米国政府のサーバー25台がハッキングされ、人工知能が関与した可能性も

報道によると、ハッカーは4か国にまたがる25台のサーバーに侵入し、その中には米国政府機関に関連するシステムも含まれていた。セキュリティ研究者らは、今回の攻撃で人工知能ツールが使用された可能性を示唆する証拠も発見した。

月曜日に発表されたDream Researchの新たな報告書によると、攻撃者は数百万ものウェブサイトで使用されているPHPプログラミング言語の重大なセキュリティ脆弱性を悪用した後、別のセキュリティ上の欠陥を悪用して標的システムの完全な制御権を獲得した。

今回の攻撃は、米国、日本、台湾、韓国のサーバーを標的とした。研究者らは、攻撃者の特定や政府の関与の確認はできなかったものの、中国との関連を示唆する証拠を発見した。

今回の発見で特に懸念されるのは、攻撃者が到達した範囲の広さだ。米国政府関連のシステムにおいて、攻撃者は当初の侵入にとどまらず、内部ネットワーク情報、従業員アカウントリスト、認証情報へのアクセスまで確保していた。

人工知能の正確な役割は依然として不明確だが、研究者たちは攻撃者の環境内で、AIがサイバー攻撃を加速させる可能性について疑問を投げかけるいくつかのツールを発見している。

ハッカーがどのようにして単一のセキュリティ脆弱性をはるかに大規模な攻撃に利用したか

この攻撃は、10月21日に公表されたPHP2Shellとして知られる2つの重大なセキュリティ脆弱性を悪用することから始まった。

PHPは、WordPressサイトやオンラインサービスなど、数百万ものウェブサイトのバックエンドで使用されています。CVE-2026-109618とCVE-2026-109619として特定されたこれら2つの脆弱性により、攻撃者は脆弱なサーバー上で悪意のあるコマンドを実行できるようになります。

しかし、攻撃者たちはそこで止まらなかった。彼らはこれらの脆弱性を、Fragnesiaと呼ばれる別のLinuxの脆弱性と組み合わせることで、ユーザー名やパスワードを必要とせずにファイアウォールシステムを完全に制御できるようにした。

Tom's Guideが入手したドリームリサーチのレポートによると、このプロセス全体は15分以内に完了する可能性があるという。

ハッカーたちはまず、公開されている約19,000台のオンラインファイアウォールをスキャンすることから攻撃を開始し、その後、標的を240台の潜在的に脆弱なシステムに絞り込んだ。そして、自動化された攻撃を用いてさらに24台のファイアウォールと内部管理サーバーを侵害し、侵害されたシステムの総数を25台にまで増やした。

研究者らはまた、ハッカーたちが侵害したシステムの多くに悪意のあるウェブベースのツールをインストールしていたことを発見した。これにより、ハッカーたちは最初の攻撃後も、再びシステムに侵入できる可能性があった。

攻撃者たちは、米国政府とつながりのあるネットワークへのアクセス権を獲得した。

最も憂慮すべき発見の一つとして、侵害された3つのサーバーが米国政府関連組織と結びついていたことが明らかになり、今回の情報漏洩の深刻さと規模の大きさが浮き彫りになった。

インターネット上に露出していたファイアウォールを突破した後、ハッカーたちは組織の内部ネットワークに関する詳細情報、具体的には仮想プライベートネットワーク（VPN）、ログインシステム、その他のサーバーなどにアクセスすることができた。

その後、彼らはネットワークのさらに奥深くへと侵入し、中央ファイアウォールの管理サーバーへの侵入に成功し、アカウントのパスワードを盗み出した。また、組織内のユーザーとグループの一覧も入手した。

研究者らは、攻撃者が従業員のパスワードを推測したり、不正なアカウントを作成したり、追加のログイン認証情報にアクセスしようとした証拠を発見したが、これらの試みが実際に成功したかどうかは依然として不明である。

Dream Researchはまた、報告書が公表された時点でハッカーが一部のシステムにまだアクセスできていた可能性があると警告したが、これは独自に確認されていない。

セキュリティ企業はファイアウォールの製造元名や影響を受けるソフトウェアのバージョンを明らかにしなかったが、該当ベンダーに通知したことを確認した。

攻撃者の環境における人工知能ツールの発見

研究者らは攻撃者の環境内でAIツールを発見し、それらが攻撃に利用される可能性を示唆した。これらのツールには、Anthropic社のCloud Codeやaiscanと呼ばれるAI搭載セキュリティプラットフォームが含まれており、これらはDeepSeekやKimiといった中国のAIモデルと連携するように構成されていた。

研究者らはまた、約40個のカスタムスクリプトを発見した。それらの一貫したフォーマットとコメントから、それらのいくつかは人工知能の助けを借りて作成された可能性があることが示唆される。

しかし、Dream Researchは、AIが脆弱性を生み出したり攻撃を実行したりするために使用されているという直接的な証拠はないと警告した。これらのツールは、実際に侵害に関与することなく、攻撃者の環境内に存在している可能性がある。

しかし、これらの調査結果は、ハッカーがAIを活用したプログラミング支援ツールをどのように悪用する可能性があるかについて、深刻な懸念を引き起こしている。これらのツールは、開発者がコードを書いたり、問題をトラブルシューティングしたりする際に頼りにしているものと同じである。

研究者らはまた、中国語のコード、中国時間帯に設定されたシステム、米国と東アジアのサイトを標的とした攻撃など、中国との関連性を示唆する証拠も発見した。しかし、これらの証拠はいずれも、攻撃の責任者を特定するものではない。

要約と提言

PHP2Shellはスマートフォンやノートパソコンに直接的な影響を与えるものではありませんが、ウェブサイトやオンラインサービスに保存されている情報を脅かす可能性があります。攻撃者がこれらのサーバーに侵入した場合、パスワード、機密データ、または内部システムにアクセスされる可能性があります。

Dream Researchの調査によると、今回のキャンペーンで一般消費者の個人情報が盗まれたという証拠は見つからなかった。しかし、これらの脆弱性は既に、前述の25台のサーバー以外にも悪用されている。

Amazon Web Servicesは、これらの脆弱性を悪用しようとする試みを、公表の4日前である10月17日にはすでに発見していた。Sophosは当初、攻撃が成功したと報告したが、後に調査結果を修正し、スキャンと少数の攻撃失敗を検出しただけで、顧客環境における侵害は確認していないと述べた。

WordPressウェブサイトやオンラインストアの管理者にとって、ホスティングプロバイダーに連絡してPHPのバージョンが最新でパッチが適用されていることを確認することは非常に重要です。WordPressプラグインを更新するだけでは、セキュリティ上の脆弱性を完全に解消するには不十分な場合があります。セキュリティアップデートを適用しても、既にシステムにアクセスしている攻撃者を排除することはできないため、管理者は過去の侵害の痕跡がないか徹底的に確認する必要があります。

一般の人々にとって、固有で複雑なパスワードの使用、二段階認証（2FA）の有効化、不審なログイン警告への注意といった基本的なセキュリティ対策を講じることは、不可欠な第一の防御線となる。

---

---