Security

概要 2026年6月1日、Wiz Researchは@redhat-cloud-services npmスコープ配下の31〜32パッケージを対象としたサプライチェーン攻撃「Miasma: The Spreading Blight」を発見した。累計週間ダウンロード数が約8万件に上る人気パッケージ群が、タイポスクワッティングではなく正規の信頼済みnpm名前空間を直接乗っ取る形で侵害された。侵入の起点はRed Hat社員のGitHubアカウント窃取であり、攻撃者はそのアカウントを使ってRedHatInsightsの3リポジトリにorphanコミットを注入した。このコミットにはGitHub Actions OIDCトークンをリクエストするワークフローが含まれており、CI/CDパイプライン自体を踏み台として悪意あるパッケージをnpmへ正規公開することに成功した。攻撃は10:53 UTC（第1波）と13:44 UTC（第2波）の2段階で実行され、同日13:00 UTC（1PM UTC）時点で悪意あるバージョンの大半（残り2件を除く）が取り下げられた。 攻撃の仕組み 各侵害パッケージのpackage.jsonにはpreinstallライフサイクルフックが埋め込まれており、npm install実行時に約4.2MBの難読化ペイロードが自動起動する。ペイロードは数値文字配列によるROT形式変換、さらにAES-128-GCMによる多段階復号化チェーンを経て最終的なBunベースのスクリプトを/tmp/p*.jsにドロップする。難読化にはeval()やROTベースのデコード技法が用いられており、ハッシュベースの静的検出を困難にするため感染ごとに一意の暗号化ペイロードを生成する仕組みになっている。さらに公開されたパッケージには有効なSLSAプロベナンス証明が付与されており、サプライチェーンセキュリティの通常チェックをすり抜けた点が特徴的だ。攻撃手法はTeamPCPによる「Mini Shai-Hulud」キャンペーンと同一の手口とみられているが、攻撃ツールがオープンソース化されているため確定的な帰属は困難とされる。 標的データと回避・永続化技術 マルウェアが収集する情報は多岐にわたる。GitHubトークン（classic・fine-grained・OIDC）、AWS/GCP/Azureのクラウド認証情報、KubernetesサービスアカウントトークンやHashiCorp Vaultトークン、npm/PyPIの公開トークン、SSHキーに加え、Claude CodeやVS Code、GitHub Copilot、Geminiなどのエディタ・AI開発ツール設定ファイルも標的となった。特に危険な機能として、GitHub Actionsランナー上でプロセスメモリからシークレットを直接読み取り、ワークフローログのマスキングを回避する能力が確認されている。窃取データの送信先としてapi.anthropic.com/v1/api宛のトラフィックに偽装し（実際には存在しないルート）、GitHubのAPIをフォールバックとして使用するなど、正規トラフィックへの巧妙な混入が図られた。永続化はLinux環境ではkitty-monitor.service、macOSではcom.user.kitty-monitor.plistを介して行われ、Claude CodeのSessionStartフックやVS Codeのtasks.jsonへのインジェクションも確認された。さらに「デッドマンスイッチ」として機能するgh-token-monitorが存在し、永続化削除前にトークンを無効化するとホームディレクトリのワイプといった破壊的コマンドが実行される危険性がある。CrowdStrike・SentinelOne・Carbon Blackといったエンドポイント保護製品の存在を確認する機能や、ロシア語システムでの実行を回避する機能も実装されており、高度な標的選択が行われている。 影響範囲と推奨対応策 2026年6月1日以降に侵害バージョンをインストールしたプロジェクトは侵害を前提とした対応が必要だ。対応の順序が極めて重要で、まず永続化（kitty-monitorとgh-token-monitor）を削除してからトークンを無効化する必要がある。逆の順序ではデッドマンスイッチが作動するリスクがある。その後、パッケージを削除してロックファイルを再生成し、クラウド認証情報・GitHubトークン・SSHキーをすべて無効化・再発行する。CIランナーと開発ワークステーションはクリーンイメージから再構築することが推奨される。即時的な緩和策として、CIパイプラインでnpm ci --ignore-scriptsを使用することでpreinstallスクリプトの実行を一時的に無効化できる。Red Hat側はSBOMの生成や依存関係のアローリスト化、強化された監視体制の実装を推奨している。今回の事案は、SLSA証明付きパッケージであっても上流の侵害を防げないことを示しており、CI/CDパイプラインのアカウントセキュリティ強化とIDトークンの最小権限化の重要性を改めて浮き彫りにした。

概要 ベルギーのサイバーセキュリティ機関（Centre for Cybersecurity Belgium：CCB）は2026年6月1日、Windows NetlogonサービスのRCE（リモートコード実行）脆弱性CVE-2026-41089が実際の攻撃で積極的に悪用されていることを確認した。CVSSスコアは9.8（Critical）であり、管理者に対して「できる限り早急にパッチを適用するよう」緊急勧告を発した。本脆弱性はMicrosoftが2026年5月12日のパッチチューズデーで修正済みだが、いまだ多数の未パッチサーバが攻撃対象となっている。 脆弱性の技術的詳細 CVE-2026-41089はWindows NetlogonのRPCインターフェースに存在するスタックベースのバッファオーバーフロー脆弱性で、Microsoftの社内チーム「Windows Attack Research & Protection（WARP）」によって発見された。攻撃者はドメインコントローラとして機能するWindowsサーバに対して特別に細工したネットワークリクエストを送信するだけで、認証なし・事前アクセスなしでリモートコード実行が可能となる。影響範囲はWindows Server 2025を含む現在サポートされているすべてのWindows Serverバージョンに及ぶ。 Netlogonはドメイン認証の中核を担うサービスであるため、ドメインコントローラを掌握された場合のリスクは極めて高い。セキュリティ研究者やAI企業が公開されたパッチをリバースエンジニアリングし、概念実証（PoC）コードを公開したことが悪用の加速につながったとみられる。 推奨される対策 各機関は以下の対策を優先して実施するよう推奨している。 パッチ適用：すべてのドメインコントローラに5月のパッチチューズデー修正を適用する。複数のDCがある環境では同一メンテナンスウィンドウ内での一括適用が望ましい。 ネットワーク制限：ネットワーク層でNetlogon RPC（TCPポート135など）へのアクセスを必要な範囲に制限し、外部からの不審なNetlogonトラフィックをブロックする。 監視強化：Netlogonサービスの予期しないクラッシュや異常なトラフィックパターンを継続的に監視する。 管理セッションへのMFA適用：管理者アカウントへの多要素認証（MFA）を必須化し、横展開のリスクを低減する。 なお、Acros Securityはレガシーサーバ向けにマイクロパッチを提供しており、正規パッチ適用が困難な環境向けの緩和策として活用できる。 今後の展望 PoCコードが公開されている以上、攻撃は今後さらに増加することが見込まれる。ドメインコントローラは組織のActive Directory環境全体の要であり、侵害された場合の被害は全資産に波及しかねない。サポート対象のWindowsサーバへのパッチ適用が最優先事項であり、未パッチ環境はランサムウェアや標的型攻撃に対して深刻なリスクを抱えていると言える。

概要 Ghost CMS（バージョン3.24.0〜6.19.0）のContent APIに存在するSQLインジェクション脆弱性CVE-2026-26980（CVSSスコア9.4）が攻撃者に悪用され、世界中の700以上のウェブサイトが侵害された。パッチは2026年2月16日〜19日に6.19.1としてリリースされていたにもかかわらず、更新を怠ったサイトが大量に攻撃対象となった。中国のセキュリティ企業QiAnXin XLabが5月7日に大規模キャンペーンを検出し、5月25日に公開報告した。被害サイトにはハーバード大学、オックスフォード大学、オーバーン大学、DuckDuckGoといった著名な組織が含まれており、教育機関・テック企業・メディア・フィンテック企業など多岐にわたるセクターに影響が及んだ。被害サイトの約半数は個人ブログだった。 脆弱性の詳細と攻撃手法 CVE-2026-26980は認証不要のSQLインジェクション脆弱性であり、攻撃者はGhostのデータベースから任意のデータを読み取ることができる。実際の攻撃では以下の4段階のプロセスが確認されている。 Admin APIキーの窃取: 未認証の状態でContent APIを通じてSQLインジェクションを実行し、データベースから管理者APIキーを抽出する。 悪意あるJavaScriptの注入: 取得したAdmin APIを使用してGhost Admin APIを呼び出し、公開済み記事に二段階ローダー型の悪意あるJavaScriptを埋め込む。 外部ペイロードの取得: ローダースクリプトが外部ドメイン（clo4shara[.]xyz/11z77u3.php）から追加コードを取得し、訪問者のフィンガープリントを収集する。 ClickFix攻撃の実行: 訪問者に偽のCAPTCHAまたはCloudflare検証ページを表示し、Base64エンコードされたコマンドをWindowsの実行ダイアログに貼り付けるよう誘導する。これによりZIPアーカイブがダウンロードされ、バッチスクリプトがDLLローダー、JavaScriptドロッパー、またはElectronベースのマルウェア（UtilifySetup.exe）を端末に展開する。 脅威グループの動向と被害拡大の背景 調査によれば、少なくとも2つの異なる脅威グループが同一ターゲットを狙って同じ日に競合するように攻撃を展開しており、感染サイトの一部は複数グループによって同時に侵害されていた。DLLのコンパイルタイムスタンプがパッチ公開日と一致しているという報告もあり、攻撃者は脆弱性情報の公開直後から攻撃ツールを整備していた可能性がある。 パッチ公開から約3ヶ月が経過した5月になって大規模被害が顕在化した背景には、セルフホスト型CMSにおける更新適用の遅延という根本的な課題がある。QiAnXin XLabは侵害された組織への通知を行ったが、その大半が対応を無視したと報告しており、インシデントレスポンスの軽視が被害を長期化させた。 推奨対策 Ghost CMSを運用するすべての組織は、直ちに以下の対策を実施する必要がある。 バージョン6.19.1以降へのアップグレード: パッチ未適用のインスタンスは引き続き攻撃対象となる。 全認証情報のローテーション: Admin APIキーを含むすべての認証情報を再発行する。 悪意あるコードの除去: 公開記事に注入されたJavaScriptローダーを特定・削除する。 アクセスログの監査: 侵害期間中の不審なAPIコールや外部通信を精査する。 訪問者への通知: 感染期間中にサイトを訪問したユーザーへ注意喚起を行う。

概要 Palo Alto Networksは5月13日、PAN-OSのGlobalProtectポータルおよびゲートウェイに存在する認証バイパス脆弱性CVE-2026-0257（CVSS 7.8）を公開した。この脆弱性が悪用されると、攻撃者は正規の認証情報を持たずにVPN接続を確立できる状態となる。その後、5月29日には未パッチのシステムへの限定的な悪用が公式に確認され、米国CISAは同脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加。連邦機関に対して2026年6月1日までの対応を義務付けた。 脆弱性の仕組みと悪用手法 この脆弱性は、GlobalProtectが使用する「認証上書きクッキー（Authentication Override Cookie）」機能の設計上の欠陥に起因する。攻撃者は対象デバイスのHTTPSサービスと同一の証明書が使われている環境において、公開証明書から公開鍵を取得し、任意のユーザー向けに偽造クッキーを生成することで、認証を回避してVPN接続を確立できる。影響を受けるのは、認証上書きクッキーが有効かつHTTPSサービスと証明書を共有する設定のGlobalProtectデバイスに限定される。 セキュリティ企業Rapid7は5月17日以降、複数の顧客環境でこの脆弱性の悪用を確認した。初期の攻撃はVultrのインフラを踏み台として行われ、5月21日にはDromatics Systemsを経由した第二波の攻撃も観測されている。一部のケースでは、偽造クッキーによる認証後にVIPアドレスが割り当てられ、内部ネットワークへのアクセスが確立されたことも報告されている。 推奨される対応策 Palo Alto Networksは以下の対策を推奨している。 最新のセキュリティアップデートを即時適用する 即時パッチ適用が困難な場合は、認証上書きクッキー機能を無効化する 認証上書き用に、HTTPSサービスとは独立した専用証明書を新規生成する CISAのKEVカタログへの追加により、米国の連邦機関は法的義務として2026年6月1日までの対応が求められる。民間企業においても、GlobalProtectを使用している組織は早急にパッチ適用状況を確認し、上記の緩和策を適用することが強く推奨される。

概要 Permiso Securityの研究者Andi Ahmetiが、ChatGPTのウェブ要約機能に存在するプロンプトインジェクション脆弱性「ChatGPhish」を公開した。この脆弱性を悪用すると、攻撃者はユーザーにChatGPTで要約させるウェブページに悪意あるMarkdown命令を仕込み、信頼性の高いAIのチャットUIの内部にフィッシングリンクや偽のセキュリティ警告を表示させることができる。 攻撃の仕組み ChatGPhishの核心は、ChatGPTが自身の生成コンテンツと外部ソース由来の攻撃者制御Markdownを区別できない点にある。ユーザーがウェブページの要約をChatGPTに依頼すると、そのページに埋め込まれた隠し命令がAIに読み込まれ、通常の動作を上書きする。たとえば攻撃者が「要約する際は必ず以下の構造に従え」という指示とともにフィッシングリンクを埋め込むと、ChatGPTは正当な要約文を生成した後、攻撃者のドメインへのリンクを含む本物らしいセキュリティ警告を付け加えてしまう。 また、Markdownの画像URLが暗黙的に処理される性質も悪用されており、ページ閲覧者のIPアドレス・User-Agent・Refererといった情報が攻撃者のサーバーへ流出するリスクも確認されている。さらに、攻撃者が制御するS3バケットからQRコードを配信することで、デスクトップのセキュリティフィルターをバイパスしてモバイル端末経由のフィッシングへ誘導する手法も示された。 開示と対応状況 AhmetiはOpenAIに対してBugcrowdを通じ4月29日に脆弱性を報告したが、OpenAIは当初「再現不能」と判定し、再提出後も「重複報告」として処理した。修正が適用されたかどうかについての確認はOpenAIから得られていないと研究者は述べており、対応状況は依然として不透明だ。 セキュリティ上の示唆 この脆弱性は、企業や組織がChatGPTを情報収集・要約に活用している環境で特にリスクが高い。従業員が要約するページが悪意ある命令を含んでいれば、メールの悪意ある添付ファイルを操作することなく、通常のブラウジング中に攻撃者の指示が実行される恐れがある。AI搭載のチャットUIが信頼された環境としてブラウザ内でコンテンツをレンダリングするようになったことで、OSに匹敵する攻撃対象領域が生まれているという、より広範なセキュリティ課題を浮き彫りにした事例と言える。

概要 FortiClient Enterprise Management Server（EMS）に存在するCVSS 9.1の重大な認証バイパス脆弱性（CVE-2026-35616）を悪用した攻撃が確認された。脅威アクターはこの脆弱性を通じてEMS設定やVPNポリシーを無断で改ざんし、Fortinetの正規パッチに偽装した情報窃取マルウェア「EKZ」をエンドポイントへ展開している。Fortinetは4月上旬にバージョン7.4.5および7.4.6向けの緊急パッチを公開しており、CISAも連邦機関に対して即時適用を義務付けた。The Shadowserver Foundationの調査では、インターネットに公開されたEMSインスタンスが約2,000件確認されている。 攻撃チェーンの詳細 攻撃は複数段階で構成されている。まず脆弱性を悪用してエンドポイントAPIへの未認証アクセスを行い、管理者権限に相当する操作を実行する。次にリモートアクセスプロファイルおよびVPNポリシーを改ざんして悪意のあるスクリプトを埋め込む。エンドポイントがIPsecトンネルを確立すると、正規のfortitray.exeがコマンドプロンプト経由でバッチスクリプトを起動し、Base64エンコードされたPowerShellペイロードを実行する。このペイロードはFortinetの公式パッチに偽装されており、被害者が気づきにくい構造になっている。窃取されたデータはHTTP経由で攻撃者が管理するVPSサーバへ送信される。 EKZマルウェアの機能と影響 EKZはMinGWでコンパイルされた情報窃取マルウェアで、ChromiumおよびGeckoエンジンを採用するブラウザ（Chrome、Firefox、Torブラウザなど）を標的とする。収集する情報はブラウザに保存された認証情報・パスワード、クレジットカード情報、住所・電話番号などのオートフィルデータ、セッションクッキーと多岐にわたる。特にクッキーの窃取はMFAを回避した不正ログインを可能にするため、侵害の影響が拡大するリスクがある。データ送信後はローカルの痕跡を消去する機能も備えており、検知回避への配慮がなされている。 検知と対策 防御側は以下の指標を監視することが推奨される。EMSログにおける「Certificate not found in request header」のエラーエントリや証明書認証の異常、見覚えのないIPアドレス（Torや外部VPSなど）からの管理操作、およびリモートアクセスプロファイルの予期しない変更が主要な検知シグナルとなる。すでに侵害が疑われる組織では、影響を受けたサービス全体でのパスワード変更、既存セッションの強制無効化、および保存された金融情報への不正利用がないかの確認が必要とされる。FortiClient EMSを運用しているすべての組織は、速やかにパッチを適用し、設定変更の監査ログを精査することが強く求められる。

概要 オープンソースのバージョン管理プラットフォームGiteaの組み込みコンテナレジストリに、重大な認証バイパス脆弱性（CVE-2026-27771）が発見された。CVSSスコアは8.2（High）で、「プライベート」に設定されたリポジトリのコンテナイメージが、アカウントやパスワードを持たないインターネット上の誰からでも取得可能な状態にあった。セキュリティ研究者のNoScopeが2026年4月に自動ペネトレーションテストエージェントを通じて発見し、Giteaメンテナに責任ある開示を行った。修正済みのバージョン1.26.2が2026年5月にリリースされており、早急なアップグレードが推奨されている。 技術的な詳細 本脆弱性はGiteaのコンテナレジストリにおけるアクセス制御の根本的な欠陥に起因する。プライベート指定されたリポジトリであっても、レジストリエンドポイントが匿名リクエストに対してイメージレイヤーおよびマニフェストを返してしまう設計になっており、攻撃者は標準的なDocker/OCIプルリクエストを使用するだけで認証なしに完全なプライベートコンテナイメージを取得できた。NoScopeは「Giteaのコンテナレジストリは、アカウントもパスワードも事前のアクセス権も持たないインターネット上の誰もが、プライベートとされるコンテナイメージをプルできる状態にあった」と説明している。プライベート指定はまったく機能しておらず、この欠陥は約4年間にわたって検出されることなく存在し続けた。 影響範囲 Shodanを通じた調査により、インターネットに公開されているGiteaインスタンスは3万4,000件以上確認され、そのうち約3万1,750件（93%）が脆弱な可能性があるとされている。4,000件は主要なクラウドプラットフォーム上の本番環境で稼働しており、7,000件はデフォルトポートで動作していた。影響は30か国以上に及び、中国・米国・ドイツ・フランス・英国への集中が確認されている。影響を受けた業界は医療機関、航空宇宙メーカー、小売業インフラ、ISP、エンタープライズソフトウェア開発チームなど多岐にわたる。悪用に成功した場合、ソースコードや業務ロジックの流出、APIキーやデータベースパスワード・クラウドプロバイダー認証情報などの機密情報の取得、内部インフラ構成の把握といった深刻な被害が生じる可能性がある。 Forgejoへの波及と今後の対応 GiteaのフォークであるForgejoも独立した検証において脆弱性が確認されており、他のGiteaから派生したプロジェクトも個別にパッチ適用が必要な状況にある。セキュリティ研究者は技術的な詳細の公開を意図的に控えており、エコシステム全体がパッチを適用するのに十分な時間を確保する方針をとっている。現時点では公開されたPoC（概念実証コード）や実際の悪用報告は確認されていないが、脆弱性の深刻度と攻撃の容易さから高リスクと評価されており、インターネット接続環境でGiteaを運用している組織には即時のv1.26.2へのアップグレードが強く推奨される。アップグレードが直ちにできない場合の一時的な回避策として、設定ファイルで[service].REQUIRE_SIGNIN_VIEW=trueを設定することで匿名アクセスを制限できるが、意図的に公開設定にしているリポジトリへの影響も生じるため注意が必要だ。

概要 CrowdStrikeのCounter Adversary Operations、Google Threat Intelligence Group、そして非営利組織のShadowserver Foundationは2026年5月27日14:00 UTC、「Glassworm」と名付けられたボットネットのテイクダウン作戦を実施した。Glasswormは2025年初頭から活動を開始し、オープンソースソフトウェア開発者を狙ったサプライチェーン攻撃に使われてきた。300以上のGitHubリポジトリに悪意あるコードを注入し、400以上のソフトウェア成果物に影響を与えるなど、開発者コミュニティに深刻な被害をもたらした。 巧妙な4チャネルC2インフラ Glasswormの最大の特徴は、単一障害点を排除するために設計された4つの独立したコマンド＆コントロール（C2）チャネルだ。 Solanaブロックチェーン — ブロックチェーントランザクションのメモフィールドにC2サーバーアドレスを埋め込み、改ざんが困難な分散台帳を通信経路として活用した。 BitTorrent DHT（分散ハッシュテーブル） — ハードコードされた公開鍵を使用してP2Pネットワーク経由で設定データを取得。中央サーバーを持たないため従来の手法では遮断できない。 Google Calendar — イベントタイトルにBase64エンコードされたC2パスを隠蔽し、正規サービスの通信に紛れ込ませた。 従来型VPSサーバー — ペイロード配信用の直接接続チャネルとして使用。 攻撃者は個々のチャネルが遮断されても残りを通じて運用を継続できる設計を採用していた。そのため今回のテイクダウンには「すべてのチャネルを同時に遮断する精度とタイミング」が不可欠であったと、セキュリティチームは説明している。摘発後、感染した端末はCrowdStrikeが管理するIPアドレス 164.92.88[.]210 へのビーコンを送るようになり、感染システムの特定が可能となった。 攻撃手法と被害の詳細 Glasswormは当初、OpenVSX上のVS Code拡張機能を標的としていたが、その後npmパッケージやPythonパッケージ、GitHubリポジトリへと攻撃範囲を拡大した。攻撃者は複数の手法を組み合わせて開発者アカウントを侵害した。過去に流出した認証情報を使った不正ログイン、悪意ある拡張機能のマーケットプレイスへの公開、そして検索結果のスポンサー枠を悪用したマルバーティジング（不正広告）による誘導がその主な手口だ。 感染後は不可視Unicodeを用いたコード注入をWindows・macOS・Linux全プラットフォームで実行し、暗号資産ウォレットや開発者の認証情報を窃取した。さらに「GlasswormRAT」と呼ばれるNode.js製のリモートアクセスツールを展開し、感染環境内での横展開（ラテラルムーブメント）を可能にした。 検出と今後の対応 セキュリティ研究チームは感染したシステムを特定するためのYARAルールを公開している。組織は 164.92.88[.]210 へのネットワーク接続履歴を調査することで感染の有無を確認できる。今回の摘発はGlasswormの活動を大きく制約するものだが、ブロックチェーンやP2Pネットワークを悪用した耐障害性の高いC2インフラの台頭は、今後のサイバーセキュリティにおける新たな課題を浮き彫りにした。開発者が利用するサプライチェーンの各経路—パッケージリポジトリ、IDE拡張機能、コードホスティングサービス—が攻撃対象になり得ることを改めて示した事例として、業界全体への警鐘となっている。

概要 IBMとRed Hatは2026年5月28日、オープンソースソフトウェア（OSS）のサプライチェーンセキュリティを抜本的に強化する取り組み「Project Lightwell」を発表した。総投資額は50億ドルにのぼり、20,000人を超えるエンジニアとAIツールを組み合わせて脆弱性の特定・検証・修正を大規模に自動化することを目指している。IBM会長兼CEOのArvind Krishna氏は「オープンソースは今日のデジタル経済の基盤であり、現代AIの土台でもある。我々は今、その構築・セキュリティ確保・スケールのあり方における転換点に立っている」と述べ、業界全体でのセキュリティ水準向上に向けた本プロジェクトの重要性を訴えた。 技術的な取り組みと仕組み Project Lightwellの中核となるのは、エンタープライズ向けの統一的なOSSセキュリティクリアリングハウスの構築だ。このプラットフォームでは、企業が発見した脆弱性を報告すると、AIによる自動検証とエンジニアによる審査を経て、検証済みのパッチが提供される仕組みとなっている。AIツールは脆弱性のトリアージや優先順位付けを担い、膨大な量のOSSコンポーネントを効率的にスキャンすることを可能にする。また、上流のオープンソースコミュニティとも密に連携し、修正内容がプロジェクト本体へフィードバックされる体制も整える方針だ。 業界への影響と今後の展望 すでに11の大手金融機関がProject Lightwellへの参加を表明しており、早期実装から得られた知見がプログラムの改善に継続的に反映される予定となっている。OSSのサプライチェーン攻撃は近年急増しており、Log4ShellやXZ Utilsのインシデントに象徴されるように、単一のOSSコンポーネントの脆弱性が広範なエンタープライズシステムに連鎖的な影響をもたらすリスクが顕在化している。IBMとRed Hatによる今回の大規模投資は、こうしたリスクへの業界横断的な対応策として注目されており、エンタープライズにおけるOSSの信頼性向上に向けた重要な一歩となる可能性がある。

概要 クルーズ船大手カーニバル・コーポレーションは、2026年4月10日に発生したサイバー攻撃によって約599万5,277人分の顧客個人情報が流出したことを正式に認めた。同社は4月14日にシステムへの不正アクセスを検出し、直ちにサードパーティのセキュリティ専門家と連携して対応にあたった。被害者への通知は2026年5月下旬に開始され、対象者には2年間の無料信用監視サービスが提供されている。 今回の攻撃を主張しているのはShinyHuntersと呼ばれるサイバー犯罪グループで、個人識別情報を含む「800万件以上のレコード」とテラバイト規模の内部企業データを取得したと述べている。Have I Been Pwned の分析によれば、流出したデータには氏名・生年月日・メールアドレス・性別・居住地域・ロイヤルティプログラムの詳細が含まれており、特にカーニバル傘下のHolland Americaが運営するMariner Societyロイヤルティプログラムからの情報が多く含まれている。 攻撃手法と被害の詳細 攻撃者はソーシャルエンジニアリングの手口を用いて従業員を騙し、社内ITシステムの一部へのアクセス権を不正取得した。カーニバル社は声明の中で「不正なアクティビティを速やかに遮断し、外部セキュリティ専門家と即座に協力を開始した」と説明しているが、攻撃が検出されるまでの4日間で大規模な情報窃取が行われた可能性が高い。 繰り返されるセキュリティインシデント 今回の侵害はカーニバル・コーポレーションにとって過去6年間で5件目の大規模データ侵害となる。同社は2020年(3月・8月・12月)と2021年(6月)にも重大なセキュリティインシデントを経験しており、大量の顧客個人情報を管理する大企業に対する継続的な脅威と、セキュリティ対策の抜本的な見直しの必要性を改めて浮き彫りにしている。被害者はフィッシング詐欺や身元詐称といった二次被害にも警戒が必要だ。