CyberSec.Space Logo
インサイト一覧に戻る
脅威インテリジェンス••Cyber-Sec.Space Research Lab

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月21日

VMware vCenter、F5 BIG-IP、および GitLab における重大な脆弱性アドバイザリの技術分析と、インフラ・医療機関を対象とした最新セキュリティ対策ガイド。

⚡ グローバル・サイバー・インテリジェンス・ダイジェスト：2026年7月21日

対象期間： 2026年7月20日 08:00 ～ 2026年7月21日 08:00（UTC+8）

本号では、対象期間中に公開された、または重要な更新が行われた動向を優先して取り上げます。公式アドバイザリおよび一次的なセキュリティ調査を優先し、悪用状況、影響、帰属について影響を受けるベンダーが確認していない場合は、その制約を明示しています。

📝 エグゼクティブサマリー — 10秒で把握

  • 🔴 ServiceNow AI Platform に影響する CVE-2026-6875 について、第三者の脅威インテリジェンスが実環境での悪用疑惑との関連を新たに報告しました。 認証前の攻撃チェーンは、ユーザーが制御可能なクエリ入力をサンドボックス内の JavaScript 実行へ変換し、その後サンドボックスを脱出します。ServiceNow は、自社がホストするインスタンスに対して、報告された活動を確認していないとしています。

  • 🟠 HOLLOWGRAPH は、侵害された Microsoft 365 カレンダーを秘密のコマンド＆コントロール・チャネルへ変換します。 コマンドと暗号化された窃取ファイルは、2050年5月13日付のカレンダーイベントに隠され、DNS トンネリングによってインプラントの Microsoft Entra ID 認証情報が更新されます。

  • 🟠 Rapid7 は、1,048 個のファイルを含む、外部公開された WebDAV マルウェア配信ラボを発見しました。 攻撃者は ClickFix の誘導画面、ファイル名偽装、信頼された Windows バイナリ、WebDAV の作業ディレクトリ・ハイジャックを体系的にテストしており、LLM 支援型開発と整合する証拠も確認されました。

  • 🟠 OpenSSL の「HollowByte」欠陥では、認証不要のわずか 11 バイトの入力により、TLS ハンドシェイク完了前に不釣り合いなメモリ割り当てが発生します。 リクエストを繰り返すことでプロセスメモリが断片化し、最終的に外部公開サービスが停止する可能性があります。

🔍 主要インシデント：技術分析

1. CVE-2026-6875：ServiceNow の認証前サンドボックス脱出

運用優先度： 🔴 緊急 影響： 影響を受ける ServiceNow インスタンス内で、認証なしに高権限コードを実行可能 悪用状況： 第三者の脅威インテリジェンスが報告。ServiceNow がホストするインスタンスでの悪用は同社未確認

インシデント概要

Searchlight Cyber の研究者が ServiceNow AI Platform に影響する認証前リモートコード実行チェーンを特定したことを受け、ServiceNow は CVE-2026-6875 を公開しました。

Searchlight Cyber は 2026年4月1日にこの問題を報告しました。ServiceNow は自社のクラウドホスト型インスタンスに直ちに緩和策を適用し、その後、根本的な脆弱性に対処する更新を公開しました。

今回の対象期間中、脅威インテリジェンス企業 Defused は、公開調査で使用されたものと同じ認証不要エンドポイントに対する悪用試行を観測したと報告しました。

/assessment_thanks.do

ただし、報告されたペイロードは、公開された概念実証で示されたものとは異なるサンドボックス脱出ガジェットを使用していました。

ServiceNow は、同社の調査では、報告された活動と ServiceNow がホストするインスタンスを結び付ける証拠は確認されなかったと述べています。

それでも、セルフホスト環境、および更新状況を独立して検証できないインスタンスについては、緊急対応の対象として扱うべきです。

技術的詳細

攻撃は ServiceNow の GlideRecord クエリ API から始まります。

認証前ページは、ユーザーが制御可能な sysparm_assessable_type パラメータをクエリへ直接渡します。

/assessment_thanks.do?
sysparm_assessable_type=<attacker-controlled-input>

ServiceNow のクエリフィルターは、以下の接頭辞を持つ値をサポートします。

javascript:

これにより、指定された式は、結果がデータベースクエリに渡される前に JavaScript として評価されます。

初期コードは GlideSystemSandbox 内で実行されます。このサンドボックスは、危険な関数、Java クラス、機微なテーブルへのアクセスを制限します。eval、Function コンストラクター、関数宣言の直接使用はブロックされます。

研究者は次に、gs.include() メカニズムの弱点を特定しました。

スクリプトインクルードは、その関数を通常どおり定義できるよう、別の評価コンテキストで読み込まれます。このコンテキストには、追加フィルター用サンドボックスと同じ制限が適用されません。

攻撃チェーンはこの差異を悪用し、以下の手順を実行します。

  1. 既存のインクルード関数を通じて JavaScript の Function コンストラクターを取得する。
  2. Object.defineProperty() を使用して、Object.clone をそのコンストラクターに置き換える。
  3. AbstractAjaxProcessor.prototype を攻撃者が制御する JavaScript に置き換える。
  4. ItemViewElementsProvider スクリプトインクルードを読み込む。
  5. その継承コードを起動し、攻撃者が制御するプロトタイプを、上書きされた Object.clone に渡す。
  6. 攻撃者の文字列を、本来のサンドボックス制限の外側で実行可能な関数へ変換する。

悪用に成功すると、影響を受ける ServiceNow インスタンス内で高権限アクセスを取得できる可能性があります。

研究者によると、攻撃者は以下を実行できる可能性があります。

  • 機微なプラットフォームテーブルの読み取り
  • 管理者アカウントの作成
  • スクリプトおよびアプリケーションロジックの変更
  • 接続された MID Server またはプロキシサーバーを経由したコマンド実行
  • ServiceNow 連携機能を、社内システムへ侵入する経路として利用

緩和策と脅威ハンティング

  1. CVE-2026-6875 に対処するすべての ServiceNow セキュリティ更新を適用してください。

  2. セルフホスト型の顧客は、変更管理記録、更新ポリシー、管理コンソールの表示だけに依存せず、インストール済みビルドを直接確認してください。

  3. サポートされている環境では、Guarded Script 保護が有効になっていることを確認してください。

  4. 以下へのリクエストを確認してください。

/assessment_thanks.do

特に、以下を含むものを重点的に調査してください。

  • sysparm_assessable_type
  • javascript:
  • エンコードされた JavaScript 式
  • 異常に長い、または難読化されたクエリ値
  1. 以下をハンティングしてください。
  • 予期しない管理者アカウントの作成
  • 新規または変更されたスクリプトインクルード
  • プラットフォームのセキュリティ設定変更
  • 機微な ServiceNow テーブルへの異常なアクセス
  • 異常な MID Server ジョブ
  • MID Server またはプロキシサーバーからのシェルコマンド実行
  • ServiceNow 自動化機能を通じて開始された外向き接続
  • 新規 OAuth アプリケーション、連携用認証情報、サービスアカウント

  1. 現在の ServiceNow 管理者および特権ロールを、既知の正常なベースラインと比較してください。

  2. 承認済みのワークフローまたは自動化タスクに対応しないコマンド実行がないか、MID Server の活動を確認してください。

  3. 不審な活動が確認された場合は、侵害されたワークフローからアクセス可能な認証情報、トークン、シークレットをローテーションしてください。

  4. 悪用を確実に除外できない場合、影響を受けるインスタンスを単なる脆弱な Web アプリケーションとしてではなく、侵害された可能性のある ID・自動化プラットフォームとして扱ってください。

参考資料

ServiceNow — Security Advisory KB3137947

Searchlight Cyber — Smashing the ServiceNow Sandbox: Pre-Authentication RCE

BleepingComputer — Critical ServiceNow Code-Execution Flaw Reportedly Exploited in Attacks

2. HOLLOWGRAPH：Microsoft 365 カレンダーを秘密の C2 チャネルとして悪用

運用優先度： 🟠 高 カテゴリ： サイバー諜報／SaaS 悪用 観測された標的： 主にイスラエル関連システム 帰属： 特定の脅威アクターへの確定的な公開帰属なし

インシデント概要

Group-IB は、これまで文書化されていなかった HOLLOWGRAPH と呼ばれる Windows インプラントを特定しました。

このマルウェアは、侵害された Microsoft 365 メールボックスと Microsoft Graph API を使用して、コマンドの受信とファイルの窃取を行います。

従来型のコマンド＆コントロールサーバーと直接通信する代わりに、メールボックスのカレンダーを双方向のデッドドロップとして利用します。

Group-IB は、このインプラントが存在する 12 台のシステムを確認し、そのうち約 3 台が分析期間中に攻撃者インフラと能動的に通信していました。

利用可能なテレメトリは、無差別な大規模展開ではなく、イスラエル関連組織への集中的な関心を示しています。

技術的詳細

HOLLOWGRAPH は .NET NativeAOT DLL としてコンパイルされており、主に以下の 2 つのコマンドをサポートします。

  • get — オペレーターからタスクを取得
  • send — 選択したファイルを暗号化して窃取

受信コマンドについて、マルウェアは侵害されたメールボックス内から、特定のタスク識別子を含むカレンダーイベントを検索します。

送信データについては、以下を実行します。

  1. 選択されたファイルを暗号化する。
  2. 新しいカレンダーイベントを作成する。
  3. 暗号化データを 1 つ以上のテキストファイル添付としてアップロードする。
  4. イベントの件名を、オペレーターが認識できる形式へ変更する。

イベントは以下の日付に設定されます。

2050年5月13日

数十年先の日付に設定することで、メールボックス所有者が通常のカレンダー利用中にイベントを目にする可能性を低下させます。

Microsoft Graph 経由の通信は、以下のハイブリッド暗号方式で保護されます。

  • 鍵処理に RSA-OAEP
  • ペイロード暗号化に AES-256-GCM
  • 受信タスクと送信データ窃取に別々の RSA キーペア

HOLLOWGRAPH は、補助的な DNS チャネルも使用します。

攻撃者が管理する以下のドメインに対する IPv6 AAAA クエリが、

cloudlanecdn[.]com

Microsoft Entra ID の更新済み認証情報を取得するために使用されます。

更新されたテナント ID、クライアントシークレット、関連設定は以下に書き込まれます。

logAzure.txt

この設計は、信頼された SaaS 通信、アプリケーション認証情報、DNS トンネリングを組み合わせています。これにより、従来型の攻撃者管理インフラへの依存を減らし、ネットワークベースの検知をより困難にします。

防御上の意義

HOLLOWGRAPH は、SaaS ID またはアプリケーション認証情報の侵害によって、目立つ外部 C2 プロトコルを必要とせず、攻撃者が持続性の高い制御チャネルを得られることを示しています。

Microsoft Graph のトラフィックは、以下を使用するため、運用上は正規の通信に見える可能性があります。

  • 信頼された Microsoft エンドポイント
  • 標準 HTTPS
  • 有効なテナントおよびアプリケーション認証情報
  • 通常のカレンダーおよび添付ファイル機能

したがって、ドメイン許可リストと基本的なネットワークレピュテーション制御だけでは不十分である可能性が高いです。

検知には、アプリケーション ID の挙動が承認済みの業務ワークフローと整合しているかを理解する必要があります。

緩和策と脅威ハンティング

  1. 以下を実行するアプリケーションについて、Microsoft Graph の活動を監査してください。
  • カレンダーの自動検索
  • 繰り返し行われるイベント作成
  • 添付ファイルのアップロードまたはダウンロード
  • 頻繁な件名変更
  • アプリケーションの想定機能と無関係なメールボックスへのアクセス
  1. 異常に遠い将来に予定されたイベントをメールボックス内で検索してください。特に以下の日付周辺を重点的に確認します。
2050年5月13日

  1. カレンダー、メールボックス、添付ファイルに対する権限を持つアプリケーション登録およびサービスプリンシパルを確認してください。

  2. 対応する業務自動化が存在しないにもかかわらず、アプリケーション ID により実行された Microsoft Graph 活動を調査してください。

  3. エンドポイントで以下をハンティングしてください。

  • logAzure.txt
  • 認識されていない NativeAOT DLL
  • 埋め込まれたテナント ID
  • 埋め込まれたクライアントシークレット
  • ブラウザ以外のプロセスからの異常な Microsoft Graph API 呼び出し

  1. まれなドメインまたは新たに観測されたドメインに対する、異常な量・パターンの IPv6 AAAA クエリを監視してください。

  2. 以下への DNS クエリを確認してください。

cloudlanecdn[.]com

  1. メールボックスユーザーのパスワードをリセットするだけでなく、影響を受けたリフレッシュトークン、アプリケーションシークレット、証明書を失効させてください。

  2. Graph アプリケーションが、運用上必要な範囲を超えるメールボックスアクセス権を持っていないか確認してください。

  3. 最小権限の原則に基づいてアプリケーション権限を制限し、可能な場合は特定のメールボックスのみにスコープしてください。

  4. アプリケーション ID が以下の特徴を持つカレンダーイベントを作成した場合にアラートを発報してください。

  • 遠い将来の日付
  • 繰り返し添付される暗号化ファイル
  • 機械生成された件名
  • 明確な業務目的がない

参考資料

Group-IB — HOLLOWGRAPH: Microsoft 365 as a Covert Command-and-Control Channel

BleepingComputer — HOLLOWGRAPH Malware Uses Microsoft Graph for Stealthy C2

The Hacker News — HOLLOWGRAPH Hides C2 and Stolen Data in Microsoft Calendars

3. 外部公開された WebDAV マルウェアラボが、AI 支援型攻撃パイプラインを露呈

運用優先度： 🟠 高 カテゴリ： マルウェア配信／ClickFix／LOLBin 悪用 確認済みのアクティブな標的： メキシコの Windows ユーザー

インシデント概要

Rapid7 MDR の調査は、あるユーザーが rundll32.exe を通じて WebDAV サーバーから取得したファイルを実行したことから始まりました。

エンドポイントテレメトリでは、Windows WebClient サービスが起動し、その後 davclnt.dll がリモートインフラへ接続していることが確認されました。

調査の結果、Rapid7 は 1,048 個のファイルを含む、外部公開された攻撃者管理サーバーを発見しました。

収集物には以下が含まれていました。

  • 453 個の LNK 配信用ランチャー
  • 236 個のファイル名偽装テスト
  • 146 個の URL および LOLBin 実行実験
  • 89 個の暗号化ドロッパー
  • WebDAV スクリプト
  • ClickFix ページ
  • ビルダーのメモ
  • テスト文書

公開されていたインフラは、攻撃者が複数の Windows 構成にわたり、配信チェーン、視覚的な欺瞞手法、実行の信頼性を体系的に評価する、マルウェア開発および品質保証環境に似ていました。

単なるペイロード保管庫ではありませんでした。

この環境では、以下について繰り返し実験が行われていました。

  • 代替ランチャー
  • 署名付き Windows ユーティリティ
  • ユーザーインターフェースの欺瞞
  • ファイル名操作
  • ブラウザおよび Explorer の挙動
  • WebDAV 配信
  • 検知回避
  • ペイロード互換性

技術的詳細

最も高度に開発されていたテストセットは、Stealth Falcon 脅威アクターが過去に使用した Windows の作業ディレクトリ・ハイジャック脆弱性 CVE-2025-33053 に焦点を当てていました。

この手法は、悪意のある .url インターネットショートカットを使用して、以下を実行します。

  1. 次のような正規の Microsoft バイナリを起動します。
C:\Program Files\Internet Explorer\iediagcmd.exe

  1. その作業ディレクトリを、攻撃者が制御する WebDAV 共有へ設定します。

  2. 正規バイナリに、次のようなファイル名だけを指定して子ユーティリティを起動させます。

route.exe
ipconfig.exe
netsh.exe
ping.exe

  1. Windows が、本来想定されるローカルシステム実行ファイルを解決する前に、攻撃者管理の作業ディレクトリを検索するようにします。

  2. WebDAV 共有上にある攻撃者の置換バイナリを実行します。

公開されていた文書では、この手法により SmartScreen および Mark of the Web の警告を回避できると主張されていました。

また、iediagcmd.exe が利用できないシステム向けに、代替の署名済みバイナリをテストしていたことも示されています。

その他の配信メカニズムには以下が含まれていました。

  • search-ms: クエリ
  • .library-ms コンテナ
  • mshta
  • bitsadmin
  • certutil
  • PowerShell ダウンロードクレードル
  • Right-to-Left Override 文字
  • 二重拡張子
  • 空白文字によるパディング
  • 偽の Cloudflare 認証ページ
  • 偽の Microsoft 認証プロンプト
  • 偽の Adobe 更新ページ
  • 偽の Chrome セキュリティ警告
  • ユーザーに手動でコマンドを実行させる ClickFix 指示

LLM 支援型開発の評価

Rapid7 は、生成コード、構造化された文書、大規模な誘導コンテンツ作成など、LLM 支援型開発と整合する証拠を報告しました。

より重要な進展は、生成 AI が単にマルウェア開発を高速化した可能性があるという点だけではありません。

公開された環境からは、AI ツールが攻撃者による以下の作業を効率化したことが示唆されます。

  • コード生成
  • デバッグ
  • 文書化
  • 誘導パターンのバリエーション作成
  • テストケース作成
  • 環境間の互換性確認
  • キャンペーン改善

このワークフローは、手作業で組み立てられた従来型マルウェアスクリプト群というより、現代的なソフトウェア製品チームに近いものでした。

生成 AI によって技術知識が不要になったわけではありません。むしろ、より多くの攻撃バリエーションをテスト、文書化、反復改善する能力が高まったとみられます。

観測されたキャンペーン

観測されたキャンペーンの一つは、メキシコ政府の CURP 身分記録サービスを偽装していました。

悪意のあるサイトは、search-ms: ワークフローと WebDAV 上のペイロードを使用して情報窃取型マルウェアを配信しました。

Rapid7 は、記録された「起動イベント」は、実行ファイルへのアクセスまたは実行試行を示すものであり、感染成功が確認されたことを意味しないと注意を促しています。

この区別は重要です。

  • ペイロードへのアクセスだけでは、実行を確認できません。
  • 実行だけでは、永続化を確認できません。
  • 起動試行だけでは、エンドポイントの侵害成功を確認できません。

緩和策と脅威ハンティング

  1. CVE-2025-33053 に対する Microsoft の 2025年6月修正プログラムが適用されていることを確認してください。

  2. WebDAV が業務上不要な環境では、Windows WebClient サービスを無効化または制限してください。

  3. 信頼できないインターネットホストへの外向き WebDAV アクセスをブロックしてください。

  4. 以下についてアラートを設定してください。

  • rundll32.exe による davclnt.dll の読み込み
  • ブラウザまたは Explorer の操作直後に WebClient が起動
  • DavWWWRoot から起動された実行ファイル
  • リモート UNC パスから起動された実行ファイル
  • 外部から受信した .url、.lnk、.library-ms、search-ms: コンテンツ

  1. 署名付き Windows ユーティリティが、リモート作業ディレクトリから予期しないバイナリを子プロセスとして起動する挙動を検知してください。

  2. 以下に関するコマンドラインおよびプロセステレメトリを確認してください。

  • iediagcmd.exe
  • mshta.exe
  • bitsadmin.exe
  • certutil.exe
  • rundll32.exe
  • powershell.exe
  • cmd.exe
  1. 完全なファイル拡張子を表示し、以下を検知してください。
  • RTLO 文字
  • 二重拡張子のファイル名
  • 過剰な空白文字パディング
  • 表示される拡張子と実際のファイル形式が異なるファイル
  1. インターネット経由で受信した以下のショートカット形式をブロックまたは検査してください。
  • .url
  • .lnk
  • .library-ms
  1. 信頼された Windows バイナリが、以下から子プロセスを実行した場合にアラートを発報してください。
  • リモート WebDAV 共有
  • UNC パス
  • ユーザー書き込み可能ディレクトリ
  • 一時インターネット領域

  1. 文書ポータル、ソフトウェア更新、CAPTCHA システムが、PowerShell、［ファイル名を指定して実行］、コマンドプロンプトへコマンドをコピーするよう要求することはないと、ユーザーに教育してください。

  2. ClickFix シナリオをフィッシング演習およびセキュリティ意識向上訓練に組み込んでください。

参考資料

Rapid7 — Exposed WebDAV Malware-Delivery Lab Analysis

The Hacker News — Exposed Server Reveals AI-Assisted Malware Development Pipeline

Microsoft Security Response Center — CVE-2025-33053

4. HollowByte：11 バイトの OpenSSL ペイロードがサーバーメモリを枯渇

運用優先度： 🟠 インターネット公開環境では高。特にメモリ制約またはリソース制限のあるサービス 主な影響： リモートサービス拒否 CVE の状況： 専用 CVE なし。ハードニング変更として対処

インシデント概要

Okta の Red Team は、旧バージョンの OpenSSL に影響するサービス拒否の弱点 HollowByte を公開しました。

認証されていない攻撃者は、実際にはより大きなハンドシェイクメッセージが続くと偽る 11 バイトの TLS 入力を送信できます。

OpenSSL は、宣言されたメッセージ本文を受信または検証する前に、攻撃者が制御する宣言長に基づいてメモリを割り当てます。

リクエストを繰り返すことで、プロセスのメモリ使用量が段階的に増加し、最終的にオペレーティングシステムによってサービスが強制終了される可能性があります。

この攻撃は、単一の不正なリクエストではなく、このメモリ割り当て挙動を繰り返し発生させることに依存します。

技術的詳細

TLS ハンドシェイクメッセージには 4 バイトのヘッダーが含まれます。

  • メッセージ種別を示す 1 バイト
  • メッセージ長を宣言する 3 バイト

旧バージョンの OpenSSL コードは、ステートマシンの早い段階で、この攻撃者制御可能な長さを信頼していました。

脆弱な処理経路は実質的に以下のとおりです。

ハンドシェイクヘッダーを読み取る
        ↓
grow_init_buf()
        ↓
OPENSSL_clear_realloc()
        ↓
malloc(攻撃者が制御するサイズ)

攻撃者は、ヘッダーの解析を開始させるために必要な最小限のデータだけを送信します。

その後 OpenSSL は最大約 131 KB のメモリを割り当て、到着しないメッセージ本文を待機します。

より重大な影響は、glibc のメモリ管理挙動から生じます。

接続が閉じられると、OpenSSL は割り当てたバッファを解放します。しかし、glibc は小・中規模の割り当てをオペレーティングシステムへ直ちに返さず、プロセス内部に保持する場合があります。

攻撃者が宣言するメッセージ長を繰り返し変化させることで、アロケーターが以前に解放されたチャンクを再利用しにくくなります。

ヒープが断片化し、個々の接続が閉じられても、プロセスの常駐メモリは増加し続けます。

Okta のテストでは以下が確認されました。

  • メモリ 1 GB のサーバーは、数百 MB の断片化メモリが蓄積した後、OOM Killer により終了しました。
  • 16 GB のシステムでは、通常の接続上限を下回ったまま、システムメモリのおよそ 4 分の 1 が実質的に使用不能になりました。

これは、単純な同時接続数制限によってリスクを低減できても、攻撃を完全には防げない可能性があることを意味します。

防御上の意義

HollowByte が運用上重要なのは、TLS ハンドシェイクが完了する前から、攻撃者とサーバーの間でリソース消費が非対称になるためです。

攻撃者は以下を必要としません。

  • 有効な認証情報
  • 確立済みの TLS セッション
  • 完了したアプリケーションリクエスト
  • 大量の送信帯域

サーバーは、攻撃者が送信したデータ量を大きく上回るメモリを割り当てる可能性があります。

ただし、実際にサービス拒否を引き起こすには、割り当てパターンを持続的または反復的に発生させる必要があります。単一の 11 バイトペイロードだけで直ちにサーバーメモリが枯渇するわけではありません。

緩和策

OpenSSL、または関連するオペレーティングシステムパッケージを、段階的バッファ拡張修正を含む以下のリリースへ更新してください。

  • OpenSSL 4.0.1
  • OpenSSL 3.6.3
  • OpenSSL 3.5.7
  • OpenSSL 3.4.6
  • OpenSSL 3.0.21

修正済み実装では、信頼できない宣言長に基づいて事前にメモリを割り当てるのではなく、バイトが到着するにつれて受信バッファを拡張します。

追加対策：

  1. 静的リンクされた OpenSSL、およびアプライアンスに組み込まれた OpenSSL のバージョンを棚卸ししてください。

  2. パッケージのバージョン番号が上流 OpenSSL リリースと異なる場合があるため、オペレーティングシステムおよびアプライアンスのベンダーを通じて修正状況を確認してください。

  3. ハンドシェイクおよびアイドルタイムアウトを適用してください。

  4. 送信元、サービス、ネットワークセグメントごとに、未完了 TLS ハンドシェイクをレート制限してください。

  5. 以下を監視してください。

  • プロセスの常駐メモリ
  • アロケーターの断片化
  • スワップ使用量
  • 繰り返される未完了ハンドシェイク
  • OOM Killer イベント
  • 予期しないサービス終了

  1. サービスに適したメモリ制限およびプロセス制限を設定してください。

  2. メモリがすでに大きく断片化している場合は、パッチ適用後に影響を受けた長時間稼働プロセスを再起動してください。

  3. リバースプロキシ、ロードバランサー、上流ネットワーク制御が、未完了 TLS セッションを脆弱なサービスへ到達する前に終了させているか確認してください。

  4. 総接続数制限だけに依存しないでください。この攻撃は通常の同時接続しきい値を下回る状態でも成立する可能性があります。

参考資料

Okta Red Team — HollowByte: A DoS Hiding in 11 Bytes

SecurityWeek — OpenSSL Silently Fixes HollowByte DoS Vulnerability

🔐 データ侵害ウォッチ

サードパーティのサポート基盤とエンタープライズアプリケーションに機微データが集中

Ernst & Young

税務関連業務を支援するために使用されていたサードパーティのサービス管理プラットフォームへ攻撃者がアクセスしたことを受け、EY は顧客への通知を開始しました。

攻撃者は 2026年3月28日から4月12日までアクセス権を保持し、サポートチケットに添付された文書をダウンロードしたと報告されています。

漏えいした可能性のある情報には以下が含まれます。

  • 氏名
  • 住所
  • 社会保障番号
  • アカウント情報
  • 決済カード情報
  • 税務申告準備に使用された文書

EY は、脅威アクターを公表しておらず、侵入手法の詳細も明らかにしていません。

報告時点で、既知のランサムウェアグループによる犯行声明は確認されていませんでした。

Estée Lauder

Estée Lauder は、権限のない第三者が人事管理に使用されていた Oracle E-Business Suite システムへアクセスし、従業員関連の個人情報を取得したと公表しました。

影響を受けた可能性のあるデータには以下が含まれます。

  • 氏名および住所
  • 生年月日
  • 社会保障番号
  • パスポート情報
  • 金融口座の詳細
  • 健康情報
  • 給与記録
  • 人事評価記録

侵入は 2025年8月9日前後に発生しましたが、Estée Lauder はデータへの影響を 2026年6月19日に特定したとしています。

同社は、悪用された脆弱性を明らかにしていません。

時期的には CVE-2025-61882 に関連する Clop キャンペーンと一致しますが、この関連付けは Estée Lauder が確認した帰属ではなく、分析上の推測にとどまります。

防御上の要点

  1. チケット管理、サポート、人事プラットフォームを、低リスクのコラボレーションツールではなく、規制対象データの保管庫として扱ってください。

  2. 業務上必要な場合を除き、完全な税務申告書、身分証明書、決済カード情報をユーザーが添付できないようにしてください。

  3. 機微なチケット添付ファイルを暗号化し、短い保存期間を適用してください。

  4. 機微な人事、財務、ID データに対して、フィールド単位のアクセス制御を適用してください。

  5. サードパーティ OAuth トークン、サポート連携、休眠中のサービスアカウントを確認してください。

  6. 大量ダウンロードおよびチケット添付ファイルへの異常なアクセスを監視してください。

  7. 過去のインシデントはもはや関係ないと考えず、Oracle E-Business Suite を更新し、過去の悪用痕跡をハンティングしてください。

  8. 窃取された税務、人事、雇用情報を利用し、信頼性を高めた標的型フィッシングに備えてください。

  9. 侵害対応手順に、サードパーティ SaaS プロバイダー、サポートプラットフォーム、エンタープライズ業務アプリケーションを含めてください。

参考資料

SecurityWeek — Ernst & Young Data Breach Affects Personal and Financial Information

BleepingComputer — Ernst & Young Discloses Data Breach Following Support-System Intrusion

BleepingComputer — Estée Lauder Discloses Data Breach Involving Oracle E-Business Suite

🛡️ 本日の防御アクション項目

P0 — 直ちに対応

  • すべてのセルフホスト型 ServiceNow インスタンスに、CVE-2026-6875 対応更新が適用されているか確認する。
  • 変更記録だけに依存せず、インストール済み ServiceNow ビルドを独立して確認する。
  • /assessment_thanks.do への不審なリクエストを調査する。
  • 未承認の ServiceNow 管理者、スクリプト変更、MID Server でのコマンド実行をハンティングする。
  • 不審な Microsoft Graph アプリケーション認証情報を失効させる。
  • アプリケーション ID による異常なカレンダー自動化を調査する。
  • 侵害された SaaS 認証情報から、接続された社内システムへアクセスできないか確認する。

P1 — 本日中に完了

  • Microsoft 365 メールボックスから、遠い将来のイベント、予期しない添付ファイル、機械生成された件名を検索する。
  • カレンダーまたはメールボックスへのアクセス権を持つ Microsoft Graph サービスプリンシパルを確認する。
  • 外部公開されているすべての OpenSSL サービスを、修正済みベンダーパッケージへ更新する。
  • Windows エンドポイントに 2025年6月の CVE-2025-33053 パッチが適用されていることを確認する。
  • インターネット公開 WebDAV を制限する。
  • 不要な環境では Windows WebClient サービスを無効化する。
  • チケット管理および人事プラットフォームが、過剰な機微添付ファイルを保持していないか確認する。

P2 — 検知を強化

  • アプリケーション ID がメールボックスのカレンダーイベントを作成または変更する挙動を検知する。
  • 異常な IPv6 AAAA DNS クエリパターンにアラートを設定する。
  • rundll32.exe、davclnt.dll、リモート WebDAV 実行チェーンを監視する。
  • RTLO ファイル名、二重拡張子、外部から配信された .url または .library-ms ファイルを検知する。
  • ブラウザまたは文書ポータルの操作直後に PowerShell、［ファイル名を指定して実行］、コマンドプロンプトが起動した場合にアラートを発報する。
  • ClickFix シナリオをユーザー教育演習に追加する。
  • プロセスメモリの増加、アロケーターの断片化、繰り返される未完了 TLS ハンドシェイクを監視する。

ガバナンス上の優先事項

  • ITSM、ヘルプデスク、人事プラットフォームにどのような機微情報が保存されているか確認する。
  • 添付ファイルの保存期間および過剰なサードパーティ連携権限を削減する。
  • Microsoft Graph アプリケーションおよび ServiceNow 連携に最小権限を適用する。
  • サービスプリンシパル、アプリケーションシークレット、非人間 ID のインベントリを維持する。
  • インシデント対応計画の対象に、従来型エンドポイントだけでなく、侵害された SaaS アプリケーション、自動化プラットフォーム、サービスプリンシパルを含める。

📌 最終評価

本日のインシデントは、一貫した防御上のテーマを改めて示しています。

信頼されたエンタープライズプラットフォームは、従来型マルウェア配信経路だけを通じて攻撃されるのではなく、実行、コマンド＆コントロール、データ集中の各レイヤーとして転用されるケースが増えています。

  • ServiceNow の内部スクリプト環境が、認証前コード実行への経路となりました。
  • Microsoft 365 カレンダーが、暗号化された諜報チャネルとなりました。
  • 正規の Windows バイナリが、WebDAV に保存されたマルウェアのローダーとなりました。
  • OpenSSL は、宣言されたデータを受信する前に、攻撃者が指定した長さを信頼しました。
  • サポートおよび人事プラットフォームには、一度の侵害で甚大な被害をもたらすほど大量の機微情報が集中していました。

これらのインシデントは、信頼が複数の異なるレイヤーで破綻し得ることも示しています。

  • 信頼されたアプリケーションに、悪用可能なロジックが含まれる場合がある。
  • 正規の SaaS API が、悪意ある通信に使用される場合がある。
  • 署名済みバイナリが、攻撃者制御のコンテンツを実行する場合がある。
  • 広く導入されている暗号ライブラリが、信頼できない入力に基づいてリソースを割り当てる場合がある。
  • ビジネスプラットフォームが、高価値データ保管庫として扱われないまま、その役割を担っている場合がある。

運用上の教訓は明確です。

パッチ適用は既知の欠陥を塞ぎます。一方、信頼されたアプリケーションの挙動を可視化することこそ、信頼境界がすでに破綻している事実を明らかにします。

#CyberSecurity #ThreatIntelligence #CISO #SOC #ServiceNow #Microsoft365 #MicrosoftGraph #OpenSSL #ClickFix #WebDAV #ThreatHunting #DFIR #SaaSSecurity #VulnerabilityManagement

関連する記事

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月22日

オンプレミス版 Microsoft SharePoint を標的とした CVE-2026-50522 進行中攻撃、Qilin ランサムウェアによる PAN-OS CVE-2026-0257（GlobalProtect 認証回避）悪用、および主要ネットワーク機器の緊急修正パッチ情報を掲載。

2026-07-22

ウィークリー・サイバーセキュリティ・ニュース：2026年7月27日

今週の主要セキュリティニュース：Check Point SmartConsole CVE-2026-16232 認証回避の悪用、Qilin ランサムウェアによる PAN-OS 攻撃、ロシア背景 LAUNDRY BEAR による Zimbra 標的型攻撃、および FakeGit リポジトリ脅威の分析。

2026-07-27

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月24日

本号では、Check Point CVE-2026-16232 SmartConsole 認証回避の悪用状況、ロシア背景の LAUNDRY BEAR による Zimbra 脆弱性攻撃、偽 Claude Desktop 悪意広告キャンペーン、および Chaos ランサムウェアの最新動向を分析します。

2026-07-24