Arch Linux大規模侵害と10年潜伏のLinuxバックドア、政府機関標的攻撃が激化
Arch Linux AURの400以上のパッケージが悪意コードに侵害され、政府機関向けIvanti製品の緊急パッチ適用命令が発出。さらにLinux認証基盤に10年近く潜伏した国家支援APTや、フランス政府メッセンジャー7万3000人規模の漏洩も確認された。
今日のハイライト
本日は、オープンソースソフトウェアのサプライチェーンを標的とした大規模侵害と、国家レベルのサイバー攻撃が集中した一日です。特にLinuxエコシステムに対する高度な攻撃が2件発覚し、開発者環境を狙ったeBPFルートキットや、認証基盤に10年近く潜伏した持続的脅威（APT）が明らかになりました。同時に、米国とフランスの政府機関を狙った攻撃や緊急パッチ命令も発出され、公共部門のセキュリティ体制の脆弱性が浮き彫りになっています。
1. Arch Linux AUR 400パッケージ侵害：eBPFルートキットによる開発者環境狙い
概要
Arch Linuxのコミュニティリポジトリ「Arch User Repository（AUR）」で400以上のパッケージが攻撃者に乗っ取られました。侵害されたパッケージのビルドスクリプトが改ざんされ、ビルドプロセス中にRust製の認証情報窃取マルウェアと、eBPF（Extended Berkeley Packet Filter）ベースのルートキットが開発者マシンにインストールされる仕組みとなっていました。
考察
この攻撃の深刻さは、攻撃対象がエンドユーザではなく「開発者環境」である点にあります。開発者のマシンは通常、ソースコードリポジトリやCI/CDパイプラインへのアクセス権を持つため、ここを制圧されると組織全体のサプライチェーンに波及するリスクが極めて高いです。
特に注目すべきは、eBPFルートキットの使用です。eBPFはLinuxカーネル内でサンドボックス化された環境で実行される仕組みですが、悪用されるとカーネルレベルでのプロセス隠蔽、ネットワークトラフィックの改ざん、システムコールのフックなど、検出が極めて困難な悪意活動が可能になります。従来のディスクベースの検知では発見困難な、メモリレジデント型の高度な脅威と言えます。
実務対策としては：
- AURパッケージの利用時は、PKGBUILDの差分確認を徹底し、ビルド前にスクリプト内容を必ず検証する
- 開発環境はネットワーク分離されたコンテナやVMで実行し、ホストOSへの影響を最小限に抑える
- eBPFプログラムの実行を監視するツール（Falcoなど）の導入検討
- ビルドプロセスのSBOM（Software Bill of Materials）生成と、生成物の署名検証の徹底
参照元
2. CISA緊急命令：Ivanti Sentryの深刻な脆弱性に対する3日以内のパッチ適用義務
概要
米国サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、Binding Operational Directive（BOD）26-04を発出し、連邦政府機関に対してIvanti Sentry（旧MobileIron Sentry）のOSコマンドインジェクション脆弱性（CVE-2026-10520）のパッチ適用を「3日以内（日曜日まで）」に完了することを命じました。最大深刻度のこの脆弱性は、すでに積極的に悪用されており、Shadowserverの報告では多くのインターネット公開されているゲートウェイがバックドア化されているとのことです。
考察
BOD 26-04は従来のBOD 19-02および22-01を置き換える新しい指令で、以下の4条件を満たす脆弱性に対して優先的なパッチ適用を義務付けています：(1)インターネットに公開されている、(2)CISAのKEV（Known Exploited Vulnerabilities）カタログに登録されている、(3)大規模攻撃に自動化可能、(4)攻撃成功でシステムの部分的または完全な制御が可能。
Ivanti製品は近年、複数の深刻な脆弱性が発見されており、国家支援APTグループによる標的型攻撃の温床となっています。今回のCVE-2026-10520は、セキュリティゲートウェイという性質上、組織の境界防御を完全に突破される可能性があるため、民間企業も含めて即座の対応が必要です。
対策のポイント：
- Ivanti Sentryの管理ポータルがインターネットに公開されていないか緊急確認（Shadowserverによると50以上の管理ポータルが検出されている）
- パッチ適用前の時点で、ログインできなくなるなどの異常がないか調査（おそらく既に侵害されている可能性を考慮）
- パッチ適用後も、Persistence（持続的アクセス）の有無を確認するフォレンジック調査の実施
- 今後のIvanti製品の使用に際しては、ゼロトラストアーキテクチャへの移行と、管理インターフェースのVPN経由アクセス制限の徹底
参照元
3. Oracle PeopleSoftゼロデイ：ShinyHuntersによる高等教育機関標的攻撃
概要
GoogleのMandiantおよびThreat Intelligence Group（GTIG）は、Oracle PeopleSoft Enterprise PeopleToolsの認証不備によるリモートコード実行脆弱性（CVE-2026-35273）が、ShinyHunters（UNC6240として追跡）によってゼロデイとして悪用されていることを確認しました。英国のNottingham大学を含む100以上の組織、特に米国の高等教育機関68%が標的となり、一部ではデータ窃取とランサムウェア被害が発生しています。
考察
PeopleSoftはERPシステムとして、人事、給与、財務、学生情報など組織の核心データを管理するシステムです。特に高等教育機関が標的とされたのは、豊富な個人情報（学生・教職員）、研究データ、知的財産を保有しているためです。
攻撃者はMeshCentral（リモート管理ツール）のエージェントを偽装したカスタムビルドを使用し、管理コマンドの実行と横向き移動（lateral movement）を行っています。また、[victim_abbreviation]_fanout.shというカスタムスクリプトを使用した点から、標的型攻撃（TTPsのカスタマイズ）の痕跡が見られます。
防御策として：
- Oracleが提供する緩和策（mitigations）を即座に適用（パッチはまだ利用可能でない可能性）
- PeopleSoftシステムのアクセスログで、不審な認証試行や、未知のIPアドレスからの管理機能アクセスを確認
- MeshCentralエージェントの不正なインスタンスが存在しないか監査
- ERPシステムのネットワークセグメンテーションと、多要素認証（MFA）の強制適用
参照元
4. フランス政府Tchap侵害：7万3000人の公務員アカウントが影響
概要
フランス政府が開発・運用する暗号化メッセージングプラットフォーム「Tchap」が侵害され、73,467人の公務員アカウント（登録ユーザーの9%）に影響が及びました。DINUM（フランス政府デジタル局）の発表によると、攻撃者は侵害されたユーザーアカウントを使用してプラットフォームにアクセスし、公開チャットルームのデータを窃取しました。個人間の暗号化された会話は保護されましたが、組織名、メールアドレス、アバター画像などが漏洩しました。
考察
TchapはMatrixプロトコルに基づき、ANSSI（フランスサイバーセキュリティ機関）の協力で開発された「政府機関向け安全な通信インフラ」です。2025年8月に全公務員のデフォルト業務連絡ツールとなり、30万人以上の月間アクティブユーザーを抱えています。
今回の侵害の教訓は二つあります。第一に、公開チャットと非公開チャットの暗号化ポリシーの違いによる「セキュリティのギャップ」です。公開フォーラムは「全員がアクセス可能」という設計のため暗号化されておらず、侵害アカウントからの閲覧が可能でした。第二に、ソーシャルエンジニアリングによる初期アクセスの脆弱性です。攻撃者は「侵害されたアカウント」を使用したとされていますが、これは従業員の認証情報窃取や、サードパーティの侵害を示唆しています。
対策の示唆：
- 政府機関向けコミュニケーションプラットフォームでも、公開チャンネルの情報分類とアクセス制御の見直し
- ユーザーアカウントの異常アクセス検知（地理的な位置情報、デバイスフィンガープリントの監視）
- LDAP認証情報のハードコードスクリプトの存在（今回13.5GBの文書とともに流出した可能性）を示唆する報告から、クレデンシャルの安全な管理（Vault利用）の徹底
参照元
5. Velvet Ant：Linux認証基盤に10年潜伏した中国関連APT
概要
中国関連の脅威グループ「Velvet Ant」が、Linuxシステムの認証基盤（PAM：Pluggable Authentication ModulesおよびOpenSSH）にバックドアを仕込み、約10年間にわたって検出されずに潜伏していたことが判明しました。このバックドアは、ディスク上には痕跡を残さず、認証プロセスそのものに埋め込まれることで、ファイルレス（fileless）かつメモリレジデント型の脅威として機能していました。
考察
10年という長期間にわたって検出されなかった点が、この攻撃の高度さを物語っています。PAMやOpenSSHはLinuxシステムの「信頼の根幹」に位置するコンポーネントであり、ここにバックドアを仕込むことで、攻撃者は以下の能力を獲得します：
- 任意の認証情報でシステムにログイン可能（バックドアアカウントの作成不要）
- 既存の管理者の認証を「パススルー」しつつ、権限昇格や横向き移動を実施
- 通常の認証ログに隠れる形で活動可能（監査ログの改ざんや選択的な記録抑制）
このような「認証基盤への攻撃」は、EDR（Endpoint Detection and Response）や従来のファイルベースのAVでは検出が極めて困難です。カーネルモジュールや共有ライブラリの改ざんは、 integrity checking（整合性確認）が厳密に行われていない限り、長期間気づかれないまま残存します。
防御策として：
- Linuxシステムの重要なバイナリ（/bin、/sbin、/libなど）の cryptographic integrity monitoring（暗号学的整合性監視）の実施（AIDE、Tripwire、OSSECなど）
- PAM設定ファイルとOpenSSHバイナリの定期的なハッシュ値確認
- 認証プロセス自体の動的監視（eBPFを使用したシステムコールの監視など、攻撃手法を逆手に取った検知）
- 長期間変更のない「レガシーシステム」ほどリスクが高いため、10年以上運用されているLinuxサーバーの特別な監査と再構築を検討
参照元
まとめ
本日のニュースは、**「信頼の連鎖」と「持続的な潜伏」**という2つのキーワードで集約できます。Arch Linux AURの侵害は、オープンソースコミュニティの信頼モデルに対する攻撃であり、Velvet Antの10年潜伏は、Linux認証基盤という最も信頼されるべき場所への深い浸透を示しています。
同時に、政府機関とエンタープライズシステムを狙った攻撃の激化も顕著です。IvantiやPeopleSoft、Tchapへの攻撃は、国家機密や市民データ、教育機関の知的財産を標的とした、高度な国家レベルの脅威と犯罪者グループの活動を反映しています。
今後注視すべきポイントは：
- Linux環境のセキュリティ監視の強化：eBPFやPAMを悪用した高度な攻撃に対応するため、カーネルレベルの可視性確保が不可欠
- サプライチェーンの再検証：AURのようなコミュニティリポジトリだけでなく、ビルド環境自体の隔離と検証
- レガシーシステムの棚卸し：10年以上運用されているシステムは、改ざんや潜伏マルウェアのリスクが高いため、段階的な置き換えとフォレンジック調査が必要
組織は、境界防御だけでなく、内部の信頼基盤と開発環境のセキュリティを再点検する必要がある緊迫した状況です。