5Gモバイルコアの脆弱性、ゼロデイ欠陥84件を発見

オープンソースのコアスタック全般に広がる影響

モバイルネットワークのアーキテクチャは、長年にわたり暗黙の信頼という前提に依存してきました。しかし、通信事業者がクラウドネイティブ環境への移行を進めるにつれ、この歴史的な油断が数々のセキュリティ欠陥を生む温床へと姿を変えてしまいました。南洋理工大学(NTU)のサイバーセキュリティ研究者らは最近、オープンソースの4Gおよび5Gモバイルコアソフトウェアの実装全体にわたり、これまで知られていなかったゼロデイ脆弱性84件を発見しました。メンテナー側はすでにこのうち83件を検証済みで、81件には正式なCVE(Common Vulnerabilities and Exposures)識別子が割り当てられています。

これらの構造的な欠陥は、Open5GS、free5GC、OpenAirInterface、SD-Core、eUPFを含む、著名なオープンソースのモバイルコア実装7種にわたって確認されました。脆弱性が特に狙うのは、GTP-C(GPRS Tunnelling Protocol Control Plane)とPFCP(Packet Forwarding Control Protocol)です。これらは、ネットワーク内部のノード間でセッション確立、データルーティング、ポリシー適用を担う基幹的なシグナリング機構にあたります。

暗黙の信頼が招く欠陥の構造

こうした構造的な欠陥の根本原因は、個別のコーディングミスではなく、そもそもの信頼モデルそのものに欠陥があることに起因しています。モバイルコアの内部コンポーネントは、隣接ノードから届く制御メッセージを本質的に正当なものとみなす前提で動作するのが常態化しています。その結果、ソフトウェアスタックは必須フィールドやペイロード長、許容されるパラメータ範囲、リソース割り当ての上限といった項目の検証を怠るケースが頻発しています。この緩やかな設計思想は、通信事業者の内部インターフェースが物理的に隔離されたインフラの中で稼働し、公衆ネットワークにさらされることがなかった時代に形成されたものです。

クラウド移行によって崩れた境界防御

クラウドネイティブな展開形態は、こうした従来の境界防御を大きく崩してきました。ネットワークの設定ミスやテナント分離の不備によって、機密性の高い内部シグナリングインターフェースが意図せず外部の脅威アクターにさらされてしまうことがあります。場合によっては、悪意ある制御パケットを通常のユーザープレーン通信に紛れ込ませ、基地局を経由してコアネットワークのアーキテクチャに直接送り込むことも可能です。

脆弱性の分類と悪用の力学

研究チームはこの脆弱性クラスを「暗黙の信頼の欠陥」と分類しました。発見された84件の欠陥のうち、最も多く見られたパターンは、ソフトウェアコンポーネントが必須の情報要素を期待していながら、その実際の有無を検証していないというものでした。その他の欠陥では、攻撃者が不正な値を注入したり、接続状態を破壊したり、内部のメモリプールや制御オブジェクトを枯渇させたりすることが可能でした。その結果、標的となったネットワーク機能は完全なサービス拒否(DoS)状態に陥り、応答能力を失ってクラッシュしてしまいました。

iFinderによる脆弱性の自動検出

こうした潜在的な欠陥を体系的に洗い出すため、研究チームはiFinderと名付けた、LLMを活用した高度なマルチエージェントフレームワークを開発しました。NTUの5Gセキュリティに関する研究論文で詳しく解説されているように、このシステムはまず既知の過去の欠陥から繰り返し現れるパターンを抽出し、ソースコードを解析したうえで、疑わしいコードロジックを公式の3GPP技術仕様と照合します。続いてiFinderは実証コード(PoC)を自動生成し、制御されたテスト環境内で実行、実行時のログをもとにペイロードを繰り返し調整しながら、脆弱性が実際に存在することを検証していきます。

コード監査におけるLLMの精度検証

ドメイン固有の仕様に基づく裏付けを与えずに、大規模言語モデル単体をコード監査ツールとして評価した場合、誤検知(偽陽性)が過剰に発生する結果となりました。しかし、3GPP標準と実際のテスト実行結果に照らしてコードの動作を検証することで、iFinderの精度は28%から75%へと劇的に向上しました。全体として、この自動化システムは検証用に用いた既知のベンチマーク脆弱性のうち、約68%を正しく特定することに成功しています。

商用5G実装におけるセッションハイジャック

今回の発見の中でも特に危険性が高かったのが、深刻なセッションハイジャックの手口です。攻撃者は、正規の加入者設定よりも優先度の高い転送ルールを注入する、偽装したPFCPリクエストを送信できます。通信を処理するUPF(user plane function)は、重複するルール識別子を検証せずに受け入れてしまい、被害者の送信データトラフィックは本来の公衆インターネットではなく、攻撃者へと直接転送されてしまいます。

商用ベンダーへの開示状況とパッチ対応

研究チームは、このセッションハイジャック攻撃をオープンソースのスタックだけでなく、デフォルト設定で稼働する商用の5Gコア実装2種でも再現することに成功しました。一方のベンダーはCVE-2026-8233(CVSS 4.6、Medium)としてこの問題にすでに対応済みですが、もう一方のベンダーは現在パッチを準備中です。また、別の商用システムで確認された脆弱性CVE-2026-8232(CVSS 3.5、Low)では、リモートの攻撃者がサービス拒否状態を引き起こせることが判明しています。

通信事業者へのセキュリティ改善提言

研究チームは、モバイルネットワーク事業者に対し、セルラーコア内における絶対的な信頼モデルを見直すよう求めています。事業者はネットワーク機能間で厳格なマイクロセグメンテーションを徹底し、内部の管理インターフェースへの不要なアクセスを制限する必要があります。さらに開発者は、受信するすべてのメッセージについて構造・範囲・意味的な論理を厳密に検証し、重複するルール識別子を禁止するとともに、厳格なリソース割り当て上限を設けることで、不正な形式のリクエストが致命的なサービス停止ではなく、適切な拒否処理につながるようにする必要があります。