CISAが悪用中の脆弱性7件を追加、攻撃者はAIインフラを標的に | eSecurity Planet

AIゲートウェイは、価値の高い攻撃対象領域になりつつあります。

CISAは9月2日、実際に悪用されている脆弱性7件をKnown Exploited Vulnerabilities(KEV)カタログに追加しました。対象にはLiteLLM、Kestra、Starletteの脆弱性が含まれます。残りのエントリはJFrog Artifactory、Sangoma Switchvox、SonicWall SMA1000アプライアンスに影響するもので、AI、DevOps、通信、リモートアクセスの各インフラがセキュリティチームのパッチ適用リストに加わることになります。

今回の追加は、LiteLLMおよびMCPサーバーを標的とした攻撃を受けたものです。これらの攻撃では、認証情報の窃取、コマンド実行、クリプトマイニングが確認されています。MicrosoftとWizも、公開されたAIゲートウェイやワークフロープラットフォームに対する攻撃を文書化しており、侵害が発生すると認証情報や実行権限、連携している企業サービスが露出する恐れがあります。

悪用された脆弱性、AIゲートウェイと企業インフラに波及

CISAが9月2日に追加したKEVは以下の通りです。

• CVE-2026-59822: BerriAI LiteLLMの認証不備
• CVE-2026-49869: KestraのOSコマンドインジェクション
• CVE-2026-82329: JFrog Artifactoryの認証不備
• CVE-2026-48710: StarletteのHTTPリクエスト/レスポンス密輸
• CVE-2026-9586: Sangoma SwitchvoxのSQLインジェクション
• CVE-2026-83548: SonicWall SMA1000のサーバーサイドリクエストフォージェリ
• CVE-2026-83549: SonicWall SMA1000のOSコマンドインジェクション

LiteLLMのCVE-2026-59822は、認証されていない攻撃者が偽造したBearerトークンを使うことで認証済みのMCPセッションを確立し、設定済みのツールにアクセスできてしまう恐れがある脆弱性です。LiteLLMのセキュリティアドバイザリによれば、この脆弱性はバージョン1.84.0より前に影響し、1.84.0で修正されています。

Microsoftは8月26日、LiteLLM、RAGFlow、Kestraが関わる侵害事例を文書化しました。その内容には、認証情報の収集、永続化、リバースシェル、クリプトマイニングが含まれています。その翌日にはWizが、AIインフラを対象としたハニーポットで90日間にわたり収集したテレメトリをもとに、継続的な攻撃を報告しました。この中には、LiteLLMや公開されたMCPサービスに対する活動も含まれています。

こうした攻撃活動は、AIコーディングツール、MCPサーバー、開発者インフラにも及んでいます。これらはソースコードへのアクセス権、認証情報、CI/CDの権限を保持している場合があるためです。

CISAは、9月2日に追加した7件について、特定の脅威アクターや協調的なキャンペーンへの帰属を示していません。

連邦政府機関には短い猶予期間でパッチ適用を義務付け

CISAは、SonicWallの2件の脆弱性、およびSwitchvox、Artifactory、Kestraの脆弱性について、対象となる連邦政府システムでの修正期限を9月5日に設定しました。LiteLLMとStarletteの期限は9月16日です。

SonicWallの2件の脆弱性はいずれも、実際の悪用が確認されています。CVE-2026-83548は認証前のSSRF脆弱性でCVSSスコアは10.0、CVE-2026-83549は認証済みの管理者によるOSコマンド実行を可能にする恐れがあります。9月4日にはシンガポールのサイバーセキュリティ庁(CSA)が、影響を受ける組織に対し直ちにアップデートするよう呼びかけました。これは、SMA1000のゼロデイ脆弱性が相次いで悪用されていたことを受けた懸念の高まりに拍車をかけるものです。

組織が取るべき対策は以下の通りです。

• 影響を受けるバージョンへの直ちなパッチ適用または緩和策の実施と、脆弱なコンポーネントが依存システムに存在しないかの確認
• インターネットへの露出の低減：AIゲートウェイ、MCPエンドポイント、オーケストレーションプラットフォーム、管理インターフェースが対象
• 特権アクセスおよびMCPアクセスの制限：最小権限のアカウントと厳密に範囲を絞ったツール権限の適用
• 漏えいの可能性がある認証情報のローテーション：APIキー、クラウド認証情報、サービストークン、管理者用シークレットを含む
• AI・オーケストレーションシステムのセグメント化：データベース、CI/CDプラットフォーム、クラウド制御プレーンからの分離
• 過去の悪用の痕跡調査：不審な認証、コマンド実行、リバースシェル、認証情報アクセス、クリプトマイニングの有無を確認
• インシデント対応計画のテスト：封じ込め、認証情報のローテーション、フォレンジックログ記録、エスカレーション、復旧の各プロセスを確認

侵害を受けたSMA1000アプライアンスについて、SonicWallは侵害の兆候(IoC)を確認し、必要に応じてシステムの再イメージ化や再デプロイ、ユーザーおよび管理者のパスワードとTOTPトークンのリセットを行うよう推奨しています。

関連記事: 最近発生した実際の侵入事例から見る、攻撃者による偵察、認証情報窃取、侵害後の活動でのAI活用実態