Security News Daily

WordPress・SharePoint・Windows同時襲撃：未認証RCEとゼロデイの連鎖、AIインフラも標的に

WordPressコアの未認証RCE「wp2shell」、CISAがKEVに追加したSharePointの既存悪用ゼロデイ、パッチ未提供のWindows管理者権限奪取脆弱性「LegacyHive」、OpenSSLのDoS欠陥、そしてAIサービスを狩る新ボットネット「NadMesh」が同時に発生した緊迫の1日。

緊急ゼロデイ脆弱性AIセキュリティWordPress権限昇格

今日のハイライト

本日はWeb基盤、エンタープライズコラボレーション、OSカーネル、暗号ライブラリ、そして新興のAIインフラまで、あらゆるレイヤーで深刻な脆弱性や脅威が噴出した。特にWordPressコアの未認証RCEと既存悪用済みのSharePoint・Windowsゼロデイが重なり、多くの組織が同時に複数の緊急パッチ対応を迫られている状況です。

1. WordPressコア「wp2shell」未認証RCE脆弱性

重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

WordPressコアに、プラグインなしの初期状態でも未認証のリモートコード実行（RCE）が可能な脆弱性「wp2shell」が発見された。WordPress 6.9/7.0の全サイトが対象となり、攻撃者は特別な権限なしにサーバー上で任意のコードを実行できる。WordPressチームは強制自動更新により修正を配布したが、未更新のサイトは依然として高いリスクに晒されている。

考察

  • 対策の優先度: インターネットに公開されているWordPressサイトは、直ちにバージョンが6.9/7.0系の最新版（強制更新済みかどうか）を確認すべきである。自動更新が無効化されている環境や、ファイル権限の問題で更新が失敗しているケースが現場では多い。管理画面だけでなく、サーバー上のファイルバージョンを直接確認することを推奨する。
  • 攻撃の広がり: 世界のWebサイトの40%以上がWordPressであり、かつ「コアの未認証RCE」という最悪の条件が揃っている。これは特定のプラグインの問題ではないため、これまで「プラグインを最小限に抑えていれば安全」という運用方針も通用しない。攻撃者は既にエクスプロイトを組み込んだ自動スキャンを展開していると考えられ、数時間単位の対応遅延がサイトの完全な陥落を意味する。
  • 強制自動更新の功罪: 今回のような緊急事態において、WordPressの強制自動更新は生き残りのための有効な手段だ。しかし、カスタマイズが壊れるリスクを恐れて自動更新を止めているサイトや、キャッシュレイヤーが前面に出て実際のPHPファイルが更新されていないケースもある。運用者は「自動更新が効いた」という安易な信頼ではなく、実際のバイナリハッシュやバージョン文字列を確認するプロセスを持つべきだ。

参照元

2. CISA、悪用済みSharePoint RCEゼロデイをKEVカタログに追加

重要度: 🔴 Critical (10/10) | カテゴリ: ゼロデイ | ソース: The Hacker News

概要

Microsoft SharePoint Serverのリモートコード実行（RCE）ゼロデイ脆弱性（CVE-2026-58644）が、CISAの既知の悪用脆弱性（KEV）カタログに追加された。既に実際の攻撃で悪用が確認されており、連邦政府機関に対しては2026年7月19日までのパッチ適用が義務付けられている。

考察

  • エンタープライズへの影響: SharePointは文書管理と業務ワークフローの中核を担うシステムであり、多くの企業でActive DirectoryやMicrosoft 365と深く連携している。RCEが達成されると、社内の機密文書だけでなく、連携するクラウドアイデンティティまで奪取される可能性がある。連邦機関以外の民間企業も、KEV追加という事実をもって「実戦で使われている」という判断材料とし、週末返上の対応を検討すべきだ。
  • 対応の現実: SharePoint Server（オンプレミス）のパッチ適用は、依存する.NET FrameworkやSQL Server、場合によってはカスタムWebパーツとの互換性検証が必要で、即座の適用が困難な現場もある。しかし、今回は「既に悪用済み」のゼロデイである。一時的な緩和策として、WAFでのURLパターンブロック、SharePointのアクセス元IP制限、あるいは外部公開を一時停止する判断も視野に入れるべきだ。
  • CISA KEVの意義: CISAがKEVに追加し、連邦機関に対して期限付きで対応を命令したことは、この脆弱性が広範囲かつ高頻度で悪用されていることを示唆している。日本の組織においても、KEVカタログの追加は事実上のグローバル標準として受け止め、優先パッチリストの最上位に配置するのが賢明だ。

参照元

3. Windows「LegacyHive」ゼロデイ：管理者権限奪取のエクスプロイト公開

重要度: 🔴 Critical (9/10) | カテゴリ: ゼロデイ | ソース: BleepingComputer

概要

「LegacyHive」と名付けられたWindowsのローカル特権昇格（LPE）ゼロデイのエクスプロイトが公開された。最新のWindowsシステムで標準ユーザーもしくは低権限のプロセスからSYSTEM/管理者権限を奪取可能であり、現時点でパッチは提供されていない。

考察

  • リスクの本質: 単独では外部からの侵入はできないが、フィッシングやWeb脆弱性による初期アクセスを既に完了した攻撃者にとって、これは「ゲームオーバー」に直結する脆弱性である。EDRやアンチウイルスを無効化したり、LSASSメモリをダンプしたりするために管理者権限が必要だが、LegacyHiveを使えばその障壁が一瞬で消える。既に社内に侵入者が潜んでいる可能性を前提とした「侵害想定後」の対策が重要だ。
  • パッチ未提供時の防御: パッチがない以上、緩和策に依存するしかない。AppLockerやWindows Defender Application Control（WDAC）によるPowerShellや未知のバイナリの実行制限、LSA Protectionの有効化、Credential Guardの導入など、権限昇格後の動作を封じるレイヤード防御を急いで整備すべきだ。特に、エクスプロイトが公開されている時点で、攻撃者の arsenal（兵器庫）に組み込まれるタイムラグは数日〜数時間程度と見るべきだ。
  • Windows Updateの注視: Microsoftは通常、月例パッチ（Patch Tuesday）または緊急帯外リリースで対応する。今回のようにPoCが公開されたケースでは、緊急帯外リリースの可能性も否定できない。WSUSやMicrosoft Updateの通知を注視し、パッチがリリースされた瞬間に適用できる体制を整えておくことが求められる。

参照元

4. OpenSSL「HollowByte」：11バイトTLSリクエストでサーバーを凍結

重要度: 🟠 High (8/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

OpenSSLサーバーに対し、わずか11バイトの悪意あるTLSリクエストを送信するだけで、最大131KBのメモリを消費させて凍結させるDoS脆弱性「HollowByte」が明らかになった。glibcを使用するシステムでは、プロセスが再起動されるまでメモリが回復しない。特に問題なのは、6月に既に修正されていたにもかかわらず、CVE識別子やセキュリティアドバイザリが発行されず、多くのインフラ運用者が気づいていない可能性がある点である。

考察

  • 無告知修正のリスク: セキュリティ修正が「静かに」リリースされると、ディストリビューションのパッケージメンテナや企業の脆弱性管理チームが見落とす確率が飛躍的に上がる。OpenSSLのような基盤ライブラリは、明示的なCVEなしに「バグ修正」として混入することもあり、今回のようなケースは運用者にとって悪夢だ。OpenSSLのリリースノートを常に監視し、メモリ管理に関する差分を疑いの目で見る習慣が必要だ。
  • DoSの実務的影響: 11バイトのリクエストに対して131KBの消費という「非対称性」は、小規模なボットネットでも大規模サービスを瘫痪させる可能性を示している。特にglibc環境で回復しないという性質は、単なる一時的な接続拒否ではなく、サービス再起動を強いる深刻な可用性侵害だ。TLS終端を担うロードバランサーやAPIゲートウェイ、メッセージングサーバーなどが該当する組織は、OpenSSLのバージョンを即座に確認すべきだ。
  • 対策: 該当バージョンを使用している場合、最新のOpenSSL（6月以降のリリース）へのアップデートが最善策だ。アップデートが即座に困難な場合、TLSハンドシェイク前のレート制限や、異常に小さいClientHelloパケットのフィルタリングを検討できる。ただし、プロトコルレベルの細工なので、WAFレベルでは検知が難しい場合もある。

参照元

5. 新ボットネット「NadMesh」：公開AIサービスを狩る

重要度: 🟠 High (8/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

Go言語で開発された新しいボットネット「NadMesh」が、ComfyUIやOllamaなどのインターネットに公開されたAIサービスを標的にしている。Shodanを利用した自動スキャンで脆弱なホストを発見し、クラウドキーやKubernetesトークンを窃取する。既に3,811個のAWSキーなどが窃取されたことが確認されている。

考察

  • AIインフラの「影のIT」問題: 生成AIの普及により、開発者やデータサイエンティストが業務の便宜上、社内の承認プロセスを経ずにComfyUIやOllamaなどをパブリッククラウドにデプロイするケースが急増している。これらは「影のIT」としてセキュリティチームの管理対象外にあり、認証なしでインターネットに晒されている場合が多い。NadMeshはまさにその隙を突いている。
  • クラウドキーとKubernetesトークンの破壊力: 窃取されたAWSキーは、S3バケットの列挙、EC2インスタンスの起動、IAMポリシーの改変まで可能な場合がある。Kubernetesトークンが漏洩すると、コンテナオーケストレーション全体を掌握され、マイクロサービス間の横展開（lateral movement）の起点となる。これらのキーはローテーションが不十分なケースが多いため、一度漏洩すると長期にわたって攻撃者の足場となる。
  • 対策の具体策: まず、ShodanやCensysで自社ドメイン・IPレンジにAI関連の公開サービスがないかを検索する。ComfyUIやOllama、Jupyter Notebookなどはデフォルトで認証が無効な場合が多いため、必ずBasic認証、OAuth、またはIP制限をかける。さらに、クラウドプロバイダーの「IAMアクセスキー最終使用日」レポートを定期的に確認し、不要なキーは削除、必要なキーは定期的なローテーションを徹底する。KubernetesではService Accountトークンの短期有効化や、Bound Service Account Tokenの導入を検討すべきだ。

参照元

まとめ

2026年7月18日は、Web（WordPress）、コラボレーション（SharePoint）、OS（Windows）、暗号基盤（OpenSSL）、そして新興のAIインフラまで、全レイヤーで深刻な脆弱性や脅威が同時に表面化した日となった。特にWordPressの未認証RCEとSharePoint・Windowsのゼロデイは、それぞれ「世界のWebの4割」「エンタープライズの文管基盤」「デスクトップOSの覇者」という広大な攻撃対象を持つため、影響は計り知れない。

今後の注視ポイントは、（1）Windows LegacyHiveに対するMicrosoftの緊急パッチリリースの有無、（2）SharePointのKEV追加を受けた広範なエクスプロイトキャンペーンの活発化、（3）AIサービスを狙ったNadMeshの亜種やコピーキャットの出現、の3点だ。特にAIインフラのセキュリティは、技術の進化速度に対して防御側の整備が追いついていない「後進的な領域」であり、今後もボットネットやランサムウェアの標的として急成長する可能性が高い。週末を返上したパッチ対応と、AIサービスの公開状況の緊急棚卸しを、全組織に強く推奨する。

参照元