ハッカーは脆弱性を35分で悪用、CrowdStrikeが調査で確認

セキュリティ研究者は、防御側が脆弱性を理解できるようにエクスプロイトコードを公開しています。しかし攻撃者も同じ情報を読んでおり、セキュリティチームがリスク評価を終える前に悪用を始めるケースがあります。

CrowdStrikeの新たな調査によると、ある事例では、公開PoC（概念実証）コードが利用可能になってからわずか35分で、脆弱性が悪用されました。

同社が2026年1月から7月にかけて悪用を確認した脆弱性のうち、公開PoCが存在したものの91%は、PoC公開から48時間以内に攻撃を受けていました。悪用までの所要時間の中央値は1日未満でした。

11月5日に公表されたこの調査結果は、セキュリティチームが直面する課題の深刻化を示しています。公開された脆弱性研究が、パッチ未適用のシステムに対する攻撃を加速させかねないためです。

CrowdStrike、悪用は数時間以内に始まると指摘

CrowdStrikeは 脆弱性の武器化タイムラインの分析で、同社のCounter Adversary Operationsチームが2026年1月から7月にかけて確認した悪用事例を調べました。

同社は次の3点を主な調査結果として報告しています。

これらの数値は、CrowdStrikeが攻撃者による悪用を確認し、かつ公開PoCが存在した脆弱性に関するものです。公開されたすべての脆弱性の91%が悪用されたという意味ではありません。

CrowdStrikeが以前公表した 2026年版脅威ハンティングレポートでは、1月から6月にかけて、公開PoCが存在し悪用が確認された脆弱性の88%が、48時間以内に攻撃されていました。

今回の分析は、観測期間を7月まで延長したものです。

CrowdStrikeによると、公開されたセキュリティアドバイザリ、技術解説、スキャンツール、エクスプロイトの実例は、攻撃の開発に必要な労力を減らします。

経験の浅い攻撃者は既存のコードを流用でき、より高度なグループは公開された研究を使って作戦を加速できます。

cPanel、Linux、Fortinet製品に関わる3つの事例は、攻撃者がこうした情報をどのように活用しているかを示しています。

cPanelの脆弱性、公開研究が攻撃を加速させる実態

1つ目の事例は、cPanel、WebHost Manager（WHM）、WordPress Squaredの一部バージョンに影響する認証バイパスの脆弱性「CVE-2026-41940」です。

この脆弱性により、認証されていないリモートの攻撃者が、影響を受けるコントロールパネルに不正アクセスできる可能性があります。

CrowdStrikeは次のようなタイムラインを記録しています。

CrowdStrikeが公開された検知アーティファクト生成ツールを分析したところ、わずかなコード変更で実際に動作するエクスプロイトに転用できることが判明しました。

改変後のコードはrootパスワードを変更でき、攻撃者がroot権限でWHMターミナルにアクセスすることが可能になります。

同社によると、その後に観測した悪用の大半、あるいはすべてが、公開された研究に記載の手法に沿っていました。

一方で、遡及調査の結果、単独の攻撃者が少なくとも4月3日からゼロデイとしてこの脆弱性を悪用していた可能性が高いことも判明しました。

CrowdStrikeは、この攻撃者が最初にどのように脆弱性を発見し、エクスプロイトを入手したのかまでは特定できていません。

この違いは重要です。最初の攻撃が公開をきっかけに始まったとは限りませんが、CrowdStrikeの調査結果からは、その後の技術情報の公開が悪用の拡大を後押ししたことがうかがえます。

同社は、複数の攻撃者が同じ脆弱なcPanelシステムを標的にすることもあり、アクセスの奪い合いが起きていたと報告しています。

ベラルーシ関連のハッカー、1日以内にLinuxエクスプロイトを改変

2つ目の事例は、Linuxのローカル権限昇格の脆弱性で、「CVE-2026-31431」として追跡されている「CopyFail」です。

研究者は4月29日に技術的な詳細とPoCコードを公開しました。

この脆弱性はLinuxカーネルのメインラインでは修正済みでしたが、CrowdStrikeによると、主要なLinuxディストリビューションの多くにはまだ修正が届いていませんでした。

同社の研究者は、当時フルパッチ適用済みだったUbuntu 24.04システムに対して、このエクスプロイトが機能することを確認しています。

4月30日までに、CrowdStrikeはベラルーシ関連の脅威アクター「UMBRAL BISON」が、公開エクスプロイトの改変版をウクライナの政府機関に対して使用していることを確認しました。

この攻撃では、Webサーバーのアカウント「www-data」からrootへ権限が昇格されました。

昇格した権限を使い、攻撃者はMythicフレームワークに関連するPoseidon型のコマンド＆コントロール（C2）エージェントを展開しました。

CrowdStrikeによると、このエージェントは実行された時点で、同社のFalconセンサーによって停止されました。

攻撃者は、元のPoCにも手を加えて有効性を高めていました。

CrowdStrikeによると、主な変更点は次のとおりです。

• 実行時評価：エクスプロイトの主要ロジックを実行時に評価される文字列に移し、一部の静的解析手法を効きにくくしました。
• エラー処理：構造化されたエラー処理を追加し、信頼性を高めました。
• 実運用への適応：公開コードを、実際の標的への攻撃に使えるよう改変しました。

この事例は、攻撃者がエクスプロイトをゼロから開発しなくても、既存の研究を1日以内に転用できることを示しています。

イラン関連の攻撃者、改変版Fortinetエクスプロイトを保有

CrowdStrikeは、Fortinet FortiOSとFortiProxyに影響する認証バイパスの脆弱性「CVE-2024-55591」を狙う改変版エクスプロイトも確認しました。

2026年2月、研究者はイラン関連の脅威アクター「STATIC KITTEN」が管理する、公開状態のディレクトリを発見しました。

このディレクトリには、2万を超えるファイル、約1.9GBのデータが含まれており、その中にはFortinetの脆弱性に対する公開エクスプロイトの改変版もありました。

2025年1月に公開された元のPoCは、ユーザーが指定した単一のコマンドを実行する設計でした。

改変版には13個のハードコードされたペイロードが含まれており、次のような追加の操作を実行するよう設計されていました。

• ユーザーアカウントとグループの列挙
• 管理者アカウントの作成
• アクセス権限の変更
• バックドアアカウントによる永続的なアクセスの確立

一部のペイロードは昇格した権限を持つアカウントを作成しており、攻撃者が侵害したシステムへのアクセスを維持できる可能性があります。

ただし、CrowdStrikeは、STATIC KITTEN自身がエクスプロイトを改変したのか、改変済みのコードを別の場所から入手したのかは特定できていません。

また同社は、他の脅威アクターがこの改変版エクスプロイトや、それをホストするインフラを使用している形跡は確認していないとしています。

cPanelやCopyFailの事例と異なり、Fortinetの事例では、改変されたコードが実際の侵入で使われたことまでは確認されていません。

それでも、公開エクスプロイトが実証用のツールから、不正アクセスや永続化に関わる複数の機能を備えたコードへと拡張され得ることを示しています。

AIがエクスプロイト開発をさらに高速化する可能性

CrowdStrikeは、人工知能（AI）が脆弱性の発見と悪用をどのように加速させ得るかも検証しました。

同社は、攻撃者が脆弱性の分析、エクスプロイトコードの改変、他者が公開したAI支援のセキュリティ研究の取り込みに、AIツールをますます使うようになると予想しています。

同社は、次の3つの手法が考えられると指摘しています。

• 高度なAIモデルの安全対策を回避し、攻撃面での支援を引き出す
• オープンウェイトモデルを改変し、安全対策を弱める、または取り除く
• セキュリティ研究者が公開した、AI支援による脆弱性研究を再利用する

一方でCrowdStrikeは、特定のエクスプロイトにAIが直接関与したかどうかを見極めるのは依然として難しいと認めています。

整理されたコード、豊富なコメント、既存PoCの改良はAI支援をうかがわせますが、経験豊富な人間の開発者でも同様の成果物を作れるためです。

同社は、AIの支援があったとされる研究の例として、CopyFailと、「wp2shell」として知られるWordPressの脆弱性を挙げています。

ただし、これらの報告は、CrowdStrikeが取り上げた事例の攻撃者が侵入時にAIを直接使ったことを裏付けるものではありません。

より差し迫った懸念は、人間が開発したか、AIの支援を受けたかを問わず、入手しやすくなった脆弱性研究が、動作するエクスプロイトの作成に要する時間を短縮し得ることです。

パッチ適用の猶予が縮む中、セキュリティチームがすべきこと

CrowdStrikeの調査結果は、深刻度スコアと定期的なパッチサイクルを主な拠り所とする脆弱性管理のあり方に疑問を投げかけています。

共通脆弱性評価システム（CVSS）のスコアが高いことは技術的な深刻度を示しますが、攻撃者が実際にその脆弱性を悪用しているかどうかまでは示しません。

組織は、公開エクスプロイトの有無、露出状況、悪用の容易さ、攻撃者の活動の痕跡も考慮する必要があります。

防御側にとって、この調査は次のような優先事項を示しています。

これらの対策でも、エクスプロイトコードの公開から数分後に始まる攻撃を確実に防げるわけではありません。

ただ、リスクの高い露出箇所をより早く特定し、恒久的な修正を展開するまでの間に攻撃者に与える機会を減らすのには役立ちます。

パッチを適用する前に悪用が始まってしまう場合に備え、検知・対応の能力も重要です。

公開された脆弱性研究が生むセキュリティ上のトレードオフ

公開された脆弱性研究は、防御側がソフトウェアの弱点を理解し、防御策を検証し、修正を開発するうえで、今後も欠かせません。

しかし、同じ技術的詳細は、攻撃者に再利用可能なコードや悪用のガイダンスを与えることにもなります。

CrowdStrikeの調査結果は、この問題の両面を示しています。

cPanelの事例は、公開された研究が、すでに始まっている悪用を加速させ得ることを示唆しています。CopyFailの事例は、攻撃者が新たに公開されたPoCをいかに素早く改変できるかを示し、Fortinetの事例は、既存のエクスプロイトコードに追加の機能を持たせて拡張できることを示しています。

この調査結果は、研究者が脆弱性情報の公開をやめるべきだと主張するものではありません。むしろ、協調的な開示、迅速な修復、そして迅速な悪用を想定した検知能力の重要性を裏付けています。

セキュリティチームにとっての最大の教訓は、新たに公開されたPoCを、自社の露出状況を評価すべき緊急のシグナルとして扱うことです。

次の定期パッチサイクルが始まるころには、攻撃者がすでにそのコードを使っているかもしれません。

その他のニュース：ハッカーがサードパーティ供給元への侵害を通じて、フランスの血液バンク3施設の冷蔵設定を操作しましたが、血液製剤に損傷が出る前に監視システムが変更を検知しました。