東京セキュリティブリーフィング 2026年03月19日（木曜日）

オープニング

こんにちは。東京セキュリティブリーフィングへようこそ。本日は2026年03月19日、木曜日の配信となります。昨日公開されたセキュリティニュースの中から、特に注目度の高い脅威動向と脆弱性情報をお届けします。本日も重要な情報が盛りだくさんです。それでは、始めていきましょう。

ヘッドライン

本日のニュースの中で、特に重大度の高い脆弱性が複数報告されています。まず、GNU InetUtils のtelnetdに9.8という極めて高いCVSSスコアの脆弱性が発見されました。次に、AppleのWebKitの脆弱性が複数のiOSおよびmacOSユーザーに影響を及ぼしています。さらに、Ubuntuデスクトップにおいてrootへの権限昇格が可能な脆弱性が報告されています。

マルウェア動向としては、npmレジストリにおいて数百件のリポジトリがVidar情報盗難マルウェアで侵害されたことが明らかになりました。また、ClickFixという詐欺ルアーを通じた多層マルウェアキャンペーンが複数の派生マルウェアを配信しています。

AI関連のセキュリティ脅威も続々と浮上しており、Cursor IDEの開発環境を狙った攻撃「CursorJack」が確認されたほか、Claude Codeを装う詐欺ダウンロードサイトがマルウェア配信に利用されています。

それでは、詳細な解説に参ります。

詳細解説

GNU Telnetd に9.8のCVSS脆弱性、認証前にコード実行可能

複数のセキュリティレポートで報告されているのが、GNU InetUtils のtelnetdに存在するCVE-2026-32746という極めて重大な脆弱性です。このCVSSスコアは9.8で、Dream Security Labsにより発見されました。

脆弱性の内容としては、LINEMODEのSet Local Characters（SLC）オプション処理におけるバッファオーバーフロー（CWE-120）です。このバッファオーバーフローが攻撃者に任意のコード実行を許可する可能性があります。

特に危険な点は、この脆弱性が認証前に悪用可能であるという点です。つまり、攻撃者がtelnetdサービスにアクセスするだけで、わずか一つのパケットで攻撃を実施できる可能性があります。

影響を受けるのはバージョン2.7までのすべてのバージョンです。ICS、OT環境での重要インフラへの物理的な脅威となる可能性もあります。組織の皆様は、telnetdを使用しているシステムがないか確認し、必要に応じてアップグレード対応を進めてください。

AppleのWebKitのクロスオリジン脆弱性、iOSとmacOSに影響

AppleはCVE-2026-20643というWebKitの脆弱性に対応しました。この脆弱性はNavigation APIのクロスオリジン処理に関連しており、悪質なウェブコンテンツがSame Origin Policyをバイパスする可能性があります。

対応されたOSバージョンはiOS 26.3.1以上、iPadOS 26.3.1以上、macOS 26.3.1以上です。改善された入力値検証によって問題に対処されています。

このパッチはバックグラウンドセキュリティ改善として2026年3月17日に配信されており、通常の全OSアップグレードを待つことなくセキュリティ更新を受けることができます。Safari等のブラウザを使用しているユーザーは、このアップデートの適用を確認してください。

UbuntuデスクトップでRoot権限昇格が可能に

Ubuntu Desktop 24.04以降のデフォルトインストレーションに影響するCVE-2026-3888という脆弱性が報告されています。CVSS v3.1スコアは7.8です。

この脆弱性は、snapd と systemd-tmpfiles 間の意図しない相互作用によるもの。Qualys Threat Research Unit による調査で明らかになりました。低い権限を持つユーザーが、完全なroot権限を獲得できる可能性があります。

対応方法としては、snapdをバージョン2.73+ubuntu24.04.1以上に更新することが必要です。Ubuntu Desktopを使用する組織は、可能な限り早期にアップデートを適用してください。

npmレジストリ上のReact Nativeパッケージがマルウェア侵害

重大なサプライチェーン脅威が報告されています。2026年3月16日、2つの人気React Nativeのnpmパッケージがアカウント侵害を受け、マルチステージマルウェアがインストール時に自動的に注入されていました。

このマルウェアキャンペーンでは、Solana RPCエンドポイントが悪用され、第2段階のペイロード取得に使用されています。MetaMask等の暗号資産ウォレットと企業認証情報をターゲットとしており、開発者環境への直接的な脅威となります。

React Nativeを使用する開発組織は、最近インストールしたパッケージやその更新内容を確認し、不審な動作がないか確認することが重要です。npmレジストリのセキュリティ監視を強化する必要があります。

ClickFixルアーが複数マルウェアキャンペーンの起点に

ClickFixという詐欺的なルアー手法が、複数の高度なマルウェアキャンペーンの配信メカニズムとして機能していることが報告されています。

LeakNetキャンペーンでは、ClickFixルアーを侵害された正当なウェブサイトで配信し、ユーザーをmsiexecコマンド実行に誘導しています。その後、base64エンコードされたペイロードをメモリ内で実行するDenoベースのローダーが用いられ、最小限のアーティファクトを残す工夫がされています。

macOS標的では、MacSyncという情報盗難マルウェアが確認されており、ユーザーにターミナルコマンドを手動実行させる方式で動作します。2025年11月から2026年2月にかけて、3つの異なる攻撃波が観測されています。

このClickFixキャンペーンは月ごとに被害者数が増加しており、継続的な脅威となっています。ユーザーに対して、疑わしいポップアップ表示やエラーメッセージでシステム修復を促すサイトへのアクセスをしないよう啓発することが重要です。

Vidar Stealer 2.0がGitHubとRedditを経由して配信

Vidar情報盗難マルウェアの2.0バージョンが、数百～数千の悪意あるGitHubリポジトリを通じて配信されていることが明らかになりました。

感染メカニズムとしては、PS2EXEで難読化されたPowerShellスクリプトが複数段階の感染を実行します。また、RedditのCounter-Strike 2チートに関する投稿からも、被害者がフィッシングサイトにリダイレクトされています。

このキャンペーンは、ゲームチートやシステムユーティリティを装って配信され、開発者やゲーマーをターゲットとしています。GitHubやReddit等のプラットフォームで偽造されたコンテンツに対して警戒が必要です。

CursorJackが AI開発環境でのコード実行リスクを露呈

Proofpoint Threat Researchが「CursorJack」という新たな攻撃技術を確認しました。これはCursor IDEのModel Context Protocol（MCP）ディープリンク機能を悪用するものです。

特定の条件下において、攻撃者が悪質なコンポーネントをインストールしたり、任意のコマンドを実行したりすることが可能になります。ただし、ユーザーの相互作用とシステム構成に依存しており、ゼロクリック悪用は現時点では観察されていません。

AI開発環境は、企業の機密コードやAPIキーが格納される重要な環境です。開発者に対して、信頼できるMCPコンポーネントのみをインストールするよう教育することが重要です。

Claude Code を装う詐欺ダウンロードサイト、マルウェア配信

Kasperskyの警告によると、Claude Codeの偽ダウンロードサイトが出現し、マルウェア配信に利用されています。

Windows上ではAmatera、macOS上ではAMOS情報盗然マルウェアが配信されており、開発者のソースコード、企業データ、認証情報の公開リスクが高まります。

Claude Codeを利用する開発者は、必ず公式の信頼できるソースからダウンロードすることを確認してください。開発者向けのマルウェア詐欺サイトは、公式ドメインに非常に類似した名前を使用することが多いため、URLを細心の注意を持って確認することが必須です。

OAuth デバイスコード攻撃によるM365アカウント乗っ取り

ANY.RUNの観察によると、MicrosoftのOAuthデバイスコードフローを悪用したフィッシング活動が急増しています。

わずか1週間で180以上のURLが検出されており、この攻撃では認証情報なしでOAuthトークンを取得し、企業のMicrosoft 365環境にアクセスすることが可能になります。

デバイスコードフローは、CLIツールやIoTデバイスなどブラウザを使用できないデバイスでのOAuth認証に使用される方式です。攻撃者は、ユーザーを欺いて攻撃者が制御するデバイスコードを入力させることで、企業アカウントへのアクセスを奪取しています。

組織は、OAuthアクセスの監視ログを確認し、不審なデバイスコード認証がないか調査することが重要です。

Kubernetes Ingress-Nginx の設定インジェクション脆弱性

CVE-2026-3288というKubernetes Ingress-Nginxのコントローラーに存在する設定インジェクション脆弱性が報告されています。CVSS 8.8の高い深刻度を持っています。

この脆弱性はリモートコード実行（RCE）およびシークレット開示につながる可能性があります。修正はバージョンv1.13.8、v1.14.4、v1.15.0で提供されています。

Kubernetes環境を運用する組織は、Ingress-Nginxコントローラーのバージョンを確認し、必要に応じてアップグレードを実施してください。

別Kubernetes脆弱性、NFS CSI ドライバーでパストラバーサル攻撃可能

Kubernetes CSI Driver for NFSにおいて、CVE-2026-3864というパストラバーサル脆弱性（CVSS 6.5）が報告されています。

「subDir」パラメータの検証が不適切なため、攻撃者がNFSサーバーのディレクトリを削除・変更することが可能になります。バージョンv4.13.1以降で修正されています。

Kubernetesの本番環境でNFSストレージを使用する場合は、CSIドライバーのバージョン確認と更新が必須です。

FortiClient に SQL インジェクション脆弱性

FortiClient EMS バージョン7.4.4以前に影響するCVE-2026-21643が報告されています。CVSS 9.1という高い深刻度です。

認証されていない攻撃者が /api/v1/init_consts エンドポイント経由で任意の SQL コマンドを実行できます。バージョン7.4.5で対処されています。

Fortinet製品を使用する組織は、EMS管理システムのバージョン確認と更新を優先して実施してください。

Windows レジストリを悪用した権限昇格脆弱性

CVE-2026-24291というWindows特権昇格脆弱性が、MDSecにより公開されています。

Windowsアクセシビリティ機能関連のレジストリ構成を悪用することで、低い権限ユーザーから完全なSYSTEMアクセスに昇格することが可能です。Microsoftは2026年3月パッチチューズデーで対処しています。

Windows環境を運用する組織は、最新のセキュリティパッチの適用を確認してください。

Wing FTP サーバーの情報開示脆弱性が積極的に悪用

CVE-2025-47813がWing FTPサーバー7.4.4以前に影響する情報開示脆弱性です。CVSS 4.3です。エラーメッセージでサーバーパスを露出させます。

CVE-2025-47812と連鎖して攻撃で悪用されており、FCEB機関は3月30日までのパッチ適用を命じられています。

FTP サーバーを運用する組織は、ベンダーのセキュリティ勧告を確認し、パッチ適用期限を遵守してください。

ランサムウェア攻撃がアイデンティティインフラストラクチャを優先標的に

Semperisのレポートによると、ランサムウェア攻撃の83%がアイデンティティインフラストラクチャ侵害を含むことが判明しました。

攻撃者は攻撃の初期段階でActive Directory、Entra ID、Oktaをターゲットにし、Tier 0資産として扱っています。このため、アイデンティティインフラストラクチャには専用のセキュリティ戦略が必要です。

認証・認可システムの強化、特に MFA（多要素認証）の実装と監視が極めて重要です。

Mustang Pandaが地政学的混乱を利用した攻撃

Mustang Pandaが中東紛争のエスカレーション直後の24時間内にキャンペーンを開始したことが報告されています。

イランのミサイル爆撃記録を装う偽アラビア語ドキュメントを囮に使用し、DLLサイドローディングでPlugXバックドアを展開しました。多層暗号化により、検出回避が図られています。

地政学的な緊張局面では、関連ニュースを装ったフィッシングメールが増加する傾向があります。従業員への警告と教育が重要です。

Boggy Serpensが外交官と重要インフラを標的

Boggy Serpens（MuddyWater/イラン情報保安省関連）が、信頼できるアカウント乗っ取りで外交機関・重要インフラを攻撃しています。

2025年8月にはオマーン外務省のメールアカウントが侵害されました。カスタムバックドア、AIマルウェア生成支援、大規模メール自動化プラットフォムの構築が行われています。

国家インフラに関わる組織は、強固なアカウント保護と異常アクセスの監視が不可欠です。

北朝鮮の偽造IT労働者軍団が年間5億ドルを稼出

IBM X-Force調査によると、10万人以上の北朝鮮人が40カ国に分散して年間約5億ドルを生成しています。

偽造IT労働者は年間30万ドル以上を稼ぐ可能性があり、採用者、仲介者、IT労働者、協力者で構成されるエコシステムが形成されています。Google翻訳、VPN、IPMessenger等のツール使用のほか、AI顔音声変更も実施されています。

採用企業は、採用プロセスの厳格化と身元確認の強化が必要です。

FancyBear の C2 サーバーが大量の認証情報を暴露

APT28/FancyBearの203.161.50[.]145 C2サーバーが暴露され、極めて機密性の高い情報が漏洩しました。

流出した内容としては、2,800通以上のメール、240以上の認証情報（TOTP 2FA秘密含む）、140個の永続転送ルール、11,500以上のコンタクト情報です。ウクライナ、ルーマニア、ブルガリア、ギリシャなどNATO関連諸国の政府・軍事機関が標的でした。

このような大規模な認証情報漏洩に対して、所属する機関から個別の通知がないか確認してください。

DarkSword iOS エクスプロイトキットが複数脅威アクターに採用

DarkSwordというiOS 18.4～18.7対象のエクスプロイトキットが浮上しています。iVerifyは最大2億7000万iPhoneユーザーが影響の可能性を推定しています。

WebGitサンドボックスエスケープを利用し、GHOSTBLADEやGHOSTNIFE、GHOSTSABERというマルウェアを展開します。このエクスプロイトキットはGoogle によってUNC6353に帰属されています。

複数の脅威アクターが異なるキャンペーンで同一のエクスプロイトチェーンを利用しており、商用監視ベンダーと国家支援行為者の両者によって使用されています。

クロージング

本日は、脆弱性、マルウェア、国家主導攻撃、AI関連脅威など、多岐にわたるセキュリティリスクについてお伝えしました。

特に、CVSS 9以上の極めて重大な脆弱性が複数報告されており、組織のセキュリティチームにおける迅速な対応が必須です。また、AI開発環境やクラウド環境、アイデンティティインフラストラクチャは、攻撃者の優先標的となっており、従来のセキュリティ対策に加えて新たな脅威への対応が求められます。

本日お伝えした各ニュースについて、詳細をご確認いただき、所属する組織のセキュリティ態勢強化にお役立てください。

東京セキュリティブリーフィングでした。また次回お会いしましょう。