大規模なパスワードスプレー攻撃キャンペーンがAzure CLIを標的に

大規模なパスワードスプレー攻撃キャンペーンがAzure CLIを標的に

SecurityWeek – July 1, 2026

Azure CLIを標的とした大規模なパスワードスプレー攻撃キャンペーンにより、Microsoft 365環境が侵害されているという。米サイバーセキュリティ企業Huntressの報告で明らかになった。

同社によると、顧客を狙ったログイン試行が6月12日〜21日の間に8,100万回以上観測され、延べ64組織のユーザーアカウント78件がすでに侵害されている模様。攻撃者は1日平均2〜4件のアカウントを侵害していたが、同22日頃には侵害された企業が23社に急増したそうだ。

ログイン試行の大部分は、インターネットホスティングプロバイダーのLSHIY LLCに関連するAS番号（ASN）「AS32167」から発信されていたとのこと。これらの攻撃は複数のASNにまたがる大規模なクレデンシャルスプレー攻撃の一部とされ、顧客を狙った攻撃試行が過去6か月で155倍以上に増加したとHuntressは述べている。

Azureを標的とした今回のキャンペーンにおいて、攻撃者は認証情報の検証にOAuthのROPC（リソースオーナーパスワードクレデンシャル）フローを利用しているようだ。OAuth 2.1で非推奨とされているこの認証フローは、正しい認証情報を受け取るとユーザーから委任された新しいトークンを発行する。つまり多要素認証（MFA）が有効になっていても、ROPCフローを対象とするように設定されていなければアカウントを侵害できるという。

侵害事例を分析した結果、HuntressはMFAの設定に特定の弱点があることを発見したものの、「だからといって『MFAは全く役に立たない』と結論付けるべきではない。むしろ今回の一連のインシデントで悪用された認証フローに対処できるよう、MFAポリシーを適切に設定・運用する必要がある」と指摘した。

攻撃の起点となったIPv6アドレス帯は、香港、武漢、ニューヨークに拠点を置くLSHIYに割り当てられたもの。同社が運用するASNの「AS32167」と「AS955」に関連するIPv6アドレス帯についても、中国起点と報じられている。

900超のOracle E-Businessインスタンスがネットに露出（CVE-2026-46817）

BleepingComputer – July 1, 2026

深刻なセキュリティ上の欠陥を悪用する攻撃が続く中、900件以上のOracle E-Business Suite（EBS）インスタンスがオンライン上に露出していることが判明した。

この脆弱性（CVE-2026-46817として追跡、CVSSスコア9.8）はEBSのOracle Payments製品のファイル転送コンポーネントに見つかったもので、権限がなく、HTTPネットワーク経由でアクセス可能な攻撃者に比較的単純な手法で脆弱なシステムを乗っ取られる恐れがあるという。オラクルは2026年5月にパッチをリリースしているが、この欠陥が悪用された事例をまだ公式に確認していない。

だが6月29日、脅威インテリジェンス企業のDefusedは、攻撃者がこの脆弱性を悪用していると警告。7月1日にはインターネットセキュリティ監視機関のShadowserverも、オンライン上に露出している約950件のOracle EBSインスタンスを追跡していると発表した。ただこれらのシステムのうち、CVE-2026-46817への対策が講じられたものがどれだけあるかについては情報がないという。

米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は2021年11月以降、オラクル製品の脆弱性44件をKEV（悪用が確認済みの脆弱性）カタログに追加しており、そのうち13件はランサムウェアグループによって悪用されている。日産自動車北米法人の現・元従業員に影響を与えるデータ侵害も、Oracle PeopleSoftインスタンスへのゼロデイ攻撃によるものと公表されたばかりだった。