概要
今日の注目セキュリティニュースをまとめました。
今回（2026年7月28日〜8月2日公開分が中心）のキーワードは 「管理プレーンと信頼された配信経路」 です。米国では水道インフラのPLCが直接攻撃を受けてCISAが緊急警告を出し、企業側でもvCenter・Check Point管理サーバ・サーバBMCといった「管理する側のシステム」の脆弱性が相次いで表面化しました。加えて、広告配信基盤やパッケージリポジトリといった「信頼されているから素通りする経路」が武器化される事例も続いています。
主要ニュース
1. CISA、水道・下水道事業者に緊急警告 ― ミネソタ州30以上の水道システムがOT攻撃で被害
- 影響範囲: インターネットに露出したPLC（特にRockwell Automation / Allen-Bradley MicroLogix 1100・1400）を運用する水道・下水道事業者、および同様の構成を持つ重要インフラ全般
- 概要: 7月26日〜27日にかけて、ミネソタ州の30を超えるコミュニティ水道システムを狙った協調的なOT攻撃が発生し、州のIT機関MNITが緊急インシデント対応計画を発動しました。攻撃者はインターネットに露出したPLCへ遠隔アクセスし、パスワードを変更して運用者を締め出す、IPアドレスを書き換えて監視・制御を失わせるといった操作を行い、一部の自治体では設備が手動運用に切り替わりました。これを受けCISAは7月30日、「公開されているPLCおよびOT機器を可及的速やかにインターネットから切り離すこと」を求める警告を発出しています。FBIとEPAによれば、7月27日以降に少なくとも7州の事業者から同種の報告が上がっています。
- 対応策: PLC・HMI等のOT機器をインターネットから直接到達できない状態にしてください。やむを得ない場合はVPNまたはゲートウェイ経由に限定し、デフォルトパスワードを必ず変更のうえIPアドレスのallowlistでアクセス制限します。CISAは「運用部門やベンダー、SIerが独自に設置した未登録のセルラーモデム」が盲点になっていると指摘しており、Censysの調査でも露出したRockwell機器の約半数がキャリア回線経由で到達可能でした。資産棚卸しの際は、正規のネットワーク図に載っていない通信経路を疑ってください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/cisa-warns-of-cyberattacks-disrupting-us-water-utilities/
2. 広告配信大手Adformが侵害され、トラッキングスクリプトが暗号資産窃取ツールに
-
影響範囲: Adformのトラッキングピクセル（
s2.adform.netのtrackpoint-async.js）を設置しているWebサイトと、その訪問者。Adformは約14,000社に利用され、DSP市場で約30%のシェアを持ちます -
概要: セキュリティ研究者のKevin Beaumont氏が、Adformの正規ドメインでホストされているJavaScriptファイルが改ざんされ、サプライチェーン攻撃の配信経路になっていたと報告しました。改ざんされたスクリプトはクリップボードハイジャッカーとして動作し、数秒おきにクリップボードを走査してBitcoin・Ethereum・Tronのウォレットアドレスを検出すると、攻撃者のアドレスへ静かに差し替えます。被害者が気づいてコピーし直しても、次のポーリングで再び上書きされます。さらに訪問者のIPアドレス・参照元サイト・URLパスを攻撃者サーバ（
84.32.102[.]230:7744）へ送信していました。関連するファイル・URL・ドメイン・IPはいずれも主要なアンチウイルスや脅威インテリジェンスでクリーン判定であり、「信頼された第三者スクリプト」であることが検知回避に直結した点が特に深刻です。 - 対応策: 自社サイトで利用中のサードパーティスクリプトを棚卸しし、上記IoCへの外向き通信がないか確認してください。恒久対策としては、外部スクリプトへのSRI（Subresource Integrity）適用、CSPによる送信先制限、タグマネージャ経由で読み込むスクリプトの定期レビューが有効です。個人利用者は、暗号資産の送金時に貼り付けたアドレスの先頭と末尾を必ず目視確認してください。
- 参考リンク: https://cybersecuritynews.com/adform-advertising-platform-compromised/
3. SplitVPN（旧NotVPN）から865,336アカウントが流出 ― 「ノーログ」を謳いながら5,800万件の接続ログを保持
- 影響範囲: ロシア系VPN事業者SplitVPN（旧NotVPN）の利用者。Have I Been Pwnedに865,336件のアカウントが登録されました（利用者はロシア・イラン・インド・ミャンマーに集中）
- 概要: 2026年7月21日に発生した侵害で、17GBのSQLデータベースがサイバー犯罪フォーラム上で配布されました。Mysteriumが検証したところ、約2,340万件のユーザーレコード、1,360万件のデバイスレコード、260万件の決済レコード、そして約5,800万件の接続ログが含まれていたとされます。流出項目にはメールアドレス、IPアドレス、居住国、カード番号の先頭6桁・末尾4桁と有効期限、デバイス識別子、おおよその位置情報などが含まれます（カード番号の全桁は含まれず）。同社は旧ブランド時に「No logs or history」「100% privacy guaranteed」と明記していましたが、実際にはデバイスとVPNサーバの接続を2025年6月から侵害当日まで秒単位のタイムスタンプ付きで記録し続けていました。閲覧先URLは含まれないものの、アカウントと接続時刻の紐付けが可能であり、検閲回避目的の利用者にとってはリスクが大きい内容です。
- 対応策: 該当サービスの利用者は、登録メールアドレスとIPアドレスが漏洩したものとして扱ってください。使い回しているパスワードは直ちに変更し、多要素認証を有効化、決済明細の不審な請求を監視します。VPN利用歴に言及するフィッシングにも警戒が必要です。組織としての教訓は、「ノーログ」はマーケティング上の主張であり技術的保証ではないという点で、プライバシー製品を選定する際は第三者監査レポートの有無を確認すべきです。
- 参考リンク: https://cybersecuritynews.com/splitvpn-data-breach/
4. VMwareに緊急3件 ― vCenterの認証バイパス（CVSS 9.8）とVM脱出
- 影響範囲: VMware vCenter、ESX / ESXi、Workstation、Fusion、Cloud Foundation、vSphere Foundation、Telco Cloud
- 概要: Broadcomはアドバイザリ VMSA-2026-0006 を公開し、CVSSv3で2.7〜9.8に及ぶ複数の脆弱性を修正しました。最も深刻な CVE-2026-59309（CVSS 9.8） はVMware Directory Serviceにおける認証バイパスで、vCenterにネットワーク到達できる攻撃者が認証を完全に迂回して管理プレーンを掌握できます。CVE-2026-59310（CVSS 9.8） はvCenter Syslogサーバのディレクトリトラバーサルで、任意コード実行に至ります。さらに CVE-2026-47876（CVSS 9.3） はVMXNET3仮想NICの境界外書き込みで、VM内の管理者権限を持つ攻撃者がESXホスト上でコードを実行できる「VM脱出」に分類されています。Broadcomは実際の悪用は確認していないとしています。
- 対応策: vCenterは 9.1.0.0300 / 9.0.2.0100 / 8.0 U3k へ、ESXiは対応ビルドへ速やかに更新してください（Cloud Foundation 5.x は 8.0 U3k への非同期パッチ）。トラバーサルの脆弱性には回避策が存在しないため、パッチ適用が唯一の対策です。インターネットまたは広い社内セグメントから到達可能なvCenterを最優先で処理し、あわせて管理インターフェースを管理専用セグメントへ隔離してください。
- 参考リンク: https://thehackernews.com/2026/07/three-critical-vmware-flaws-allow-auth.html
5. Check Point SmartConsoleのゼロデイ CVE-2026-16232 ― 実際に悪用済み、PoCも公開
- 影響範囲: Check Point Security Management Server および Multi-Domain Security Management Server（MDS）。R81.20 / R82.10 系で再現が確認されています
- 概要: SmartConsoleのログイン処理に存在する認証バイパスで、パッチ提供前からゼロデイとして悪用されていました。Rapid7の解析によれば、根本原因はアプリケーション認証における信頼境界の破綻にあります。脆弱なサーバは、プラットフォームが返す「認証済みピア証明書」ではなく、攻撃者が申告したSIC識別名（DN）をそのままリモートアプリケーションの身元として受理してしまいます。攻撃者は未認証のブートストラップ通信からサーバ自身のSIC DNを学習し、偽造した証明書バインドでリプレイしてアプリケーショントークンを取得、レガシーのFWM/CPMIサービス（TCP 18190）でSmartConsole用SSOチケットを発行させ、新しいCPM SOAP API（TCP 19009）で引き換えることで管理者権限のセッションを得ます。Rapid7は検証用PoCをGitHubで公開しています。
- 対応策: Check Pointが提供するJumbo Hotfixを直ちに適用してください。あわせて管理プレーンへのアクセスを信頼済みネットワークに限定し、Trusted Clientsの設定を厳格化します（Rapid7は既定設定が緩いケースを確認）。侵害の痕跡としては、監査ログの「Authentication method: application token」が有用な指標になります。
- 参考リンク: https://cybersecuritynews.com/check-point-zero-day-poc-released/
6. 20年前のIPMI脆弱性が今も有効 ― 24,650台のBMCがログイン前にパスワードハッシュを漏出
- 影響範囲: インターネットに露出したBaseboard Management Controller（BMC）。Shodan上でUDP 623番ポートに応答する36,872台のうち、24,650台（66.9%）が該当。Supermicro製が過半数を占め、HPE iLOも含まれます
- 概要: LavaHQの調査で、IPMI 2.0のRAKP（Remote Authenticated Key-Exchange Protocol）における既知の欠陥 CVE-2013-4786 が、今なお大量のデータセンターサーバで悪用可能な状態にあることが判明しました。この脆弱性では、未認証の攻撃者がログイン成功前にアカウントパスワード由来のHMAC-SHA1値を取得でき、オフラインでパスワードを復元できるためアカウントロックや失敗ログインのアラートを一切踏まないという点が厄介です。復元されたハッシュの30%超が弱い・推測可能なパスワードに紐付き、Supermicroの工場出荷時パスワード（大文字10文字の固定形式）は8GPU構成のマシンで全探索に約1時間、HPE iLO（英数字8文字）に至っては約32秒と試算されています。実際に、身代金0.3 BTCを要求する張り紙が表示されたiLO 4のログイン画面も観測されました。BMCはOSより下位で動作するため既存のEDRからはほぼ不可視で、侵害されるとOS再インストールでも生き残る永続化や、共有管理ネットワーク経由の水平展開を許します。
- 対応策: IPMIをインターネットから撤去し、UDP 623番ポートを遮断してください。工場出荷時のBMCパスワードは全数ローテーションし、脆弱な認証方式（cipher zero等）を無効化します。BMCは専用の管理ネットワーク（VLAN）に隔離し、VPNや踏み台ホスト経由でのみアクセスさせる構成が推奨されます。GPU・ベアメタル系クラウドを利用している組織は、事業者側の管理面の扱いについても確認する価値があります。
- 参考リンク: https://cybersecuritynews.com/20-year-old-vulnerability-takeover-data-centres/
7. Arch Linux、AURの「パッケージ引き継ぎ（adoption）」を緊急停止
- 影響範囲: Arch User Repository（AUR）を利用するArch Linux / 派生ディストリビューションのユーザー
- 概要: Arch LinuxのDevOpsチームは7月30日、AURにおけるパッケージのadoption（放置パッケージの引き継ぎ）機能を一時的に無効化したと発表しました。「AUR経由の悪意あるパッケージ引き継ぎと、その後のコミットが大量に流入している」ためで、Robin Candau氏（Antiz）がメーリングリストで告知しています。AURはPKGBUILDを有志が持ち寄る信頼ベースの仕組みで、メンテナが不在になったパッケージを他のユーザーが引き継げます。攻撃者はこの導線を使って確立されたパッケージ名と実績あるダウンロード履歴を乗っ取り、後続のコミットで静かに悪意あるコードを注入していました。先月にも400以上のAURパッケージが侵害され、認証情報窃取マルウェアやルートキット的なペイロードが仕込まれる事案が発生しています。
- 対応策: 復旧告知が出るまでの間、所有者が最近変わった／不自然なコミットが入った／新規メンテナに実績がないAURパッケージのインストールと更新は避けてください。インストール前にPKGBUILDを目視レビューすることが基本の防御になります。不審なadoptionイベントを見つけた場合は公式チャネルへの報告が呼びかけられています。npm・PyPI・RubyGemsでも同様の「放置パッケージ乗っ取り」が続いており、これはArchに限った話ではありません。
- 参考リンク: https://cybersecuritynews.com/arch-linux-disables-aur-package/
8. Microsoft Teamsを装った偽ヘルプデスク電話 ― Quick Assist経由でGoGRPCバックドアを設置
- 影響範囲: Microsoft TeamsとWindows標準の「クイック アシスト（Quick Assist）」を利用する企業。Zscalerが2026年1月〜6月の活動を追跡
- 概要: 攻撃はまず**スパムボム（受信箱への大量メール送信）**で従業員を混乱させることから始まります。対象が対応に追われている隙に、攻撃者がMicrosoft Teamsで社内IT部門を名乗って接触し、Quick Assistのリモート支援セッション承認を促します。承認されるとPowerShell経由でGo製バックドア GoGRPC を投下。レジストリのRunキーで永続化し、C2とはgRPC over HTTP/2（通常443番ポート）で通信するため、通常のHTTPS通信に紛れて検知されにくい構成です。研究者はLep・Giver・Pet・Kindという4つの亜種を確認しており、後発のPet・KindはTLSにも対応しています。この攻撃者はランサムウェア運用者へのイニシャルアクセスブローカーとみられ、BlindDoor、RevSocket、PyGRPC、S3Siphon、RSOXといった追加ツールも併用しています。ソフトウェアの脆弱性ではなく、人間の信頼そのものを突く手法である点が要点です。
- 対応策: 「身に覚えのないIT部門からの連絡は、必ず既知の社内チャネルで折り返して本人確認してから対応する」というルールを従業員に周知してください。技術的には、Teamsの外部組織との通信を制限し、Quick Assistの利用を承認済みIT担当者に限定します。検知の観点では、不審なPowerShell実行、未承認のレジストリRunキー登録、想定外のリモート支援セッション、通常見られないgRPC / WebSocketの外向き通信を監視対象に加えてください。
- 参考リンク: https://cybersecuritynews.com/microsoft-teams-vishing-attack-gogrpc-backdoor/
まとめ
今回の8件に共通するのは、攻撃対象が「守られているシステム」から「守る側のシステム」へ移っているという構図です。vCenter、Check Point管理サーバ、サーバBMC、水道のPLC ― いずれも管理・制御を担う存在で、ここを取られると配下のセキュリティポリシーごと無力化されます。しかもBMCのようにEDRの視界の外で動くコンポーネントは、侵害されても気づく手段が乏しいのが実情です。
もう一つの軸は**「信頼された配信経路の武器化」**です。Adformの広告スクリプト、AURの引き継ぎ機能、そしてTeamsのヘルプデスク詐称は、いずれも技術的な脆弱性ではなく「普段から信頼しているから疑われない」という性質そのものを利用しています。Adformの検体が主要スキャナで軒並みクリーン判定だった事実は、シグネチャベースの検知がこの手の攻撃に対して構造的に弱いことを示しています。
実務としての優先順位は、(1) 管理インターフェース（vCenter / FMC / BMC / OT）のインターネット非公開化と資産棚卸し、(2) 実際に悪用が確認されている脆弱性の即時パッチ、(3) サードパーティスクリプトと外部パッケージの棚卸し・レビュー、(4) 「IT部門からの連絡は折り返して確認する」という運用ルールの徹底 ― この4点です。特に(1)については、正規のネットワーク図に載っていないセルラーモデムのような経路が残っていないか、この機会に確認することをおすすめします。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。