-
Analyst's Choice
Cyber Intelligence
フィッシング
GmailとMS 365の利用者は注意を：フィッシングキット「Tycoon 2FA」の概要と対策
Rory
2024.04.16
-
Analyst's Choice
AI
Cyber Intelligence
OSINT
DarkGPT – ChatGPT-4を活用した、流出データベース検出のためのOSINTツール
Rory
2024.04.15
-
Analyst's Choice
Cyber Intelligence
GitHub
Intelligence
脅威アクターがGitHubを不正な目的で悪用するケースが増加
Rory
2024.02.07
目次
[開く][閉じる]OpenSSHの脆弱性「*sshole」、公開から数時間後に悪用試行始まる（CVE-2026-123158）
Help Net Security – November 6, 2026
OpenSSHの脆弱性「*sshole（CVE-2026-123158）」が攻撃で悪用されるようになっていると、脅威インテリジェンス企業のPrevidianが警告。この脆弱性を悪用したリモートの攻撃者は、Alpine Linuxおよびその他のmuslベースのシステム上のパスワードレスアカウントにログインできるようになる恐れがある。
CVE-2026-123158は11月5日にOpenSSH 10.6p2で修正された脆弱性で、257文字以上のパスワードを入力することでアカウントへのログインを可能にするもの。Alpine Linuxのセキュリティアドバイザリでは、「SSHポートにアクセスできる攻撃者はパスワードを知らなくてもログインすることができます。接続が1回あれば十分で、常に成功し、再試行も不要です」と説明されている。
脆弱性の発見者によると、悪用に必要な条件は、パスワードログインが有効化されていることと、パスワード欄に「*」という記号のみが設定されたアカウントが存在すること、そしてパスワードハッシュを有する別のローカルアカウントが存在すること。SOCRadarは、例えばパスワードなしで作成されたキーのみのユーザーや、musl-nscdを通じてディレクトリサービスから取得されたユーザーなどが、標的となるアカウントの条件に合致すると説明した。
Previdianは11月6日、同社のセンサーがCVE-2026-123158に対する攻撃を観測したことを報告。さらに悪用試行のうち少なくとも1件が成功していたと伝えた。同社が最初に観測した悪用試行はCVE情報の公表から9時間足らずで行われたとされる。実際のAlpine LinuxおよびOpenSSHを動作させているPrevidianのハニーポットでは、rootアクセスの取得が成功するケースも確認されたという。
Previdianはこれまでに8件の悪用試行を観測しており、いずれも攻撃のソースIPは日本のアドレスである89.116.89[.]18だったと述べている。同社によれば、89.116.89[.]18は長すぎるパスワードを使用して認証を迂回し、非対話型のSSHセッションを通じて「id」、「uname」、「hostname」などの偵察コマンドを実行していたという。
OpenSSHの開発者であるDamien Miller氏はMastodon上で、「PAMを使用せずにmuslベースのLinuxを実行している人は、今すぐこの投稿を読むのをやめて、PasswordAuthentication=noに設定するか、これらのシステムでSSHを無効にしてください」と強く訴えた。
不正侵入を検知するには、/var/log/messages内で、alpine、root、またはキーのみのユーザーなど、パスワードが設定されていないアカウント名が記載された「Accepted password for」というエントリを検索し、doasの使用状況、最近作成されたユーザー、および authorized_keysファイルを確認することをSOCRadarは推奨。ログインの可能性を排除できない場合は、そのマシンを侵害されたものとみなすべきだとされる。
この脆弱性に対するPoCのエクスプロイトが複数GitHubに公開されているものの、Previdianは、これらは未だ検証されておらず、マルウェアが含まれている可能性があるとして注意を促している。
QNAP、Plex2Shell悪用する攻撃でNASデバイスが侵害されていると警告（CVE-2026-96652、CVE-2026-96654ほか）
BleepingComputer – November 6, 2026
QNAPは11月6日、Plex2Shellの脆弱性チェーンがハッカーに悪用されているとしてPlex Media Serverを最新版にアップデートするようユーザーに注意喚起。同社は、顧客のNASデバイスに関連する侵害の疑いについての報告を何件か受領しているという。
Plex2Shellは、Plex Media Serverにおける以下4件の脆弱性チェーン。セキュリティ研究者のZach Main氏が発見し、7月27日にPlexへ報告したもので、10月16日に技術的詳細が一般公開された後、間も無く悪用が始まっていたとされる。
- CVE-2026-96652
- CVE-2026-96654
- CVE-2026-96655
- CVE-2026-96656
QNAPはユーザーに対し、Plex2Shellを悪用する攻撃から保護するため、QNAP App Centerから入手可能な最新バージョン（現時点では1.43.3.10861）にPlex Media Serverを更新するよう推奨している。ただ、公開Web上に露出した脆弱なPlexサーバーを使用していた場合、NASデバイスおよびすべての個人的な連絡先情報は侵害されたものとみなすべきとされる。侵害されていた場合、アップデートだけでは攻撃者がすでにインストールしたペイロードを除去することはできないとQNAPは警告した。
該当するユーザーには、セキュリティブレティンで共有された侵害の兆候について確認し、OS（QTSまたはQuTS hero）のクリーンインストールを実施して、PlexとNASの認証情報をリセットすることが推奨されている。また、ユーザーから提供されたログをQNAP側で調査することも可能だという。
SonicWall、攻撃で悪用されるSonicOSの脆弱性を修正：CVE-2026-19868
SecurityWeek – November 7, 2026
SonicWallは11月6日、SAML認証のバイパスを可能にし得るSonicOSの脆弱性CVE-2026-19868など7件の脆弱性を修正。CVE-2026-19868については、すでに攻撃で悪用されている恐れがあると顧客に警告した。
CVE-2026-19868は、SonicWallファイアウォールのOSであるSonicOSのSSL VPNコンポーネントに影響を与える認証強制の脆弱性。有効な認証情報を持つユーザーは、この脆弱性により別の認証手段を使えるようになり、SAML認証制御をバイパスできるようになる可能性があるとされる。悪用が成功した場合、SAMLによって強制される多要素認証（MFA）も迂回される可能性があるという。
SonicWallは現在同社の製品セキュリティチームが悪用の可能性について調査中であるとしているが、米CISAは11月6日にCVE-2026-19868をKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加。米連邦政府機関に対し、20日までの対処を命じている。SonicWallもCISAも、攻撃に関する詳細は共有していない。また、この脆弱性がゼロデイとして悪用されたのかどうかも定かではないという。
SonicOSの修正版は7.3.4-7013および8.2.3-8015で、ワークアラウンドはない。SonicWallは顧客に対し、できる限り早く最新のリリースへアップグレードすることを「強く推奨」している。
