攻撃者は、インターネットに公開されたVite開発サーバーを標的に、環境ファイルやクラウド認証情報、インフラ構成情報を狙った走査を行っています。
攻撃者はソフトウェア開発者を狙う新たな攻撃経路を開拓しています。標的となっているのはViteサーバーで、クラウド認証情報やインフラ構成情報、環境ファイルといった機密データを狙って探索が行われています。
Viteはもともと、ユーザーインターフェイスやWebアプリケーションを構築するためのJavaScriptフレームワークであるVue向けのビルドツールとして開発されましたが、現在ではJavaScriptエコシステム全体で広く使われる開発サーバー兼ビルドツールとなっています。
F5 Labsの報告によると、攻撃者は自社のハニーポットネットワーク上で、公開状態のViteサーバーに対して32,000回を超えるスキャン試行を行い、これらは807件の攻撃(セッション)にまとめられました。この件数は、8月単月で計測されたものであり、それ以前の3か月間の試行件数がわずか1,732件だったことと比べると急増しています。
F5の脅威リサーチャーであるAdam Metcalfe-Pearce氏は、F5のブログへの投稿の中で、「このスキャン群は単一のファイルを狙うのではなく、環境ファイル、AWSキー、Azureトークン、Infrastructure-as-Codeのステートファイルに関する広範なワードリストを体系的に巡回していました」と述べています。
F5によると、Viteは通常localhostにバインドされますが、開発者が「–host」オプションやサーバー設定、コンテナのポートマッピング、その他の設定ミスによって外部に公開してしまうケースがあるといいます。
ファイルアクセス制限の回避を狙ったスキャン
今回の活動は、最近公開された脆弱性を標的としたもので、この脆弱性を悪用すると、未認証の攻撃者がViteのファイルアクセス制限を回避し、ホストシステムからファイルを取得できてしまいます。CVE-2026-39364として追跡されているこの脆弱性は、機密ファイルへのアクセスを防ぐために使われている「server.fs.deny」の拒否リスト保護を迂回できるというものです。
Metcalfe-Pearce氏は、「?raw、?import&raw、?import&url&inlineといった特定のパラメータがリクエストに付加されると、サーバーは拒否リストによるフィルタリングを適用できず、対象ファイルをHTTP 200応答として返してしまいます」と説明しています。
一部のリクエストでは二重エンコードされたパストラバーサルも使用されており、F5はこれについて、リバースプロキシやWebアプリケーションファイアウォール(WAF)といったセキュリティ対策を回避しようとする試みを示すものだと指摘しています。
この脆弱性の深刻度はCVSS 8.2と評価されており、Vite 7.1.0から7.3.2より前のバージョン、およびVite 8の8.0.5より前のバージョンが影響を受けます。
F5は、Viteをパッチ適用済みのバージョンへ更新すること、公開された可能性のある機密情報をローテーションすること、開発サーバーが外部インターフェイスにバインドされないようにすること、そしてDocker、Kubernetes、クラウドの設定を監査し、開発用ポートが公衆インターネットに公開されないようにすることを推奨しています。
同ブログでは、攻撃者がこれらの攻撃で使用していたディレクトリと認証情報のワードリストも整理して公開されています。
Viteはより広範なスキャンパターンの一部
F5はまた、攻撃者がCVE-2026-39364を、CVE-2025-30208、CVE-2025-31125、CVE-2024-45811といったより古いViteのファイルアクセス脆弱性と組み合わせて悪用していることも確認しています。同じスキャンインフラは、Next.jsのミドルウェアバイパスについても探索を行っており、この活動が単一のフレームワークに限定されたものではないことを示しています。
同社はブログ投稿の中で、CVE-2025-31125を除き、これらのCVEはいずれも現時点ではCISAの既知悪用脆弱性(KEV)カタログに掲載されていないとも指摘しています。
F5は8月、Viteで最近発見された脆弱性を狙った攻撃の急増を観測したものの、同社のハニーポットに対する攻撃件数の上位3件には入りませんでした。上位3件はいずれもさらに古い脆弱性です。CVE-2017-9841は、PHPUnitに存在するほぼ10年前の深刻なリモートコード実行の脆弱性で、記録された攻撃件数4,201件で首位を維持しました。これに続いたのが、WordPressプラグインを有効なZIPファイルとして検証できない不備を突くCVE-2018-14028(4,102件)、そしてNoneCmsにおけるThinkPHPのリモートコード実行の脆弱性であるCVE-2018-20062(3,482件)でした。
Shwetaは2017年から企業向けテクノロジーについて執筆しており、直近ではCSO onlineでサイバーセキュリティを担当しています。ランサムウェアからゼロトラストアーキテクチャに至るまで、専門家にも一般読者にも分かりやすいよう複雑なトピックを解きほぐして伝えています。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得しており、サイバー脅威の分析に取り組んでいない時間は、フィクションを読んだり、映画を観たり、新しいレシピに挑戦したりして過ごしています。
