中国系脅威アクター、新たな脆弱性を1日足らずで武器化

CrowdStrikeの新たな調査結果によると、中国と関係のある脅威アクターは、脆弱性が公開されてからわずか24時間以内に重大な脆弱性を悪用できる能力を持っていることが分かりました。

中国系グループのVault PandaとGenesis Pandaは、React2Shellエクスプロイトを標的とした、迅速かつ組織的な攻撃を仕掛けていることが観測されました。React2Shellは、React Server ComponentsやNext.jsアプリケーションにおいて認証なしのリモートコード実行を可能にする、重大なWebアプリケーションの脆弱性です。

この欠陥は2025年12月に公開され、それと同時にパッチもリリースされていました。

React2Shellは複数の脅威アクターによって実際に悪用されていましたが、中でもVault Panda(UNC6588)とGenesis Panda(REF0657、Earth Lamia)は、リモートアクセス型トロイの木馬(RAT)を含むさまざまな悪意あるツールを被害者に対して展開する動きが特に迅速でした。これらのツールは、認証情報の窃取をはじめとする侵害後のさまざまな活動に利用されていました。

研究者らは8月3日に公開されたCrowdStrike 2026 Threat Hunting Reportの中で、次のように指摘しています。「この対応の速さは、これらの攻撃者が脆弱性の公開情報を常に監視し、悪用可能性を迅速に検証し、絶えず変化する攻撃対象領域を見越してツールを事前に準備していることを示しています」

AIが脆弱性悪用を加速

全体として、CrowdStrikeは2026年上半期に公開された脆弱性の悪用事例のうち、88%が公開から48時間以内に侵入が発生していることを観測しました。また同社は、2024年から2025年にかけてゼロデイ攻撃が前年比42%増加したことも記録しています。

研究者らは、こうした傾向は最先端のAIが脆弱性研究に統合される以前から見られたものであると指摘しており、今後さらに公開から実際の悪用までの期間が短縮されることが予想されるとしています。

これは、AnthropicのMythosやOpenAIのGPT-5.4-CyberおよびGPT-5.5-Cyberといった、サイバーセキュリティの脆弱性を大規模に発見・修正するために設計されたAIツールの登場を受けたものです。

研究者らはさらに、「最先端モデルは、公開される脆弱性の件数増加に寄与している可能性が高く、これによりネットワーク防御担当者はますます短くなるパッチ適用期間への対応を迫られ、その課題は一層深刻化しています」と付け加えています。

増加を続けるID関連攻撃

CrowdStrikeのレポートでは、AIの利用と密接に関連した、ID(アイデンティティ)ベースの攻撃の急増も浮き彫りになりました。

これには、LLMJackingを通じて被害者自身のAIプラットフォームを侵害しようとする脅威アクターの増加傾向も含まれます。これは、金銭目的の攻撃者が被害者企業のLLM API へのアクセス権を取得し、被害者のAIサービスを通常の稼働能力を超えて酷使することで金銭的損害を与えようとする手法です。

あるキャンペーンでは、脅威アクターが基盤モデルへのアクセスを提供するクラウドコンピューティングサービスへの昇格アクセス権を取得した後、わずか2分間でおよそ200,000件ものAPIリクエストを送信していました。

CrowdStrikeはまた、初期侵入の手段としてビッシングが用いられた侵入件数が、2026年上半期には2025年上半期と比較して倍増していることも検知しています。

ビッシングとは、電話を使って人物になりすまし、認証要件を回避する手法です。こうした攻撃は、ディープフェイクなどAIツールの活用によってさらに巧妙化しています。

同レポートでは、ビッシングは悪意ある活動を示す痕跡が防御側にとって少なく検知が難しいため、eクライム(電子犯罪)の攻撃者にとって主要な手法として台頭していると指摘しています。