境界防御のために導入した機器が侵入経路と化した。しかも今回の攻撃者が狙ったのはデータではなかった

脆弱性

KEVにさらに3件、うち1件はIRCデーモンである。インターネットは何も本当には消さないからだ

CISAはCheck Pointに続き、UnrealIRCdのCVE-2026-114713を追加した。区切り文字の不適切な無効化により、2台以上のサーバーがリンクされたネットワーク上の任意のユーザーが、サーバー権限で実行されるサーバー間コマンドを注入できる。さらに本日朝には、WSO2 API Control Plane、API Manager、Traffic Manager、Universal GatewayのCVE-2026-5430(パストラバーサルから無制限のファイルアップロードを経て遠隔コード実行に至る)と、Adobe CommerceおよびMagentoのCVE-2026-71362(不適切な認可により、ユーザー操作なしで機微なリソースへの昇格アクセスが可能)を追加した。一方、ISCは、6月末に公開された2.2.0より前の全バージョンに影響するGPUStackの単純な認証回避、CVE-2026-102895に対する実際の攻撃試行を報告している。GPUStackはGPUクラスターを管理し、そこではAIワークロードが動く。現在、金が集まっているのはそこである。

攻撃者

N-ableが33件の欠陥を受けてN-centralを停止。ホットフィックスは、侵害されている最中に適用していても何の慰めにもならなかった

N-ableは33件の欠陥の発見を受けてN-centralプラットフォームを停止し、推奨される緩和策としてホットフィックスを提供した。ある研究者が30件超のゼロデイを公開した直後から攻撃が始まり、N-ableは認証不要の欠陥を修正した。その後、数字が明らかになった。攻撃者は21台のサーバーに感染し、うち19台はHotfix 2を適用済みだった。新たな欠陥群は4EverAble2ShellおよびAgent2Shellとして追跡されており、N-ableはN-centralの一部機能と連携の制限に踏み切っている。隣の領域では、ConnectWiseが、独立したサードパーティー製拡張機能の悪用により攻撃者がScreenConnectの認証を回避したことを確認し、研究者は約50の組織で侵入を確認した。ThreatFoxにはCloudflare R2バケット上でホストされたScreenConnect.ClientSetup.msiが登録されている。同一の攻撃キャンペーンとは示されていないが、同じ発想を同じ装いで実行したものである。

重要な理由リモート管理ツールは、一つの侵害から全顧客へ至る最短経路であり、「ホットフィックスを適用した」という一言でチケットを閉じられる時代は終わった。

ランサムウェア

昨日のリークサイトの「急増」は大半が投稿スケジュールの産物であり、期限は月曜と火曜である

Pixelleaksは11月13日に14件を掲載した。他の日の中央値は1件である。内訳は香港のグリーンビルディング関連団体、中国のがんゲノム企業、カナダと米国の金融助言会社、溶接の専門学校などで、全面公開のタイムスタンプは2026-11-16 11:45 UTCおよび2026-11-17 01:36 UTCとされている。n0nは一度に10件を投稿し、DraftKings、LiveRamp、LEO Pharmaに対する主張は誰も検証していない。Playは9件、Akiraは6件、Qilinは5件を投稿し、The GentlemenのAtlasによるエスカレーションはすべて同一の17:50のタイムスタンプを持つ。Qilinの5件にはテキサス大学アーリントン校が含まれ、同校は別途、サイバー攻撃で個人情報が盗まれたと警告している。したがって、この一群の少なくとも1行の背後には、具体的な人的被害がある。Darkfeedの2026年集計では、Qilinが1171件、The Gentlemanが1026件、Akiraが441件である。

重要な理由数えるべきは投稿ではなく被害者である。一つのリークサイトで1日14件という数字は掲載上の判断にすぎず、そこにある確かなものは11月16日から17日の期限だけである。

AIとセキュリティ

FBIがArtexについて問題にしているのは、巧妙さではなく速さである

FBIのフラッシュアラートは、オープンソースのハッキングツールArtexについて、「攻撃手法を連鎖させるのに要する時間を大幅に短縮し、初期の標的選定から特権取得まで3時間未満で進む侵入もある」と述べている。Dark Readingは関連事例を伝えている。米国の小売業者への手入力のコマンドが失敗した攻撃者は、AIが生成したスクリプトに切り替え、数分で横展開に成功した。防御側では、OpenAIがAIエージェントでウェブアプリケーションのペネトレーションテストを行うDaybreak Red Teamと、検出結果を調査してパッチを準備するDefense Factoryを発表した。Apacheの重大なmod_http2競合状態の脆弱性CVE-2026-119618は、AnthropicとGoogleが発見した。The Hacker Newsは、どの運用手順書も答えていない問いを提起している。暴走したエージェントを停止しても止まらない可能性がある。キュー内のタスク、有効なセッション、正規の認証情報は、モデルがなくても動き続けるからだ。

重要な理由初期の標的選定から特権取得まで3時間未満もあり得るなら、検知に使える時間は分単位であり、承認ワークフローは日単位で動いている。

マルウェアとIOC

何者かがTrezorを3台開封し、基板を1枚追加して、そのまま販売した

Trezorは、東南アジアの再販業者CryptoBilisが販売したSafe 5ウォレット3台に、ハードウェアインプラントが仕込まれていたことを確認した。追加の基板が、デバイスの画面に表示されるリカバリーフレーズを読み取り、モバイル通信網経由で送信するものである。ファームウェアの修正は公開されたが、過去の漏えいを取り消すものではない。同じ日、FBIは、18か月間で4億ドルを超える暗号資産の窃取を、FaceStealerと呼ばれる北朝鮮のソーシャルエンジニアリング作戦によるものと断定した。偽のビデオ通話、ディープフェイク、900人超の被害者から盗んだウェブカメラ映像を使ったもので、FBIは攻撃インフラを押収したとしている。米当局は別途、Binanceから盗まれた12億ドル相当の暗号資産も押収した。

重要な理由ハードウェアのサプライチェーンの保証とは、ホログラムシールや再販業者の口約束ではなく、工場から手元までの管理の連鎖を意味する。

政策

Operation Endgameがサーバー235台と窃取された認証情報640万件を押収、354人に捜査が及ぶ

捜査当局はOperation Endgameの一環として、Gootloader、CastleRAT、StealCの背後にあるサーバー235台とドメイン257件、および被害者の認証情報約640万件を押収した。別の国際共同作戦では、Archetyp、Nemesis、Tor2Door、Bohemia、Kingdomの各ダークウェブ市場の売り手と買い手を含む354人の容疑者が逮捕された。ドイツ当局は、再構築されたSteaICマルウェアのサーバーを今年2度目となる摘発で停止させ、10月にFBIが押収した防弾ホスティング業者Virtualineにネットワークをたどった。フランクフルト警察とオランダ国家ハイテク犯罪対策班が関与した。さらに連邦議会は、戦後最大規模となるドイツの諜報関連法の改正を、賛成308、反対190、棄権71で可決し、ハッキングと破壊工作の権限を付与した。

重要な理由640万件の認証情報が回収されたということは、その多くが自社のものである可能性が高いことを意味し、摘発がそれらを代わりに更新してくれるわけではない。

脆弱性

PostgreSQLが22年前のバグを修正。パッチは作業の半分にすぎない

PostgreSQLは52件のセキュリティ上の欠陥の修正を公開した。その一つCVE-2026-6460(CVSS 8.8)は22年前から存在する型混同のバグで、オブジェクト作成権限を持つ認証済みユーザーがデータベースサーバー上でコードを実行できる。完全に防御するには、サーバーにインストールされたC言語拡張の再ビルドも必要であり、見落とされるのはこの部分である。そのほかにも、Citrixは10件の重大なNetScaler脆弱性を修正し、GoogleはChrome 157で83件、MozillaはFirefox 160で99件の欠陥を修正した。Red Hat Quayの重大な欠陥は、非公開のコンテナイメージを露出させるおそれがある。Microsoftは、11月の更新プログラムが0x80041008エラーを伴うWindowsのライセンス認証の失敗を引き起こしており、複雑な書式の文書の印刷に支障が出る可能性があることを認めた。

重要な理由「パッチ適用済み」と「拡張機能を再ビルド済み」は別の状態であり、本当に修正されたと言えるのは後者だけである。

こぼれ話

13日の金曜日、メールが止まり、航空管制の通信が再起動し、福利厚生ポータルはその夜に限って使えなかった

FAAは「異例の状況」を理由に地上待機措置を出したが、連邦当局者は通信障害の原因も、サイバー攻撃を調査しているかどうかも明らかにしていない。対応担当者の間で出回っている情報では、L3Harrisが運用する航空管制を結ぶ民間通信ネットワークの更新が再起動、次いでクラッシュを引き起こしたとされる。一方Microsoftは、サーバーのヘルスチェックの失敗後、Outlook、Exchange Online、Teamsの復旧に2日間を費やしたが、サイバー攻撃の証拠は公表されていない。そしてその最中に、infosec.exchangeのある投稿者は、期限当日の午後11時に2027年の福利厚生を確定しようとしてWorkdayが停止しているのに気づいた。サービスは午前0時までに復旧しなかった。

重要な理由最悪の日の大半は攻撃者ではなく変更管理が原因であり、インシデント対応のプロセスは、取締役会より先にその違いを見分けられなければならない。