Tailscale、公開先行された脆弱性「Tailworm」のパッチを急遽準備

Tailscale、公開先行した脆弱性「Tailworm」のパッチを急遽準備

SecurityWeek – October 27, 2026

VPNサービスを提供するカナダ企業Tailscaleは、自社SSH機能「Tailscale SSH」に存在する特権昇格の脆弱性群が先週末に公開されたことを受け、クライアントアップデートの準備を急ピッチで進めている。

これらの脆弱性は「Tailworm」と名付けられ、米テック企業Cyber​​dione Labsのレポートで報告された。同レポートにはTailscaleクライアントのバージョン1.104.2に加え、オープンソースのコントロールサーバー「headscale」のバージョン0.29.5に影響を及ぼす11件の脆弱性が記載されている。Cyber​​dione Labsはパッチが用意される前にレポートを公開して批判を浴びたものの、迅速に周知することで修正作業が加速すると主張している。

Tailscale SSHはパスワードや鍵ではなく、デバイスの識別情報やネットワークポリシーに基づいてアクセスを許可する仕組みだ。前述のレポートによると、Tailscale SSHは一部の転送操作をroot権限で実行しており、それらの操作を制限するための保護機能が回避可能になっているとのこと。

報告された脆弱性のうち6件は深刻度が高く、そのうち4件はTailscale SSHに関連している。また、これらのSSH脆弱性は「ワーム（自動拡散）型」の攻撃に悪用される恐れがあるほか、ユーザーの認証情報や操作を必要とせず悪用できるため、それぞれを連鎖させた自動攻撃により、ポリシー上でSSHアクセスが許可されているサーバー間を次々と移動できると説明されている。

侵害の足がかりとなるのは、フィッシング、脆弱性のあるWebアプリケーション、あるいは有害ソフトウェアパッケージといった一般的な手法の可能性が高い模様。攻撃者がデバイスを1台侵害した場合、そのデバイスからTailscale SSH経由でアクセス可能なサーバーであれば、転送ルールが許可している限り、この脆弱性を悪用できるようだ。

ラボ環境でのテストでは標的サーバー上でroot権限を取得できたほか、ネットワークに不正なデバイスを追加するために使える鍵が盗み出される事態も確認できたという。現地時間26日公開の最新情報によると、Tailscaleは修正済みのクライアントを同27日中にリリースする予定。セキュリティアドバイザリおよび技術的な詳細レポートは、その後に提供される見通しとなっている。

なお、攻撃での悪用事例は確認されていないそうだ。

スウェーデン政府、ChatGPTおよびClaudeの公務利用を禁止

SCMedia – October 26, 2026

スウェーデン政府は重大なデータセキュリティ上の懸念を理由に、OpenAIのChatGPTとアンソロピックのClaudeを公務で利用することを禁じた。Tech Radarが報じている。

この決定はスウェーデン運輸庁による調査を受けたものとされ、同庁は適切なエンタープライズ契約が結ばれていない状態でAIツールが利用されている問題点を指摘。こうしたチャットボットに政府の機微情報を入力した場合、その情報が将来のモデルの学習用データとして保存される可能性があると警告している。また、正式な契約がないことは監査プロセスを複雑にするほか、情報がヨーロッパ域外のデータセンターで処理された場合、EU一般データ保護規則（GDPR）に違反するリスクも生じるという。

これらのプラットフォームは利用が制限されたものの、マイクロソフトのCopilotについては、より厳格なセキュリティ管理の下、政府機関による利用が引き続き認められている。なお、一部の職員は専用のセキュアなプラットフォームを介することで、ChatGPTやClaudeに引き続きアクセスできる場合もあるようだ。

スウェーデン政府は今回の措置に先立ち、プライバシー上の懸念や脆弱性のリスクを理由にDeepSeekの利用も禁止していた。

関連資料をダウンロード

グローバル脅威インテリジェンスレポート2026

Flashpoint『グローバル脅威インテリジェンスレポート2026』は、AI・インフォスティーラー・脆弱性・ランサムウェアが互いに結びついて進化する、今日のハイブリッドな脅威の全体像を解説したレポー...

資料ダウンロード