CISA、OpenSSH、GPUStack、IBMの脆弱性に対する積極的な悪用を警告

米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は月曜日、広く使用されているインフラ構成要素に影響する4つの高深刻度の脆弱性を既知の悪用済み脆弱性（KEV）カタログに更新しました。同機関は、OpenBSD OpenSSH、GPUStack、SignalWire FreeSWITCH、IBM Aspera Faspexの脆弱性について、積極的な悪用の証拠があることを挙げています。この更新は連邦政府機関に対する緊急の指示であると同時に、これらのシステムを管理する民間セクターのチームにとって強い警告でもあります。

何が起きたか

CISAによるKEVカタログへの追加は、理論上のリスクではなく、即時の脅威を浮き彫りにしています。最も目立つ項目はCVE-2026-123158で、「SShole」として知られており、Linux上で動作するOpenBSD OpenSSHに影響します。2026年11月6日以降、セキュリティ企業は14個の固有IPアドレスからの22回の悪用試みを記録しています。GreyNoiseは、2026年11月7日UTC午前12時46分にハニーポットネットワークに対する最初の試みを検出しました。Defused Cyberは、この活動はまだ広範ではないと指摘していますが、確認された事後行動は深刻な意図を示しています。攻撃者は偵察を行い、クラウドメタデータサービスにクエリを送り、パスワードハッシュやルートSSHキーの読み取りを試みています。

他の3つの脆弱性も、CVSSスコア9.8という重大な評価を受けています（SSholeのみ8.1）。GPUStackのCVE-2026-102895は、未認証での管理者アクセスを可能にし、攻撃者がモデルの変更、永続的なAPIキーの作成、コードの実行を行えるようにします。この欠陥は、実環境での悪用報告を受けた後、2026年7月に修正されました。SignalWire FreeSWITCHのCVE-2026-116779は、コード注入を許可し、資格情報の漏洩や任意のコマンド実行につながるもので、2026年10月に修正版がリリースされました。最後に、IBM Aspera FaspexのCVE-2026-123218は、認証済みユーザーが権限昇格のために認可チェックを回避することを可能にするもので、2026年11月にパッチが適用されました。

事後分析では、洗練された戦術が明らかになっています。あるケースでは、GT10と呼ばれる脅威アクターが、Pythonベースのコマンド＆コントロールツールであるTAC Agentを展開しました。このエージェントは、シェルコマンドの実行、ディレクトリの列挙、ファイル転送を実行します。WatchTowrはまた、OpenSSHの脆弱性がボットネットのリクルートや暗号通貨マイニング操作に使用されているのを観察しています。連邦文民執行部門（FCEB）の機関は2026年11月12日までに修正を適用する必要がありますが、すべての組織にとっての対応時間は急速に短くなっています。

仕組み

SShole脆弱性は、Linuxシステム上のOpenSSH認証プロセスにおける予期しないステータスコードまたは戻り値に起因しています。このロジックエラーにより、攻撃者は認証メカニズムを完全にバイパスし、有効な資格情報なしでアクセスを取得できます。侵入後、攻撃者はSSH authorized_keysファイルを修正して永続的なアクセスを維持し、初期の侵入経路が閉じられた場合でも再アクセスできるようにします。さらに、クラウドメタデータサービスを標的として、環境シークレットや資格情報を収集します。

GPUStackでは、不適切な認証の欠陥により、未認証ユーザーが特定のPOSTリクエストを/v2/inference-backends/from-yamlエンドポイントに送信できるようになります。このアクションにより管理者権限が付与され、永続的なAPIキーの作成や、ワーカーおよびクラウドプロバイダーのシークレットの露出が可能になります。IBM Aspera Faspexの場合、問題は不正確な認可処理にあります。認証済みユーザーが、システムが正しく検証できない特定のメッセージを作成することで、本来の役割を超えて権限を昇格させることができます。これらのメカニズムは、複雑な暗号学的破綻ではなく、微妙な実装エラーに依存しているため、厳格なテストを行わない限り検出が困難です。

主要な詳細

• CVE-2026-123158 (SShole): Linux上のOpenBSD OpenSSHに影響; 予期しないステータスコードによる認証バイパスを許可; 2026年11月に修正。
• CVE-2026-102895: GPUStackに影響; 未認証での管理者アクセスとコード実行を許可; 2026年7月に修正。
• CVE-2026-116779: SignalWire FreeSWITCHに影響; コード注入と資格情報の開示を可能にする; 2026年10月に修正。
• CVE-2026-123218: IBM Aspera Faspexに影響; 細工されたメッセージによる権限昇格を許可; 2026年11月に修正。
• 積極的な脅威: GT10アクターが永続化のためにTAC Agentを展開; watchTowrはボットネットおよび暗号通貨マイニングの使用を報告。
• 期限: 連邦機関は2026年11月12日までにパッチを適用する必要があります。

なぜ重要なのか

エンジニアリングチームにとって、これらの欠陥がKEVカタログに記載されていることは、優先度を通常のメンテナンスから緊急対応へと変えます。OpenSSHはリモートサーバー管理のための基盤コンポーネントであり、ほぼすべてのLinuxベースのインフラが潜在的に危険にさらされていることを意味します。攻撃者がすでにauthorized_keysファイルを修正しているという事実は、彼らが迅速なヒット＆ラン攻撃ではなく、長期的な永続化を目指していることを示唆しています。これにより検出が難しくなります。なぜなら、初期の侵害後に攻撃者が有効に見える鍵ベースの認証を使用する場合、標準的なログインアラートが発動しない可能性があるからです。

GPUStackの脆弱性は、推論バックエンドの管理にこのパッケージを利用しているAIおよびMLチームにとって特に重要です。未認証での管理者アクセスは、攻撃者がモデル設定を変更したり、環境に保存されているクラウドプロバイダーのシークレットを盗んだりできることを意味します。これらの問題の一部については数ヶ月前から修正が利用可能であったにもかかわらず、悪用が続いていることは、パッチの利用可能性と展開との間のギャップを浮き彫りにしています。チームは、パッチが存在することだけでなく、ステージング環境やレガシー環境を含むすべてのインスタンスに適用されていることを確認する必要があります。

実施すべきこと

• SShole脆弱性を軽減するため、2026年11月にリリースされた最新バージョンへOpenSSHを直ちにパッチ適用してください。
• GPUStackを2026年7月に修正されたバージョンへ更新し、すべての管理者APIキーとクラウドプロバイダーのシークレットをローテーションしてください。
• SignalWire FreeSWITCHに対して2026年10月の修正を適用し、不正な変更がないかコール制御ログを監査してください。
• IBM Aspera Faspexを2026年11月のパッチレベルへアップグレードし、ユーザー権限の割り当てに異常がないか確認してください。
• SSH authorized_keysファイルへの変更を監視し、クラウドメタデータサービスのログで異常なアクセスパターンを検索してください。
• TAC Agentに関連する侵害指標（予期しないPythonプロセスやディレクトリ列挙活動など）をスキャンしてください。