11バイトで枯れるサーバー、AIが1時間で書くエクスプロイト——静かな修正と大声の公開が同じ日に並んだ

Wed, 22 Jul 2026 00:00:00 +0900

はじめに

同じ日に、危険を「隠す側」と「あえて晒す側」が並んだ。OpenSSLはCVEすら振らずに黙って直し、Anthropicは自社AIの物騒な実力を大声で公開した。今日はこの対比を軸に、静かな修正から破られ続けるVPNまで5本を紹介する。

1. OpenSSL「HollowByte」——たった11バイトでサーバーのRAMが枯れる、CVEなしの静かな修正

まず今日いちばん背筋が凍った話から。TLS通信の入り口(ハンドシェイク)では、本体データが届く前に4バイトのヘッダが「これから送るサイズ」を自己申告する。脆弱なOpenSSLはこの数字を検証せずそのまま信じ、実データが到着する前に 最大131KB のヒープ(作業用メモリ領域)を先に確保してしまう。攻撃者がやることは、ヘッダでサイズを思い切り盛って、ほんの少しだけデータを送り、あとは接続を切る。それだけだ。しかもこれが、たった 11バイト で成立する。Oktaの発見レポートを読んだときは思わず二度見した(封筒に「全集在中」と大書きしておいて中身は葉書1枚、みたいな詐欺を思い出した)。

厄介なのはここからだ。OpenSSLはバッファをfree()するが、glibc(Linuxの土台にある標準Cライブラリ)は解放されたメモリをOSへ律儀に返さず、プロセス内で使い回すために抱え込む。そこへ大きさの異なる確保と解放を波状にぶつけられると、空き領域のサイズがうまく噛み合わなくなり、ヒープが虫食い状態になっていく。この穴はプロセスが終わるまで塞がらない。Oktaのレッドチームの検証では、1GBメモリのNGINXがメモリ不足(OOM)で強制終了し、16GBのシステムでも接続数の制限に引っかからないまま全体の25%が食い潰された。大量の接続は要らない、少しずつ積むだけで効く——ここが地味に怖い。

修正はOpenSSL 4.0.1・3.6.3・3.5.7・3.4.6・3.0.21に入り、宣言されたサイズを鵜呑みにせず、実際に届いた分だけ段階的にバッファを伸ばす方式へ切り替わった。ただし DTLSは今回の修正対象外で、今も未修正のまま 残っている。しかもCVE番号もセキュリティアドバイザリも発行されなかったため、一般的な脆弱性スキャナーではこの問題を検出できない。Red Hatなどのバックポート版だと、パッチ済みでもバージョン表記だけ見ると脆弱なままに見える場合があるというのも、実務では地味に厄介だ。そして世界のほとんどの管理者は、Oktaが7月16日に技術詳細を出し、7月18日にoss-securityメーリングリストで経緯が明かされるまで、この問題の存在すら知らなかった。この「サイレントパッチ」というやり方そのものに、コミュニティから強い批判が集まっている。防御側が自分の危険を知る機会を奪われた——今回いちばんの火種はそこだと思う。

2. Anthropicの実証実験——パッチが出てから1時間でAIがエクスプロイトを書き上げる

一転して、こちらは「隠す」の真逆をやったニュース。Anthropicのセキュリティチームは、まだ一般公開していない最新モデル「Claude Mythos Preview」に、パッチ差分・デバッグシンボル・逆コンパイル結果だけを与え、攻撃者と同じ条件でエクスプロイト(脆弱性を突いて実際に攻撃を成立させるコード)を自律生成させる実験を行い、その結果を自ら公表した。比較対象としてOpus 4.5・4.6・4.7・4.8とSonnet 4.6も並べ、計6種のモデルで検証している。

Firefox SpiderMonkeyの脆弱性18件を対象にした実験では、Mythos Previewが 18件中14件でPoCを達成(最速12分) し、 1時間以内に最初の完全なエクスプロイトを完成 させた。PoCというのは「ここを突けば確かに落ちる」と示すだけの試作コードで、そこから実際に使える攻撃コードへ仕上げる工程こそ、本来いちばん骨が折れるところだ。それが1時間である。しかもその完成品はFirefox安定版リリースの 18日前 に出来上がっていたというから、パッチが公開された瞬間には未修正ユーザーへの攻撃準備が整っている計算になる。Windowsカーネルの特権昇格脆弱性21件が相手でも21件中18件でPoCに到達し(最速31分)、低い権限からSYSTEM権限まで一気に駆け上がる完全なチェーンを8件組み上げた。かかった費用は8件合わせてAPIクレジット約$15,700。Microsoftが「悪用の可能性は低い」と評価していた脆弱性14件のうち、13件についてもMythos PreviewはPoCを生成できてしまった(そのうち特権昇格まで確認できたのは1件)。ベンダー側の「たぶん大丈夫」という楽観的な見立てが、AIの前ではあてにならなくなりつつある。

正直、この数字を最初に読んだときは「デモ用に条件を寄せた誇張じゃないか」と疑っていた。ただ、Anthropic自身が、攻撃者層の裾野が広がりつつあることや、パッチ公開後48時間は安全という従来の前提がもはや崩れていることへの危機感を示したうえで公表している以上、話半分に聞くわけにもいかない。Mozillaはこれを受けて、Firefoxのリリースサイクルを月次から週次へ移す対応を進めているそうだ。パッチが出た瞬間から攻撃が始まる前提で、日々の運用を組み直す時代がもう来ている。

3. NetworkManager 1.58——dhclientがついに引退、Androidの後を10年遅れで追いかけたCLAT

ここでいったん一息。NetworkManager 1.58が2026年7月20日にリリースされた。目玉は、開発元のISCがメンテナンスを畳んだ古典的なDHCPクライアント「dhclient」の正式削除だ。1.50系からずっと非推奨扱いだったので予告どおりの引退ではあるのだが、設定ファイルでdhcp=dhclientを明示指定していた環境はinternalかdhcpcdへの切り替えが必要になる。デフォルト設定(dhcp=internal)なら影響はないので、身構えなくて大丈夫だ。とはいえ、こういう「昔わざわざ明示指定して、そのまま忘れている一行」ほど後から刺さる。自分も検証機に書いたdhcp=dhclientの存在をすっかり忘れたまま何年も放置していたクチなので、この手の削除告知を見るたびに背中がかゆくなる。

もう一つの目玉は464XLAT CLATのeBPF実装だ。464XLATは、IPv6しか通らないネットワークでIPv4向けのアプリを動かすための仕組みで、1.58ではこれをeBPF(カーネルの中で小さなプログラムを安全に走らせる仕掛け)で実装した。Androidは2014年から当たり前に持っていたのに、Linuxのデスクトップ/サーバー側はずっと置いてきぼりだった。10年越しでようやく追いついた形になる。あわせて、端末上で使う設定画面nmtuiにvimスタイルの/検索とWi-Fi共有用のQRコードが入り、Wi-Fi 6GHz帯の帯域指定にも対応した。こういう地味な足回りの改善、個人的には結構好きだ。派手さはゼロだけど、長く使うものほどこの手の積み重ねが効いてくる。ちなみに、dhclientがMUD URLを設定ファイルへ書き込む際のサニタイズ不足に起因するローカル特権昇格の脆弱性CVE-2026-10805(CWE-78 OSコマンドインジェクション、CVSS v3.1で6.7 MEDIUM)も同時に修正されている。

4. Android AIエージェント5種、不透明度2%の文字が「見えない命令」になる

小休止のあとは、もう一段ゾッとする話に戻る。Simon Fraser大学などの研究チームが、arXiv:2607.00333(2026年7月1日投稿)で、AppAgent・AppAgentX・Mobile-Agent-v3・Open-AutoGLM・MobAという5つのオープンソースAIエージェントフレームワークに共通する7種の攻撃を実証した。核心は「不透明度がわずか2%——つまりほぼ透明で、人間の目にはまるで映らないテキストを、画面を読んでいるVLM(視覚言語モデル)は確実に読み取ってしまう」という一点だ。GPT-4oやClaude Opusを含む複数のモデルが不透明度2%の時点で20回中20回この文字を正確に読み取り、5%まで上げると試した全モデルが満点に達したという。人間の「見えない」とAIの「見えない」は全くの別物なのだと、あらためて思い知らされる話だ。

一番深刻なのは、フレームワークがADB(PCからAndroid端末を操作する開発者向けの仕組み)のコマンドを、ホストPC側のシェルへshell=Trueのまま渡してしまう実装だ。画面に仕込まれた偽の指示文がテキスト入力コマンドに紛れ込むと、セミコロンなどがシェルの記号として解釈され、ホストPC上で任意のコマンドが実行されてしまう。論文の検証では20回中20回成功したという。しかも必要な権限は「他アプリの上に描画する」程度で、一般的なアプリが普段から持っている範囲に収まる。特殊な権限昇格は要らない。著者らは論文投稿前にメンテナへメールで連絡を試みたが、2026年7月時点で「一切の応答を受け取っていない」と記しており、CVEも今のところ採番されていない。日常的に使われ始めているエージェント系ツールの足元が、思ったより脆い。後味の悪い一件だ。

5. PAN-OS認証バイパスをQilinが悪用中——VPNの「関門」が偽造クッキーで突破される

最後は現在進行形の被害の話で締める。Palo Alto NetworksのGlobalProtect VPNに存在する認証バイパス脆弱性 CVE-2026-0257(CVSS v3.1で 9.1 Critical 、v4.0で 7.8 High)を、ランサムウェアグループQilinが実際の攻撃に使っていることを、Arctic Wolf Labsが「Cookie Crumbles」というレポートで報告した。原因はCWE-565、つまり「中身を検証しないままクッキーを信用してしまう」という型の欠陥だ。GlobalProtectの「認証オーバーライドクッキー」を偽造するだけで、有効な認証情報を一切持たない攻撃者でも正規のVPNセッションを張れてしまう。VPNという境界そのものが、クッキー1枚の不備で無力化される構図だ。

タイムラインも容赦がない。パッチは5月13日に公開されたが、わずか 4日後の5月17日 にはRapid7が実害を確認している。米CISAは既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関には 3日間 という異例の短さで対応を義務付けた。Arctic Wolf Labsが追った侵入後の流れも生々しい。AnyDeskやNgrokなど複数のリモートアクセスツールで裏口を確保し、Windowsが認証情報を抱え込んでいるLSASSというプロセスのメモリを丸ごと吸い出してActive Directoryの認証情報一式を持ち去り、イベントログを消してDefenderを無効化したうえで、Veeamのバックアップ基盤をわざと狙ってからランサムウェアを展開する。復旧の逃げ道を先に壊してから金庫を開ける、というやり口だ。大企業や重要インフラで広く使われているVPNアプライアンスがこうして突破口になっている現実を見ると、「パッチを当てているかどうか」だけでなく「公開されてから当て終わるまでの数日をどう凌ぐか」まで含めて考え直す必要があると感じる。

まとめ

隠す側と晒す側、静かな修正と大声の公開——今日紹介した5本はどれも「情報が来ないと守れない」「情報が来ても速さで負ける」という同じ壁にぶつかっている。CVEなしのHollowByte、1時間でエクスプロイトを書くAI、4日で悪用されたPAN-OS。皆さんの職場では、パッチ公開から実際に適用が完了するまで、平均で何日かかっているだろうか。一度数えてみてほしい。

参考リンク

Oktaによる脆弱性発見レポート(HollowByte 技術詳細): https://sec.okta.com/articles/2026/06/openssl-hollowbtye-a-dos-hiding-in-11-bytes/
Anthropic公式研究発表(patch-to-exploit実証): https://www.anthropic.com/research/n-days
NetworkManager 1.58 公式リリースブログ: https://networkmanager.dev/blog/networkmanager-1-58/
arXiv:2607.00333 原著論文(Android AIエージェント攻撃): https://arxiv.org/abs/2607.00333
Arctic Wolf Labs「Cookie Crumbles」一次調査レポート: https://arcticwolf.com/resources/blog/exploitation-of-cve-2026-0257-leads-to-qilin-ransomware/

ランサムウェア on 思いつきそうで思いつかなくていたときに