Security News Daily

Marimo 0-Day悪用とイランによる米産業インフラ攻撃〜サプライチェーン被害の連鎖

データサイエンスツールMarimoの重大RCE脆弱性が公開10時間以内に悪用開始。イラン関連APTが米国の4,000台以上の産業用PLCを標的にした地政学的サイバー攻撃。CPU-Z、Smart Slider 3 Pro、開発者IDEを狙ったサプライチェーン攻撃が同日多発。

サプライチェーン攻撃RCE脆弱性ICS/OTセキュリティ国家支援型APT開発者セキュリティ

今日のハイライト

本日のセキュリティ動向は「信頼の連鎖破壊」が特徴です。データサイエンス分野で広く利用されるオープンソースツールの0-Dayが公開後10時間以内に実戦悪用され、一方で国家支援型攻撃者は米国の重要インフラを標的に大規模なスキャンと侵入を実施。さらに、正規ソフトウェアの配布インフラ（CPU-Z、WordPressプラグイン）が次々と侵害されるサプライチェーン攻撃が多発し、開発者自身も標的となる新たな攻撃ベクトル（Zigドロッパー）が出現しました。

1. Marimo RCE Flaw CVE-2026-39987 Exploited Within 10 Hours of Disclosure

概要

データサイエンス分野で広く利用されるオープンソースPythonノートブック「Marimo」に、認証前リモートコード実行（Pre-auth RCE）脆弱性（CVE-2026-39987、CVSS 9.3）が存在することが判明。公開から僅か10時間以内に、既に実際の攻撃で悪用されていることが確認されました。攻撃者は脆弱性を悪用してサーバー上で任意のコードを実行し、データ窃取やランサムウェア展開の踏み台とする可能性があります。

考察

  • 即座の対応が必須: CVSS 9.3という極めて高いスコアに加え、プレ認証で悪用可能な点が重大です。Marimoを社内で利用している場合、即座に最新版へのアップデートまたはインターネット公開の停止が必要です。特にJupyter Notebook代替として導入された開発環境は、社内ネットワーク内での権限昇格の足がかりとなるため、隔離措置を検討すべきです。
  • 攻撃者の準備度の高さ: 10時間という極めて短いウィンドウでの悪用は、攻撃者がPoC（概念実証）コードを事前に準備していたか、あるいは脆弱性研究と並行して武器化を進めていたことを示唆します。これは「N-Day」と呼ばれる公開後の脆弱性への対応速度が、もはや「人間の対応速度」を超えた現状を如実に示しています。
  • データサイエンスツールのリスク: 機械学習モデルの学習データや前処理パイプラインが格納される環境は、知的財産の宝庫であり、攻撃者にとって高価値な標的です。MLOpsパイプラインへの組み込みが進む中、こうしたツールのセキュリティ監視が後回しになっているケースが多く、今回の事案は警鐘となります。

参照元

2. Nearly 4,000 US industrial devices exposed to Iranian cyberattacks

概要

イラン政府と関連する国家支援型攻撃グループが、米国の重要インフラを標的にしたサイバー攻撃を激化させています。FBI等の連合勧告によると、Rockwell Automation/Allen-Bradley製のプログラマブルロジックコントローラー（PLC）約4,000台がインターネットに露出しており、攻撃対象となっています。攻撃者はデバイスのプロジェクトファイルを抽出し、HMIやSCADAの表示データを操作することで、操業妨害や物理的損害を引き起こしています。

考察

  • 地政学的文脈との連動: 勧告は「イラン、米国、イスラエル間の敵対行為への対応として、最近急激にエスカレートした」と明記しています。これはサイバー攻撃が伝統的な紛争と連動し、「影子戦争」として機能している現状を示します。重要インフラ運営者は、地政学的リスクをサイバーリスク評価に統合する必要があります。
  • OTセキュリティの構造的課題: 約75%がセルラー回線上に存在するという事実は、現場デバイスが「接続性の利便性」を優先してインターネットに晒されている現状を示しています。ファイアウォールによる隔離や、不要なサービスの無効化は基本中の基本ですが、多要素認証（MFA）の導入とログ監視（特に海外ホスティングプロバイダーからのOTポートへの通信）が実効性を持ちます。
  • ICS Kill Chainの実現: 2023年のCyberAv3ngersによるUnitronics攻撃（水道・下水処理施設標的）に続き、今回の攻撃はPLCレベルでのデータ操作を含み、Stuxnet以来懸念される「工業プロセスの物理的破壊」への一歩を示唆しています。単なるITシステムの侵害を超え、安全シャットダウンシステムのバイパスなど、エンジニアリング stationへの深い潜入が懸念されます。

参照元

3. CPUID hacked to deliver malware via CPU-Z, HWMonitor downloads

概要

システム監視ツール「CPU-Z」と「HWMonitor」を提供するCPUIDの公式Webサイトが侵害され、ダウンロードリンクが悪意のある実行ファイルに書き換えられました。攻撃者はAPIを介してダウンロードURLを変更し、正規のインストーラーに見せかけたマルウェア（HWiNFO_Monitor_Setup）を配布。Inno Setupラッパーと.NETアセンブリを用いた多段階のローダーが、メモリ内でのみ動作する高度なマルウェア（推定：情報窃取型）を展開します。

考察

  • 信頼の錯綜: ユーザーが「公式サイトからダウンロードした」という強い信頼に基づいて実行するため、従来のフィッシングやマルウェア配布より検知困難です。今回の侵害は約6時間という短時間でしたが、FileZillaを狙った先月の同様の攻撃と関連する可能性があり、広く利用されるユーティリティを狙ったシリーズ攻撃の可能性があります。
  • EDR/AV回避技術の高度化: マルウェアは「NTDLL機能の.NETアセンブリからのプロキシ化」など、EDR（エンドポイント検出応答）製品を回避するための高度なテクニックを採用しています。これは、単なる署名ベースの検知ではなく、動的な挙動分析（Behavioral Analytics）とメモリスキャンの重要性を再認識させます。
  • サプライチェーン防御の限界: 開発者が不在の休暇中に侵害されたという事実は、人的・組織的な脆弱性が技術的対策を突き破る典型例です。ユーザー側としては、ハッシュ値の検証（チェックサム確認）や、ダウンロード後のVirusTotalスキャンを習慣化する必要があります。特にシステムモニタリングツールは高い権限で実行されるため、侵害時の影響が致命的です。

参照元

4. GlassWorm Campaign Uses Zig Dropper to Infect Multiple Developer IDEs

概要

「GlassWorm」と呼ばれる攻撃キャンペーンが、新興プログラミング言語「Zig」で記述されたドロッパーを用いて、開発者を標的にした攻撃を展開しています。悪意のあるOpen VSX拡張機能を介して配布されるこのドロッパーは、開発者のマシン上の全ての統合開発環境（IDE）に潜伏し、ソースコードへのバックドア挿入や、ビルドプロセスの汚染を狙います。

考察

  • 開発者への攻撃はサプライチェーン攻撃の入り口: 開発者のワークステーションを侵害することで、正規のソフトウェアビルドパイプラインを汚染し、 downstreamの全ユーザーにマルウェアを届ける「ソフトウェアサプライチェーン攻撃」が実現します。SolarWindsやCodecovの事例と同様、開発者環境のセキュリティは組織全体のセキュリティを決定づけます。
  • Zig言語を用いた攻撃の新規性: 従来のC/C++やGo、Rustに代わり、Zigという比較的新しく注目を集める言語を用いることで、既存の静的解析ツールやサンドボックスでの検知を回避しようとする戦略が見られます。攻撃者は開発者コミュニティのトレンドを常に監視し、新技術を悪用対象にしていることを示します。
  • IDE拡張機能のリスク管理: Open VSXやVS Code Marketplaceなどの拡張機能リポジトリは、npmやPyPIと同様に、悪意のなりすましパッケージの温床となっています。組織は「使用許可リスト（Allowlist）」方式を採用し、未承認の拡張機能のインストールを禁止するだけでなく、開発者マシンでのコンテナ化や、CI/CDパイプラインでのビルド分離（hermetic builds）を徹底すべきです。

参照元

5. Backdoored Smart Slider 3 Pro Update Distributed via Compromised Nextend Servers

概要

WordPressとJoomlaで広く利用される人気プラグイン「Smart Slider 3 Pro」の自動更新システムが侵害され、バージョン3.5.1.35としてバックドアを埋め込まれた悪意のなアップデートが配布されました。Nextendのサーバーが侵害されたことにより、数千のWebサイトが意図せずバックドアを導入するリスクにさらされました。

考察

  • 自動更新のパラドックス: セキュリティパッチの適用遅延を防ぐための自動更新機能が、逆に攻撃者に利用されて一斉にバックドアを配布する「トロイの木馬化」に使用されました。これは、自動更新の信頼チェーン（署名検証）が不完全である場合のリスクを示唆しています。
  • CMSエコシステムの脆弱性: WordPressは全Webサイトの40%以上を支える基盤であり、こうした人気プラグインの侵害は広範な影響を及ぼします。Webサイト管理者は、自動更新の有無に関わらず、更新後のファイル整合性監視（File Integrity Monitoring）を導入し、予期せぬファイル変更を検知する必要があります。
  • 緊急時の対応手順: 既に3.5.1.35をインストール済みの場合、単なるアップデートではなく、クリーンなバックアップからの復元、または専門家によるバックドアの除去が必要です。バックドアは単なるWebシェルにとどまらず、データベースへの接続情報窃取や、訪問者へのドライブバイダウンロード攻撃の踏み台となる可能性があります。

参照元

まとめ

本日のニュースは「速度」と「信頼」の2つの観点からセキュリティ戦略を見直す必要性を示しています。Marimoの10時間以内の悪用は、脆弱性管理の「人間のレスポンス」では間に合わない現状を示し、自動化されたパッチ適用と仮想パッチ（WAFルール等）の併用が必須となりました。一方、CPUID、Smart Slider、GlassWormの事例は、正規の配布元や開発者自身が侵害される「サプライチェーン攻撃」が常態化していることを示しています。

今後の注視ポイントとしては、イラン関連APTによるOT攻撃のさらなるエスカレーション（特に中東情勢の緊張と連動したもの）、および新興プログラミング言語（Zig、Mojo等）を用いたマルウェアの増加が挙げられます。組織は、自社の開発環境の分離と、使用ツールのSBOM（Software Bill of Materials）管理を急ぐべきです。

参照元