ、かつSNMP通知が有効なインターネット公開メールサーバーが標的となっており、攻撃者は特殊に細工したSMTPリクエストを送信するだけで、ユーザー操作なしにzimbraサービスアカウント権限でリモートコード実行を達成できる。Microsoftによれば、侵害を受けた環境ではJSP形式のWebシェルやリバースシェルの展開、権限昇格、永続的なリモートアクセスツールの設置、メモリ上での実行など、一連の高度な攻撃チェーンが観測されている。脆弱性の修正版である10.1.20は2026年7月20日に公開済みだが、Microsoftによれば同日から8月13日の脆弱性公開までの間に未パッチのサーバーへの攻撃活動が確認されている。 脆弱性の仕組みと悪用条件 この脆弱性は、SNMP通知処理が信頼できない入力を適切にサニタイズしないことに起因する。攻撃者はSMTPリクエストにシェルメタキャラクターを埋め込み、swatchdogやsnmptrapの実行パスを経由することで、認証なしにOSコマンドを注入できる。悪用には「zimbra-snmpパッケージの導入」と「SNMP通知の有効化」という2条件が必要だが、これらはオプション機能であるため、全てのZimbra導入環境が対象になるわけではない。しかし条件を満たすサーバーはインターネットから直接到達可能なケースが多く、実際の攻撃では複数のOOB(out-of-band)スキャンツールを用いた偵察・プローブ活動が2026年7月28日から8月7日にかけて確認されており、HTTP・DNS・ICMPのコールバックを使った外部コラボレーターサービス(oast.fun、oast.onlineなど)経由でコマンド実行の成否を検証する手口が使われていた。 多段階の攻撃チェーン Microsoftが観測した攻撃は、偵察から情報窃取まで複数の段階を経る組織的なキャンペーンの様相を呈している。初期侵入後、攻撃者はJettyのアプリケーションディレクトリやmailboxdのサーブレット作業ディレクトリにJSP形式のWebシェルを設置し、クラスタを構成する他のメールボックスノードにも複製した。続く権限昇格の段階では、Zimbraの正規のsudo許可ヘルパー(zmmailboxdmgrなど)や書き込み可能なログディレクトリ、PAM設定の操作(pam_exec経由)、zmstat-fdヘルパーを悪用してroot権限を取得し、sudoersに「NOPASSWD: ALL」のエントリを追加してパスワードなしのsudo実行を可能にしていた。永続化にはsystemdサービス(正規サービスを装ったタイムスタンプ偽装を含む)、OpenRC、cron、SSHのauthorized_keys、さらにmemfd_createを用いたメモリ上での実行など、複数の手法が並行して使われていた。 認証情報窃取とデータ流出 攻撃者はzmlocalconfig -sや認証済みのldapsearchを駆使し、LDAP・MySQL・Postfix・Amavis向けのZimbraサービス認証情報に加え、アカウント認証に使うzimbraPreAuthKey、セッショントークン署名鍵のzimbraAuthTokenKey、zimbraTwoFactorAuthSecretといった極めて機微な秘密情報を収集した。さらにmailbox、mailbox_metadata、mobile_devices、out_of_officeといったデータベーステーブルをエクスポートし、メールボックス全体のバックアップやSSL証明書・秘密鍵も窃取対象となった。攻撃キットには軽量ダウンローダーのagent2.sh、Go言語製インストーラーのzimdown2、対話型シェルやファイル操作、SOCKS5プロキシ機能を備えたフル機能RATのzimclient2、Zimbra特化の窃取ツールzimbra-exfilが含まれ、C2通信にはHTTP/HTTPS、DNSラベル、OpenSSLベースの暗号化リバースシェルなど複数のチャネルが使われた。窃取したデータをAzure Blobストレージへ転送しようとする試みも確認されている。 対策と今後の展望 本脆弱性は既にCISAのKnown Exploited Vulnerabilities(KEV)カタログに登録され、連邦機関には2026年8月24日までの対応が義務付けられた。Microsoftは、Zimbraを10.1.20以降へ直ちにアップグレードすることを最優先の対策として推奨し、やむを得ず旧バージョンを使い続ける場合はzimbra-snmpパッケージのアンインストール、SNMP通知の無効化、SNMP/SMTPアクセスの信頼できるホストへの制限を求めている。既に侵害が疑われる環境では、zimbraPreAuthKeyをはじめとする全ての認証シークレットのローテーション、systemdユニットやPAM設定・sudoersの異常検査、複数のZimbraノードにまたがるJSPウェブシェルの捜索が不可欠だとしている。Microsoft Defenderは本攻撃パターンに対応する検出シグネチャ(「Exploit:Linux/SnmpTrapCmdInject.A」や「HackTool:Linux/ZimbraPLE.A」など)や7種類のAdvanced Huntingクエリを提供しており、署名一致だけに頼らず振る舞いベースの調査を組み合わせることが、同種の侵害の早期発見につながるとみられる。

概要 米国防総省(DoD)の人事データセンター(DMDC: Defense Manpower Data Center)は、同センターが運用する人事管理システムのファイル共有機能に存在した脆弱性を突かれ、約300万人分の個人情報が不正に窃取されていたと発表した。侵入は2025年10月から2026年7月16日に発覚するまでの約9ヶ月間にわたって継続しており、「少数の不正ユーザー」がアクセスしていたとされる。影響を受けたのは生存する軍人・軍属ら約280万人と、故人約29万4000人の合計約300万人分の記録で、氏名、社会保障番号、生年月日、性別、人種、連絡先、軍務関連情報などが含まれる。最も深刻な点は、これらの記録が暗号化されないまま保存されていたことだ。 侵害の経緯と技術的背景 DMDCは1974年に設立され、現役・退役の軍人や軍属、契約業者、家族、退役軍人を含む6000万件以上の記録を保有する、国防総省内で中心的な身元管理(identity management)を担う機関である。各種の給付資格認定や人事プログラムの基盤データベースとして機能しており、今回侵害を受けた人事管理システムもその一部だ。脆弱性の具体的な内容や悪用された製品名は公表されていないが、ファイル共有システムの欠陥により複数の不正アクセスが許容される状態が長期間放置されていたことが判明している。脆弱性は2026年7月16日の発見後直ちに修正されたといい、国防総省はその後プライバシーおよびサイバーセキュリティのインシデント対応を開始した。現時点でどのハッカー集団も犯行を認めておらず、侵入者の正体は明らかになっていない。 対応措置と評価の分かれる点 国防総省は影響を受けた個人に通知書簡を送付し、情報セキュリティ企業IDXによる12ヶ月間の無料クレジットモニタリングサービスを提供するとしている。登録期限は2027年8月19日に設定されている。また、同省は「情報が悪用された兆候は現時点で確認されていない」と説明しているが、その判断の根拠となる具体的な監視結果や調査手法は明らかにされていない。報道では、2015年に連邦人事管理局(OPM)から2200万人以上の職員記録が窃取された大規模侵害との類似性が指摘されているほか、Oracle PeopleSoftのゼロデイ脆弱性を突いてFBI人事データベースが侵害された別件のShinyHunters関連事案とも並べて語られており、米政府機関の人事システムを狙った攻撃が相次いでいる構図が浮かび上がる。 今後の見通し 社会保障番号を含む機微情報が平文のまま長期間外部に晒されていた事実は、国防関連の人員にとってなりすましや標的型フィッシングのリスクを高める。現役・退役を問わず軍関係者の身元情報は諜報活動や脅迫の材料としても価値が高く、攻撃者の身元や目的が不明なままである点は懸念材料だ。国防総省は再発防止に向けたサイバーセキュリティ態勢の見直しを進めるとしているが、具体的な暗号化方針の強化や監査体制の変更など、恒久対策の詳細は今後の発表が待たれる。

概要 アムステルダム自由大学のVUsecとScuola Superiore Sant’Annaの研究者らは、Spectre v2系統に属する新型の投機的実行攻撃「Branch Target Reuse(BTR)」を実証した。CVE-2026-64507およびCVE-2026-64508として採番されたこの脆弱性は、Intelプロセッサ上で動作するLinuxシステムを対象に、既存の緩和策が有効な環境下でもrootパスワードハッシュをわずか数分で抽出できるという。研究者らのテストでは、Raptor Coveコアで平均3分、Lion Coveコアで5分という短時間でハッシュの復号が完了し、データはおよそ8バイト/秒の速度で漏洩したとされる。 攻撃の仕組み BTR攻撃は、JITエンジンが不要になったコードを解放し、同じメモリアドレスに新しいコードを配置する際に生じる「分岐予測器と実際の実行コードのズレ」を悪用する。CPUの分岐予測器には古いコードの情報が残留しており、攻撃者はこの残留情報を利用して誤った命令を投機的に実行させ、キャッシュのタイミング差を通じて機密データを読み取る。研究者らは、JITの分岐オフセットに攻撃用の命令をエンコードすることで、“constant blinding"を有効にした強化環境であっても防御を回避できることを示した。ブラウザのFirefox SpiderMonkeyやGraalVMのJITエンジンでも同様の手法が検証されており、攻撃対象はLinuxカーネルに留まらない可能性がある。 影響範囲と対応状況 研究者らによれば、Intel、AMD、Armを含むテスト対象のほぼすべてのCPUで何らかの脆弱性が確認されており、投機的実行を用いる現代のプロセッサ設計そのものに起因する根深い問題であることがうかがえる。なお、パスワードハッシュの漏洩は平文パスワードの直接取得を意味するわけではなく、実際の悪用にはハッシュアルゴリズムやパスワード強度に応じたオフラインでの解析が別途必要になるとされる。Linuxカーネルにはすでに修正が取り込まれており、研究者らはOSおよびファームウェアのアップデートを適用し、最新カーネルへ速やかに移行するよう呼びかけている。既存のSpectre対策で安全性を担保してきたシステム管理者にとっては、緩和策の前提そのものを見直す必要に迫られる発見といえる。

概要 オランダの脆弱性開示機関DIVD(Dutch Institute for Vulnerability Disclosure)は、自らのネットワークがオープンソースのチケット管理・ヘルプデスクシステムZammadに存在する2件のゼロデイ脆弱性(CVE-2026-102489、CVE-2026-102490)を悪用した攻撃を受け、その実行主体が自律型AIエージェントであったと発表した。DIVDはボランティアのセキュリティ研究者で構成される非営利組織で、脆弱性開示活動を専門としている。今回の攻撃では、セッションハイジャックからリモートコード実行、Zammadユーザー権限からroot権限への昇格、そしてデータへのアクセスと外部への持ち出しまでの一連の行程が、人間の介在を一切挟まずわずか数秒で完了したという。 攻撃の技術的詳細 悪用された2件のゼロデイ脆弱性の組み合わせにより、攻撃者はまずユーザーセッションを乗っ取り、リモートコード実行を経て、Zammad上の通常ユーザー権限からroot権限へと昇格することが可能だった。DIVDによれば、この一連の攻撃プロセスを実行したのは自律的に動作するAIエージェントであり、外部からの指示を受けずに次に取るべき行動を自ら判断していたとされる。特筆すべき点として、このエージェントは自身の意思決定プロセスに関する明確な説明を攻撃の痕跡として残しており、これがDIVDによる事後調査を助けることになった。権限昇格からデータへのアクセス、そして外部への持ち出しまでの悪意ある行動はすべて「エージェント的な性質」によって数秒単位で完了しており、従来の人間主導の侵入に比べて検知や対応の時間的余裕がほとんど無かったことになる。 影響と対応 攻撃者はDIVDのシステムからデータへのアクセスと持ち出しを行ったが、ネットワークのセグメンテーションと事後対応(インシデントレスポンス)によって、それ以上の内部横展開(ラテラルムーブメント)は阻止されたという。Zammadは2,000以上の顧客と55,000人以上のユーザーを抱えるAI搭載のヘルプデスク・チケット管理プラットフォームで、De’Longhi、Amnesty International、Nextcloudなど著名な組織も利用している。DIVDは影響を受ける可能性のある利用者に対し、Zammadをバージョン7へ早急にアップグレードするか、それが直ちにできない場合はインスタンスをオフラインにするよう勧告している。 今後の展望 今回の事例は、自律型AIエージェントが人間の速度を大幅に超えるスピードで脆弱性を悪用し、侵害の全工程を完結させ得ることを実証した点で注目される。セッションハイジャックからroot権限奪取、データ窃取までが数秒で連鎖的に実行されたという事実は、従来の監視・対応体制がこうした「エージェント型」攻撃の速度に追いついていない可能性を示している。今後、攻撃者側での自律型AIエージェントの活用が広がれば、防御側にも同様にAIを活用したリアルタイム検知・自動対応の仕組みが一層求められることになりそうだ。

概要 Next.jsチームは、Critical 1件・High 2件・Medium 5件・Low 1件、計9件の脆弱性を修正するセキュリティリリースv16.3.8およびv15.5.27を9月30日に公開すると発表した。この修正計画自体は9月23日に事前告知されていたもので、開発チームは各種脆弱性の影響範囲や対象バージョン、アップグレード手順を含む詳細なアドバイザリを、パッチ版の公開に合わせて順次公開するとしている。ユーザーには修正版への速やかなアップグレードが推奨されている。 リリースまでの経緯 当初の計画では9月30日に一括でパッチが公開される予定だったが、直前の9月29日には先行してv16.3.7がリリースされている。ただしこのv16.3.7はバグ修正のみを含むものであり、今回のセキュリティ修正は含まれていなかった。そのため今回のセキュリティ対応は改めてv16.3.8およびv15.5.27として切り出され、予告どおり9月30日に公開される予定となっている。Next.jsは同フレームワークにおいては9月にもImageResponse機能に関する重大なRCE(リモートコード実行)脆弱性で緊急パッチを公開したばかりであり、広く利用されるReactフレームワークとして短期間にセキュリティ対応が続いている点が目を引く。 開発体制と今後の対応 Next.jsを開発するVercelは、Vercel Open Source Bug Bountyプログラムを通じてセキュリティ研究者と連携し、Next.jsをはじめとするオープンソースフレームワークの脆弱性発見・修正に取り組んでいる。セキュリティプログラムに関する問い合わせや懸念は security@vercel.com 宛に受け付けているという。Next.jsを本番環境で利用している開発者は、公開され次第v16.3.8またはv15.5.27へ速やかにアップグレードするとともに、今後公開される詳細なアドバイザリを確認し、自身の利用機能が影響を受けるかどうかを確認することが望ましい。