今週のサマリ
cPanel & WHM の認証バイパス脆弱性（CVE-2026-41940、CVSS 9.8）と Linux カーネルの権限境界違反（CVE-2026-31431、CVSS 7.8）が同週に CISA KEV1 入りし、米連邦文民行政機関（FCEB）にパッチ期限が課されました。並行して、RubyGems・Go Modules を経路とするスリーパーパッケージ型サプライチェーン攻撃が CI/CD 認証情報を狙ったとの報告も出ています。国内では医療機関の電子カルテ不正閲覧と、製造業のビジネスチャット経由 BEC2 類似事案が報告されました。
KEV 入りの法的拘束力について: CISA KEV のパッチ期限は BOD 22-01（2021年11月発令の拘束的運用指令）に基づき米連邦文民行政機関（FCEB）にのみ法的義務として課されるもので、民間企業や日本企業に直接の法的拘束力はありません。ただし「実際に悪用が確認された脆弱性」の権威ある一覧として、優先パッチ判断の参照基準に広く使われています。
ピックアップ：cPanel & WHM 認証バイパス（CVE-2026-41940、CVSS 9.8）
WebPros が提供するホスティング管理プラットフォーム cPanel & WHM（ウェブサーバやドメインの設定を一括管理する業務基盤）で、認証を経ずに管理機能を呼び出せる脆弱性 CVE-2026-41940 が公表されました。CISA は2026年4月30日に KEV カタログへ追加し、FCEB へのパッチ期限を 2026年5月3日 としています（出典: CISA KEV アラート）。NVD によれば影響範囲は cPanel 11.40 以降の広範なバージョン群に及び、修正は 86.0.41 / 110.0.97 / 118.0.63 / 126.0.54 / 130.0.19 以降で提供されています（出典: NVD CVE-2026-41940）。
共用ホスティングサービス・cPanel 利用の SaaS プロバイダーは、自社利用バージョンを WHM 管理画面または /usr/local/cpanel/version で確認し、WebPros 公式アドバイザリで指定された修正済みバージョン以降 へ早急に更新する必要があります。万一侵害が疑われる場合、/usr/local/cpanel/logs/access_log の不審な API 呼び出し痕跡を確認します。個人データを扱うホスティング事業者は、侵害が疑われた時点で GDPR 第33条（72時間 DPA 通知）・個人情報保護法第26条（速報3〜5日／確報30日）に基づくテナント顧客への通知トリガー判定を同時並行で進めるべき局面です。
ピックアップ：RubyGems・Go Modules を経路としたスリーパーパッケージ攻撃
The Hacker News は、RubyGems および Go Modules のエコシステムを通じて公開されたスリーパーパッケージ3が、CI/CD パイプラインで認証情報窃取・GitHub Actions 改ざん・SSH 持続化といった多段攻撃に利用されたと報じています（出典: The Hacker News。原典の研究レポートを併読し、攻撃詳細は一次ソースで確認することを推奨します）。
スリーパーパッケージはインストール直後は無害に見えるため、依存関係スキャンツールが「問題なし」と判定しやすい設計です。実効的な防御は次の組み合わせで初めて成立します。
- ロックファイル（
Gemfile.lock/go.sum）の CI 完全固定: ただし C2 通信型のスリーパー（インストール後に外部からペイロードを取得）にはロックファイル単独では効果が限定的 - CI 実行環境のアウトバウンド通信制限（allow-list 方式）: ロックファイルの限界を補完する重要な追加層。GitHub Actions Runner や Self-hosted Runner の egress を IP/ドメイン allow-list で絞る
- シークレットの最小スコープ化: CI から呼び出すクラウド・レジストリの権限を、当該ジョブで必要な最小限に絞る（OIDC 短期トークンへの移行が現実的）
- パッケージ署名検証: Sigstore・cosign 等で公開元を機械的に検証する仕組みを導入
ピックアップ：Linux カーネル CVE-2026-31431 が CISA KEV 入り
Linux カーネルの脆弱性 CVE-2026-31431（CWE-669「Incorrect Resource Transfer Between Spheres」、CVSS 7.8 HIGH）が CISA KEV カタログに追加されました（出典: CISA KEV アラート、NVD CVE-2026-31431）。FCEB の対応期限は 2026年5月15日。一部報道では「Copy Fail」という通称で取り上げられていますが、CVE 公式説明は algif_aead 系の境界処理を巡るリソース転送の不備という記述で、攻撃成立条件はディストリビューション・カーネル系統で異なります。
影響を受けるのは 4.14 系から 6.12 系まで広範で、修正は 5.10.254 / 5.15.204 / 6.1.170 / 6.6.137 / 6.12.85 以降で提供されています。コンテナ基盤・共用ホスティング・マルチテナント環境では、ゲストからホストへの横断拡大リスクが現実的です。RHEL / Ubuntu / Debian それぞれの公式アドバイザリで自社カーネル系統の修正済みバージョンを確認のうえ適用してください。本番 OT・組込み Linux 等で即時パッチが困難な環境では、暫定策として sudo・su の sudoers 制限、SSH の公開鍵認証＋接続元 IP 制限、コンテナ環境では seccomp/AppArmor プロファイルの見直しが現実的な緩和策となります。
国内動向ハイライト
今週は製造業・医療の2セクターで情報漏えい事案が報告されました。いずれも 個人情報保護法第26条 に基づく個人情報保護委員会への報告義務（速報3〜5日／確報30日。要配慮個人情報を含む医療事案は特に厳格）が発動するケースです。
- ユタカ電業（鉄道設備機器メーカー）の Chatwork 複数アカウント侵害（2026年5月公表）: ビジネスチャット「Chatwork」の複数アカウントが不正アクセスを受け、攻撃者から不正な請求書が送信されたほか、個人情報の流出も懸念されています（出典: Security NEXT）。BEC がメール以外のチャット経路へ拡大する傾向を示す事案で、MFA 未設定アカウントが突破口になるパターンが典型的です。
- 青森県病院の電子カルテ不正閲覧・漏えい（2026年5月公表）: 病院職員が業務外の知人情報を電子カルテから不正取得し、第三者に漏えいしたとして懲戒処分を受けました（出典: Security NEXT）。要配慮個人情報を含むため個情委への速報は速やかに必要で、厚生労働省「医療情報システムの安全管理に関するガイドライン（第6.0版）」に基づく RBAC4（ロールベースのアクセス制御）と定期的なアクセスログ監査 が構造的な防止策の要となります。
来週の注目ポイント
- cPanel / Linux カーネル KEV パッチ期限後の動向: FCEB の対応状況が出揃えば、民間への圧力も増します。共用ホスティング・マルチテナント基盤の利用組織はベンダーの更新有無を確認します。
- スリーパーパッケージ型攻撃の続報: 今週の事案を端緒に、関連パッケージの洗い出しが進む見込みです。Ruby は
bundle exec bundler-audit check --update、Go はgovulncheck ./...による依存関係スキャンを週内に一度実行する価値があります。 - CISA「OT 向けゼロトラスト原則適用」ガイド: 国防総省・FBI・国務省と共同で公開されたガイダンス（出典: CISA）は、製造業・エネルギーの制御システム担当者にとって参照点になります。OT/ICS への適用には実装コスト・レガシー互換・可用性優先設計との緊張関係も指摘されているため、段階的実装ロードマップとして読むのが現実的です。
編集後記
今週は KEV 追加が 2 件・サプライチェーン攻撃の続報・国内 2 件と、典型パターンが横並びになった週でした。個別事案を「ニュース」として消費せず、自社の パッチ運用 SLA・CI ネットワーク制御・委託先や内部のアクセス管理がそれぞれ機能しているか、四半期サイクルで確認する起点に使えそうな情報量でした。
一枚要約
- 何が起きているか: cPanel 認証バイパスと Linux カーネル境界違反の2件が同週に CISA KEV 入り。RubyGems・Go Modules を経由するスリーパーパッケージ攻撃の報告も継続。国内では医療機関の電子カルテ不正閲覧と製造業のチャット経由 BEC 類似事案が発生。
- 自社への影響: cPanel 利用ホスティング基盤と Linux サーバを持つ組織はパッチ適用が急務。OSS 依存のある開発チームは CI ネットワーク制御を含むサプライチェーンリスクの棚卸しが必要。医療・個人情報を扱う組織は内部アクセス権の RBAC 化と個情法 26 条報告フローの再点検を。
- 打つべき手: cPanel・Linux カーネルのパッチ適用状況を即時確認。CI/CD 環境の outbound 制限と最小権限化を見直す。内部従業員には RBAC と定期アクセスレビュー、委託先にはアクセスログ監査条項と業務終了後の即時剥奪手順、という2軸でアクセス管理を運用する。
今日着手できる3アクション
- cPanel バージョン確認とアップデート: WHM 管理画面の「ソフトウェア > cPanel を更新」から最新版へ更新します。修正済みバージョンは WebPros 公式アドバイザリで確認したうえで、自社系列（86 系・110 系・118 系・126 系・130 系）に応じた版へ適用します。
- Linux カーネルのパッチ確認:
uname -rで現在のバージョンを確認し、各ディストリビューションのセキュリティアドバイザリ（RHEL は Red Hat CVE DB、Ubuntu は USN）で CVE-2026-31431 の修正済みバージョンを特定して適用します。即時適用が困難な場合は sudoers・SSH 接続制限・seccomp の暫定策を併用します。 - CI/CD 依存パッケージスキャン＋ネットワーク制御確認: Ruby は
bundle exec bundler-audit check --update、Go はgovulncheck ./...を実行します。あわせて GitHub Actions Runner 等の CI 実行環境の egress（外向き通信）が allow-list 化されているか確認し、未制御であれば段階的に絞る計画を起票します。
AI×セキュリティの観点
今週は AI モデルの来歴（出所・学習データの追跡）を検証する取り組みが業界各所で議論されました。ソフトウェアの SBOM（ソフトウェア部品表）が調達標準に組み込まれつつあるように、社内に導入する AI モデルの出所確認は「モデル部品表（AI MBOM）」として議論が進みつつあります。NIST AI RMF や EU AI Act の実装ガイドにこの概念が登場し始めており、近い将来の調達・監査標準化が予想されますが、2026年5月時点で法的義務化の段階には至っていないため、ベストプラクティス先取りの位置づけです。攻撃者の関心が今週のサプライチェーン攻撃のようにパッケージから次第にモデルウェイトへ広がる可能性も指摘されており、採用モデルの来歴検証は CISO の中期チェック項目に加える価値があります。
用語ミニ解説
- KEV（Known Exploited Vulnerabilities）カタログ — 米 CISA が管理する「実際の攻撃で悪用が確認された脆弱性」の公式リスト。根拠は2021年11月発令の拘束的運用指令 BOD 22-01。リスト入りは当局が「野外で悪用済み」と公式に認めた証拠で、米連邦文民行政機関（FCEB）には期限付きのパッチ適用義務が発生する。民間企業・国外組織への法的拘束力はないが、優先パッチの判断基準として広く参照されている。 ↩
- BEC（Business Email Compromise） — 経営幹部や取引先を装い、不正な送金・請求書処理を誘導する詐欺手口。今週の事案はビジネスチャットを経路とした亜種であり、メール以外の業務コミュニケーション基盤にも同様のリスクが広がっている。 ↩
- スリーパーパッケージ — オープンソースリポジトリ（RubyGems・PyPI・npm など）に公開され、インストール直後は無害に見えるが、後から外部 C2 経由で悪意のあるコードを取得する設計、またはあらかじめ遅延実行コードを含む設計のパッケージ。初期レビューをすり抜けやすく、サプライチェーン攻撃の主要手口の一つ。 ↩
- RBAC（Role-Based Access Control） — 役割（ロール）に基づいてシステムへのアクセス権を付与する仕組み。業務に必要な最小限の権限のみを与えることで、電子カルテの不正閲覧のような過剰アクセスを構造的に防ぐ。 ↩
コメント