Security News Daily

N-ableサーバー掌握とGoogleパスキー悪用：サプライチェーンと認証の二大脅威

N-ableのRMMツール「N-central」で認証バイパス脆弱性が初期パッチを迂回して悪用され、Google Password ManagerではWindowsマルウェアがパスキーを悪用してアカウント乗っ取りが可能に。さらにSonicWall VPNを狙ったINCランサムウェアや、ホテルWi-Fiを利用したロシアAPTのMicrosoft 365攻撃、Hugging FaceのAIモデルリポジトリ経由の任意コード実行脆弱性も浮上。MSP、認証基盤、VPN、AIサプライチェーンを同時に狙う多層的な脅威が集中した。

緊急サプライチェーン攻撃認証 bypassランサムウェア国家支援攻撃AIセキュリティ

今日のハイライト

本日のニュースは、MSP基盤、認証基盤、VPN境界、公共Wi-Fi、AIモデル配布プラットフォームという異なるレイヤーの「信頼の起点」が同時に狙われていることを示している。特に高い権限を持つ中央集権的なシステム（RMM、パスワードマネージャー、VPNアプライアンス）を標的とする攻撃が集中しており、個別のパッチ適用に加えてゼロトラストと継続的モニタリングの観点から再評価が急務となっている。

1. N-able N-central 認証バイパス：初期パッチを迂回しMSPサーバー掌握

重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

N-ableのRMM（リモート管理監視）ツール「N-central」に存在する認証バイパス脆弱性（CVE-2026-18577）が、初期リリースされたパッチを迂回して攻撃者に悪用されている。攻撃者は管理者権限を取得し、MSP（マネージドサービスプロバイダー）が管理するN-centralサーバーを掌握。これによりサーバー経由で多数の顧客環境に横展開する重大なサプライチェーンリスクが生じており、The Hacker Newsの報道によればCISAもKEV（Known Exploited Vulnerabilities）カタログに追加している。

考察

  • 影響を受ける組織が取るべき具体的対策: 修正版パッチの即時適用はもちろん、N-centralサーバーの隔離とアクセスログの精査を直ちに実施すべきである。MSP顧客側では、自社環境への異常なリモートアクセスやRMMエージェントからの不審なプロセス実行を監視する必要がある。RMMツールは攻撃者にとって「キングスキー」と呼ばれるほど価値が高いため、多要素認証の強制と管理ネットワークの厳格なセグメンテーションは不可欠である。
  • 攻撃手法の技術的背景や攻撃者の動機: RMMツールは高い権限を持ち、多数のエンドポイントにアクセスできるため、攻撃者にとって「1つを制するものは多数を制す」という最も効率的な標的となる。今回の初期パッチ迂回は、緊急リリース時のベンダーのテストプロセスの欠如と、攻撃者がパッチ差分を解析して回避手法を迅速に開発したことを示唆している。
  • 業界トレンドとの関連性: MSPを標的とした攻撃は「MSPジェスチャー」として継続的に増加しており、2026年もその流れは変わらない。CISAのKEV追加は政府機関および連邦請負業者への対応義務化を意味し、民間企業も同水準の対応が求められる。

参照元

2. Google Password Manager：Windowsマルウェアがパスキー保護アカウントを乗っ取る

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

Windows上で動作する通常権限のマルウェアが、Google Password Managerの同期パスキーを指紋やPIN確認なしに悪用し、被害者のパスキー保護されたアカウントにサインインできる3つの攻撃経路が判明した。The Hacker Newsによれば、これは次世代認証の中核と目されるパスキー技術の信頼性に重大な疑問を投げかける発見である。

考察

  • 影響を受ける組織が取るべき具体的対策: Windows環境ではローカルアカウントの保護強化とマルウェア対策の徹底が基本となる。Google Password Managerの設定見直しに加え、FIDO2ローカルPINや生体認証のUIプロンプトをバイパスする仕組みはOSレベルの整合性を前提としているため、Endpoint Detection and Response（EDR）によるブラウザプロセスおよび認証フローの監視を強化すべきである。
  • 攻撃手法の技術的背景や攻撃者の動機: パスキーはフィッシング耐性を持つが、エンドポイントが完全に掌握されると、ローカルに保存されたクレデンシャルはOSのセキュリティ境界に依存する。今回の攻撃はFIDO2プロトコル自体ではなく、Googleの同期機能における認証プロンプトの回避という実装の脆弱性を突いており、広大なGoogleユーザー層への影響が懸念される。
  • 業界トレンドとの関連性: パスキー普及が進む中で、エンドポイントコンプロマイズからの「クレデンシャルハイジャック」が新たな攻撃ベクトルとなる。認証の強化だけでなく、デバイスの信頼性（Device Trust）と継続的認証（Continuous Authentication）の重要性が増すトレンドにある。

参照元

3. INCランサムウェア：SonicWall VPN脆弱性を支配的に悪用

重要度: 🔴 Critical (9/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

INCランサムウェアグループが、SonicWall SMA 1000シリーズのVPNアプライアンスの既知の脆弱性を積極的に悪用し、初期アクセスとルート権限取得、内部ネットワークへの横展開を実施している。Resecurityは同グループをSonicWall VPN機器を狙う「支配的な脅威アクター」と評価しており、The Hacker Newsは即時のパッチ適用と対応を不可欠と伝えている。

考察

  • 影響を受ける組織が取るべき具体的対策: SonicWall SMA 1000シリーズの即時パッチ適用と、VPNアクセスログの精査を直ちに行うべきである。VPNから内部ネットワークへの横展開を防ぐため、ゼロトラストアーキテクチャの導入と「信頼できるデバイスのみ接続可能」という条件付きアクセスの設定が有効である。特にLegacy VPNは「城壁と堀」モデルの弱点となりやすい。
  • 攻撃手法の技術的背景や攻撃者の動機: VPNアプライアンスはインターネットに晒され、高い権限で内部ネットワークに接続するため、ランサムウェアグループにとって極めて効率的な侵入口となる。INCグループは既知の脆弱性を「武器化」して大規模に悪用する戦略を取っており、パッチ管理の遅れた組織を選別している可能性が高い。
  • 業界トレンドとの関連性: VPN機器への攻撃は、2024-2025年のIvanti、Fortinet、Palo Altoへの攻撃波と同じ構造を持つ。組織は「VPNに依存しないアクセス制御」へと移行する必要があり、ZTNA（Zero Trust Network Access）への移行が急務である。

参照元

4. Midnight Blizzard：ホテルWi-Fiを悪用したMicrosoft 365アカウント侵害

重要度: 🟠 High (8/10) | カテゴリ: 国家支援攻撃 | ソース: BleepingComputer

概要

Microsoftは、ロシア国家支援APTグループ「Midnight Blizzard」（別名Nobelium）が、グローバルなホスピタリティ業界のWi-Fiネットワークを侵害し、カスタムマルウェアを展開してビジネス旅行者やリモートワーカーのMicrosoft 365アカウントの認証情報を窃取するキャンペーンを実施していると関連付けた。BleepingComputerの報道によれば、出張者やリモートワーカーなど広範囲のユーザーが標的となっている。

考察

  • 影響を受ける組織が取るべき具体的対策: 出張時の企業提供VPNの必須化、公共Wi-FiでのMicrosoft 365アクセス制限、条件付きアクセスポリシーによる「信頼できる場所以外からのブロック」が有効である。FIDO2セキュリティキーによるフィッシング耐性のある認証を義務化し、EDRによる不審なプロキシ設定や証明書の監視も重要となる。
  • 攻撃手法の技術的背景や攻撃者の動機: Midnight BlizzardはSolarWinds攻撃で知られる高度なAPTであり、今回は「水飲み場攻撃（Watering Hole）」の変形版として、セキュリティ管理が相対的に薄いホテルWi-Fiを悪用している。Captive portalの改竄、Rogue AP、ARPスプーフィングなどを組み合わせ、HTTPSトラフィックを復号またはクレデンシャルを誘導している可能性がある。
  • 業界トレンドとの関連性: リモートワークと出張の復活に伴い、「公共インフラストラクチャを悪用した標的型攻撃」が再燃している。国家APTは、直接企業を攻撃するよりも、セキュリティ管理が薄いホテルWi-Fiを介して間接的に狙う「間接アクセス戦略」を好む傾向がある。

参照元

5. Hugging Face Diffusers：AIモデルリポジトリ経由の任意コード実行

重要度: 🟠 High (8/10) | カテゴリ: サプライチェーン攻撃 | ソース: The Hacker News

概要

Hugging Faceの人気AIライブラリ「Diffusers」に3件の高重大度脆弱性が発見された。細工されたAIモデルリポジトリが読み込まれた際に、開発者やユーザーの環境で任意コードを実行可能となり、急速に普及するAIモデル配布プラットフォームを介したサプライチェーン攻撃の重大なリスクをもたらす。The Hacker Newsは、即座のライブラリ更新を求めている。

考察

  • 影響を受ける組織が取るべき具体的対策: Diffusersライブラリの即時更新（最新版への昇格）が最優先である。Hugging Face Hubからのモデルダウンロード時には、モデルファイルのハッシュ検証と、サンドボックス化された環境での事前検査を徹底すべきである。CI/CDパイプラインでAIモデルを自動取得している場合は、特に注意が必要である。
  • 攻撃手法の技術的背景や攻撃者の動機: AIモデルはPickle形式やカスタムシリアライゼーションを用いることが多く、コード実行の脆弱性が内在しやすい。Diffusersライブラリはモデルのロード時に安全でないデシリアライゼーションや、悪意ある設定ファイルの処理を行っていた可能性がある。これはPythonエコシステムにおける一般的なサプライチェーン問題の延長線上にある。
  • 業界トレンドとの関連性: AIサプライチェーンセキュリティは、2026年も最も注目される領域の一つである。モデルリポジトリが「新しいソフトウェアリポジトリ」として機能する中で、PyPIやnpmと同様の悪意あるパッケージ攻撃がMLモデル配布でも頻発しており、MLOpsパイプラインのセキュリティが従来のDevSecOpsと同等の重要性を持つ。

参照元

まとめ

本日のニュースは、MSP基盤（N-able）、認証基盤（Google）、境界防御（SonicWall）、公共インフラ（ホテルWi-Fi）、AI開発基盤（Hugging Face）という、異なるレイヤーの「信頼の起点」が同時に狙われていることを鮮明に示している。攻撃者は「高い権限を持つ中央集権的なシステム」（RMM、VPN、パスワードマネージャー）を優先して標的にする傾向が明確であり、これらの侵害は1つから多数の環境へと雪だるま式に拡大する。

組織は個別のパッチ適用に加え、これらの重要システムに対する多層防御、ゼロトラスト、継続的モニタリングを一体的に整備する必要がある。特に、AIサプライチェーンとパスキー実装のセキュリティは、新たな防御領域として早急な対策が求められる。今後は、従来のIT資産だけでなく、AIモデル配布プラットフォームやクラウド認証基盤のセキュリティ評価を、同じ優先度で実施することが不可欠となる。

参照元