CVSS満点連鎖：GitLab・Ciscoで認証不要脆弱性が猛威、JFrogサプライチェーンとPasskeyフィッシングも同時多発
GitLabとCisco FMCでCVSS 10.0の脆弱性が実際に悪用され、JFrog Artifactoryではサプライチェーン攻撃、PaperCutでは正式パッチがリリース、Passkeyを悪用したMicrosoft 365フィッシングが確認された日のセキュリティニュースまとめ。
今日のハイライト
本日はCVSS満点の認証不要脆弱性がGitLabとCisco FMCで同時に確認され、実際の攻撃（in-the-wild）が既に活発化している。さらに、ソフトウェアサプライチェーンの要であるJFrog Artifactoryを狙った攻撃や、Passkeyという新技術を悪用したMicrosoft 365フィッシングが出現し、インフラ基盤からユーザー認証まで広範囲にわたる攻撃が同時多発している。
1. GitLab CVSS 10 File-Read Flaw Draws In-the-Wild Probes After Disclosure
重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News
概要
GitLabに存在するCVE-2026-85706はCVSS 10.0のパストラバーサル（Path Traversal）脆弱性であり、認証不要で任意のファイルを読み取ることが可能です。脆弱性が公開された直後から、実際の攻撃プローブ（in-the-wild probes）が確認されており、CISAもKnown Exploited Vulnerabilities（KEV）カタログへの追加を行いました。The Hacker Newsの報道によれば、攻撃者はこの脆弱性を悪用してGitLabサーバー上の機密ファイルへのアクセスを試みています。
考察
- 即座のパッチ適用が必須：GitLabはCI/CDパイプラインの中核に位置し、ソースコード、APIキー、シークレットトークンが集中管理される場所です。認証不要でファイル読み取りが可能となれば、これらの機密情報が一挙に漏洩し、組織のセキュリティ体制全体を崩壊させるリスクがあります。
- 攻撃手法の背景：近年、DevOps基盤は初期侵入後の「情報収集」と「権限昇格」のための最重要標的となっています。認証不要で到達可能な攻撃面は、Shodan等で容易に発見されるインターネット公開インスタンスを狙った自動化された攻撃に晒されています。今回のCVE-2026-85706は、GitLabインスタンスの管理画面や設定ファイルからさらなる横展開に必要な認証情報を収集する足がかりとして悪用されるでしょう。
- 業界トレンドとの関連：DevSecOpsの文脈で「セキュリティを左に寄せる」動きがある一方で、GitLabやJFrogなどの基盤自体のセキュリティが後手に回るケースが見られます。今回の事例は、開発基盤のセキュリティパッチ管理をいかに自動化・優先化するかが、組織全体のセキュリティ posture を左右するという教訓を再確認させます。
参照元
2. Cisco FMC Flaws Exploited to Steal Credentials and Deploy Qilin Ransomware
重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News
概要
Cisco Firepower Management Center（FMC）のCVE-2026-20079はCVSS 10.0の認証バイパス脆弱性です。この脆弱性は国家支援攻撃者とQilinランサムウェアグループの双方に積極的に悪用されており、資格情報の窃取からQilinランサムウェアの展開まで一連の攻撃に使用されています。The Hacker Newsによれば、ネットワークセキュリティの中核製品であるFMCが、セキュリティ侵害の「入り口」となっている状況です。
考察
- 防御装置の無力化リスク：FMCはIPS/IDSやファイアウォールポリシーを一元管理する「ネットワークセキュリティの司令塔」です。この装置が侵害されると、攻撃者は防御ルールを無効化したり、検知ログを改ざん・削除したりして、痕跡を隠蔽しながら横展開することが可能になります。これは技術的な侵害以上に「防御体制そのものの信頼性喪失」を意味します。
- 攻撃者の多様性：国家支援攻撃者と金銭目的のランサムウェアグループ双方に悪用されている点は、この脆弱性が高度なAPTから即金目的の犯罪者まで「汎用的」に利用できることを示しています。Ciscoのセキュリティアドバイザリに基づき、FMCへのインターネット公開を最小限に抑え、パッチ適用を最優先事項として対応すべきです。
- 構造的な教訓：「セキュリティ製品がセキュリティ侵害の起点となる」という逆説的なリスクは、常に注視すべき構造的問題です。特にネットワークセグメント分離が不十分な環境では、FMCから内部ネットワークへのアクセス権がそのまま攻撃者の手中に渡る可能性があります。管理用インターフェースは専用の管理VLANに隔離し、多要素認証とアクセス制御を徹底することが求められます。
参照元
3. Attackers Chain JFrog Artifactory Flaws to Gain Admin Control and Plant Backdoors
重要度: 🔴 Critical (9/10) | カテゴリ: サプライチェーン攻撃 | ソース: The Hacker News
概要
JFrog Artifactoryの2つの脆弱性がチェーンされ、自己ホスト型（self-hosted）サーバーで管理者権限を奪取する攻撃が確認されました。攻撃者はRustで記述されたバックドアを設置し、ソフトウェアビルドパイプライン全体を侵害する可能性があります。CISAもKEVカタログに追加しており、サプライチェーンの起点であるリポジトリが標的となっています。The Hacker Newsが報じています。
考察
- ビルドパイプラインの信頼崩壊：Artifactoryはバイナリやコンテナイメージ、ライブラリを管理するサプライチェーンの要です。これが侵害されると、正規のビルドプロセスを通じて悪意のあるコードが製品に混入し、下流の顧客や利用者まで巻き込む「信頼の連鎖崩壊」が起こります。SolarWinds事件以来、このレイヤーへの攻撃は最も警戒すべき脅威の一つです。
- Rust製バックドアの検知困難性：Rustは従来のC/C++マルウェアと異なるメモリ構造やバイナリ特性を持つため、従来の署名ベースのEDR/AV検知を回避しやすい側面があります。静的・動的解析の両面で検知ルールを更新し、リポジトリ内のファイル整合性監視（integrity monitoring）を強化する必要があります。
- 実務対策：自己ホスト型Artifactoryを利用する組織は、インターネット公開構成を即刻見直すべきです。WAF、IPアドレス制限、VPN経由のアクセス限定に加え、リポジトリへの書き込み権限を持つアカウントの多要素認証と最小権限の徹底が不可欠です。さらに、SBOM（ソフトウェア部品表）の整備と、ビルド環境の分離（隔離されたビルドエージェント）により、仮にリポジトリが汚染された場合でも影響を封じ込める設計が求められます。
参照元
4. PaperCut Replaces Emergency Patches With Fixes for Two Actively Exploited Flaws
重要度: 🟠 High (8/10) | カテゴリ: 脆弱性 | ソース: The Hacker News
概要
印刷管理ソフトウェアであるPaperCutが、既に積極的に悪用されていた2つの脆弱性に対する緊急パッチ（emergency patches）を、正式なセキュリティメンテナンスリリースで置き換えました。複数バージョンにわたる修正が提供されており、企業や教育機関を中心に広く導入されている製品のため、影響範囲は広大です。The Hacker Newsが伝えています。
考察
- エンドポイントとしての印刷サーバー：印刷管理ソフトは「エンドポイント」として見過ごされがちですが、PaperCutのような製品はActive Directory連携やサーバー権限を持つことが多く、ラテラルムーブメントや権限昇格の足がかりとなりえます。過去にもPaperCutは攻撃者にとって魅力的な標的となってきました。
- パッチ運用の隙間：緊急パッチから正式パッチへの移行は、組織がこれまでの暫定対応を本格的な修正に置き換える「好機」です。しかし、PaperCutは教育機関や中小企業を含め広く利用されているため、未対応のインスタンスが多数残存している可能性が懸念されます。資産管理台帳からPaperCutインスタンスを洗い出し、バージョンアップの計画を即座に実行すべきです。
- 運用の教訓：「メジャーではないソフトウェア」や「業務特化型ソフトウェア」のパッチ管理は、常に運用の隙間になりうることを示しています。MicrosoftやLinuxのカーネルパッチほど注目されないものの、攻撃者はそこを狙います。脆弱性管理プログラムにおいて、COTS（市販ソフトウェア）全体のカバレッジを見直す契機として活用すべきです。
参照元
5. Passkey-themed phishing attacks lead to Microsoft 365 data theft
重要度: 🟠 High (8/10) | カテゴリ: フィッシング | ソース: BleepingComputer
概要
ShinyHuntersやHelixなどの脅威アクターが、passkeyやシングルサインオン（SSO）をテーマにしたソーシャルエンジニアリングを仕掛け、企業のMicrosoftアカウントを侵害しています。これによりMicrosoft 365内のデータが窃取されており、Passkeyという「フィッシングに強い」はずの技術が、フィッシングメールの「題材」として悪用される新たな攻撃手法が確認されました。BleepingComputerが報道しています。
考察
- 技術の強さと人間の脆弱性の差：Passkey（FIDO2）自体はフィッシング耐性のある認証技術ですが、ユーザーが「Passkeyを設定・確認してください」という偽メールに騙されて偽サイトに入力すれば、それはあくまでソーシャルエンジニアリングの餌として利用されたに過ぎません。技術が進化しても、人間の認知バイアスを突く攻撃は進化し続けます。
- Microsoft 365を狙う金銭化プロセス：ShinyHuntersのようなデータ販売グループが関与していることは、侵害後の金銭化プロセス（データの暗号売買や二次被害）が確立されていることを示しています。Microsoft 365は企業の知的財産、顧客データ、機密文書の宝庫であり、一度侵害されると広範囲な情報漏洩に直結します。
- 実務対策：ユーザー啓発において「Passkeyそのものは安全だが、Passkeyに関するメールは疑え」というメッセージングが重要です。技術対策としては、メールゲートウェイでのURL検知とブランドなりすまし対策、Microsoft Entra IDのConditional Accessによるリスクベース認証（不審なログイン地点やデバイスからのブロック）が即座の効果を発揮します。加えて、Microsoft 365内のDLP（データ漏洩防止）ポリシーを見直し、一括ダウンロードや外部共有の異常を検知する仕組みを強化すべきです。
参照元
まとめ
2026年9月12日のニュースは、インフラ基盤（GitLab、Cisco FMC、JFrog、PaperCut）からユーザー認証層（Passkeyフィッシング）まで、攻撃が多層化・同時多発していることを鮮明に示しています。特にCVSS満点の脆弱性が2件同時に確認され、いずれも認証不要で深刻な影響を与える点は、パッチ管理の「緊急性」と「優先順位付け」の在り方を問い直すものです。
今後の注視ポイントとしては、第一にDevOps基盤とネットワークセキュリティ製品のインターネット公開構成を積極的に縮小し、攻撃面を減らすこと。第二に、JFrog事件に見られるようにサプライチェーン攻撃がさらに巧妙化しており、ビルド環境の分離とSBOM管理の徹底が不可欠です。第三に、Passkeyのような新しい認証技術を悪用したソーシャルエンジニアリングは今後も増加し、技術対策だけでなく「コンテキストを理解したユーザー教育」の両輪が求められます。防御側も多層的な視点で対策を並行させ、どのレイヤーからの侵入も許さない体制構築を急ぐべきです。
参照元
- 緊急サプライチェーン攻撃Attackers Chain JFrog Artifactory Flaws to Gain Admin Control and Plant Backdoors →The Hacker News