FortiBleed大規模VPN認証情報漏洩とTeamsインフラ悪用、政府緊急命令の三重奏
Fortinet VPN 7万台超の認証情報漏洩「FortiBleed」、Microsoft Teamsインフラを悪用するDragonForceランサムウェア、CISA緊急パッチ命令など、エッジデバイスからクラウドインフラまで広範に及ぶ2026年6月18日のセキュリティ動向を解説。
今日のハイライト
エッジセキュリティの崩壊とクラウドインフラの武器化が同時多発的に発生。7万台を超えるFortinet VPN認証情報が平文で漏洩し、国家レベルの攻撃者による大規模侵害が確認されている一方、DragonForceランサムウェアグループはMicrosoft Teamsの正当なインフラをC2通信に悪用する革新的な手法を披露。さらにCISAはJoomlaプラグインの脆弱性に対し連邦政府機関に緊急パッチ命令を発令し、エンドポイントから政府システムまで広範なセキュリティインシデントが集中した。
1. FortiBleed: 7万台超のFortinet VPN認証情報漏洩
概要
「FortiBleed」と名付けられた大規模データ漏洩が発生し、世界194カ国の73,932台を超えるFortinet/FortiGate SSL VPNの認証情報（ユーザー名、メールアドレス、平文パスワード）が暴露された。漏洩データにはChevron、Samsung、Foxconn、Comcast、AT&T、Mercedes-Benz、Toyota、Sinopecなどの大手企業に加え、日本、台湾、ベトナム、イラク、トルコの組織も含まれており、トルコのNATO防衛請負業者からは機密文書が窃取された模様。
攻撃者はロシア語を話す複数オペレーターによる脅威グループで、320,777台のFortiGateに対し約11.6億回、さらに163,650台のMicrosoft SQL Serverに対し21億回の認証試行を実施。SSL VPNの認証ハッシュを傍受し、45台のGPUからなるクラスター（Hashtopolis管理）でクラックし、復元した認証情報を用いてActive Directory環境に横展開していた。
考察
- 即座の対策: 全Fortinet SSL VPNユーザーのパスワード強制リセットとMFAの即時導入が喫緊の課題。過去2〜3ヶ月のVPNアクセスログを緊急調査し、不審な認証成功（特に地理的に不審な位置からの接続や深夜帯のアクセス）がないか確認せよ。可能であれば、SSL VPNのアクセスを固定IPやゼロトラストアーキテクチャに移行し、一時的に公開範囲を縮小すべき。
- 技術的背景: 攻撃者がSSL VPNハッシュを傍受できたことは、中間者攻撃またはFortinetデバイス自体の脆弱性（過去のCVE-2018-13379などの未パッチ機器が踏み台となった可能性）を示唆。45-GPUによるクラックは平均的な企業の防御を容易に突破する火力であり、VPNが「外部からの玄関」から「内部ネットワークの延長」となっている現状の危うさを露呈している。
- 業界トレンド: VPNコンセントレーターは依然として国家支援APTやランサムウェアグループの主要な侵入口。ZTNA（Zero Trust Network Access）への移行は「あると便利」から「生存のために必須」へと段階を移している。
参照元
2. Microsoft Defenderゼロデイ脆弱性（CVE-2026-50656）
概要
Microsoftは「RoguePlanet」と名付けられたMicrosoft Defenderのゼロデイ脆弱性を正式に認証。CVE-2026-50656として追跡され、CVSSスコア7.8の特権昇格脆弱性。現在パッチ開発中であり、具体的な攻撃詳細は未公開だが、ローカル権限を持つ攻撃者がSYSTEM権限に昇格可能と推測される。
考察
- 即座の対策: Defenderのリアルタイム保護を無効化できるローカル管理者権限を制限し、グループポリシーで保護機能の変更を禁止。EDR製品がDefenderのプロセス挙動を監視できるよう設定し、異常なメモリ操作やプロセス注入を検知する代替ルールを有効化。パッチリリースまでの間、特権アカウントの使用を最小限に抑え、Just Enough Administration（JEA）を適用。
- 技術的背景: セキュリティ製品自体の脆弱性は「自己免疫不全」に類似。Defenderはカーネルレベルで動作するため、脆弱性が悪用されると防御機能を無力化しつつ攻撃者に最高権限を与える。近年、EDR/AV製品の脆弱性が攻撃者にとって「Defense Evasion」の強力な手段となっている。
- 業界トレンド: セキュリティツールの「信頼の逆説」—防御のために高い権限を持つ製品ほど、脆弱性が生じた際の影響が大きい。サプライチェーンとしてのセキュリティ製品の信頼性検証が今後さらに重要となる。
参照元
3. Mastra npmパッケージのサプライチェーン攻撃
概要
AIアプリケーション開発で人気のJavaScript/TypeScriptフレームワーク「Mastra」関連の144個のnpmパッケージ（@mastra/*名前空間）が侵害された。開発者アカウントの乗っ取りにより「easy-day-js」作戦として知られるサプライチェーン攻撃が実施され、下流の開発者やCI/CDパイプラインに悪意あるコードが注入された可能性。
考察
- 即座の対策: package-lock.jsonまたはyarn.lockを参照し、Mastraパッケージの整合性ハッシュを緊急検証。侵害期間中（具体的な日時は未公開だが直近と推測）にビルドされたアプリケーションを全てリストアップし、再ビルドとデプロイを実施。CI/CDパイプラインに依存関係の自動スキャン（Snyk、Dependabot等）を即時導入し、将来の類似事態を防止。
- 技術的背景: AI開発ブームに乗じたオープンソースツールチェーンへの攻撃増加。npmの2FA義務化後も、Contributorアカウントの乗っ取りやセッションハイジャックによる侵害が継続。AIフレームワークは多くの場合、APIキー（OpenAI、Anthropic等）を環境変数として扱うため、侵害されるとクラウドクレデンシャルの大規模漏洩に直結するリスクが高い。
- 業界トレンド: 「AI-first」開発の加速は、セキュリティの後追いを招いている。開発者体験（DX）を重視して簡便に導入できるパッケージほど、攻撃対象となりやすいジレンマ。
参照元
4. CISA Joomlaプラグイン緊急パッチ命令（CVE-2026-48907）
概要
CISA（米国サイバーセキュリティ・インフラストラクチャ安全保障庁）が、Joomla用WYSIWYGエディタプラグイン「JCE（Joomla Content Editor）」の最大深刻度脆弱性（CVE-2026-48907）に対し、連邦政府機関（FCEB）に金曜日までのパッチ適用を命令。未認証の攻撃者が低複雑性の攻撃でPHPコードをアップロード・実行可能。既に積極的に悪用され、エクスプロイトコードが公開されている。
考察
- 即座の対策: JCE Pro 2.9.99.6未満を使用しているJoomlaサイトは、直ちに更新。ただし、CISAとJCE開発元が警告するように、パッチ適用は侵入の入り口を塞ぐだけで、既存の侵害を清掃しない。公開登録機能を一時的に無効化し、既存のエディタプロファイルを精査して悪意あるPHPアップロード機能が埋め込まれていないか確認。管理者、データベース、ホスティングアカウントのパスワードを全て変更し、サーバーサイドでのマルウェアスキャンを実施。
- 技術的背景: WYSIWYGエディタのファイルアップロード機能とプロファイル管理の不適切なアクセス制御。CMSプラグインは攻撃者にとって「低い果実」であり、自動化された大規模スキャンで容易に検出・悪用される。
- 業界トレンド: CISAのBOD 26-04（Binding Operational Directive）は、脆弱性のリスクスコアに基づく優先順位付けを政府機関に要求。民間企業も同様のリスクベースアプローチを採用し、KEV（Known Exploited Vulnerabilities）カタログ掲載脆弱性の即時対応を検討すべき。
参照元
5. DragonForceランサムウェアによるMicrosoft Teamsインフラ悪用
概要
DragonForceランサムウェアグループ（2023年から活動するカルテル構造）が、新たなGo言語製バックドア「Backdoor.Turn」を使用。Microsoft TeamsのTURN（Traversal Using Relays around NAT）リレーサーバーを悪用し、C2（Command and Control）通信を隠蔽。匿名Teamsビジタートークンを取得し、正当なMicrosoftインフラを経由してQUICセッションを確立する手法は初めて確認された。米国サービス企業が被害を受け、SQL/MSSQLサーバーの未知の脆弱性経由で侵入。BYOVD（Bring Your Own Vulnerable Driver）戦略でカーネルレベルアクセスを獲得し、セキュリティプロセスを終了させた。
考察
- 即座の対策: Microsoft TeamsのTURNサーバー（world.relay.teams.microsoft.com等）への接続が、通常の業務時間・通信パターンと一致しない場合の検知ルールを設定。PowerShellやGo言語のバイナリの異常実行を監視。SQL/MSSQLサーバーのパッチ適用状況を緊急確認し、公開されている場合はアクセス制限を強化。
- 技術的背景: Living-off-the-Land（LotL）の進化形。正当なクラウドインフラ（SaaS）をC2に使用することで、ドメイン信頼スコア（高評価）とTLS暗号化を悪用し、従来のIPレピュテーションやドメインブラックリストを完全に回避。BYOVDとの組み合わせは、近年のランサムウェアグループの標準的な「防御回避+権限昇格」チェーンを示す。
- 業界トレンド: クラウドネイティブインフラの悪用は今後増加。SaaSトラフィックに対する「暗黙の信頼」を再評価し、ゼロトラストアーキテクチャにおいて「どのユーザーが」「どのデバイスから」「どのSaaSのどの機能を」使用するかの細粒度な監視が必須となる。
参照元
まとめ
2026年6月18日は、エッジデバイスの認証情報漏洩（FortiBleed）、セキュリティ製品の脆弱性（Defender）、サプライチェーン汚染（Mastra）、政府システム緊急対応（Joomla）、クラウドインフラ悪用（Teams）という、防御のあらゆるレイヤーを同時に揺るがす事象が集中した。
特にFortiBleedは過去最大級のVPN認証情報漏洩であり、日本組織も標的となっているため、即座のパスワード変更とMFA導入が喫緊の課題。一方、Teamsインフラの悪用は、従来のドメイン分離やIPレピュテーションに基づく防御を無力化する新たなパラダイムを示唆している。
今後注視すべきポイントは、（1）ZTNAによるVPNの段階的代替、（2）正当なクラウドサービスの異常利用を検知するためのUEBA（User and Entity Behavior Analytics）の導入、（3）CISA KEVカタログを参考とした脆弱性管理の優先順位付け、の3つ。攻撃者は既に「クラウドインフラを武器化」する段階に移行しており、防御側もネットワーク境界の概念を再定義する必要がある。