Citrix機器への攻撃やBitgetの不正流出など、直近のサイバーセキュリティ動向まとめ

要点

• CitrixのNetScaler ADCおよびGatewayに深刻な脆弱性が確認され、すでに活発な悪用が発生している。

• 暗号資産取引所Bitgetが約3億8700万ドル規模の不正流出被害を受け、ビットコインの出金を段階的に再開した。

• コードや文書の仮置き用ドメイン「third-party.com」が悪意ある第三者に取得され、約1,700件のリポジトリが攻撃インフラを参照する状態になっていた。

• macOS向けマルウェア「PamStealer」が、C2サーバーとの通信を必須とする新たな解析妨害機能を導入した。

• Microsoft 365の未管理サービスアカウントを標的とした攻撃キャンペーンにより、チリの金融機関や小売企業のアカウントが侵害された。

• 海外のサイバーセキュリティメディア「The Hacker News」は2026年9月28日、直近で確認された重大な脅威やセキュリティインシデントをまとめた週次レポートを公開した。ネットワーク機器の脆弱性を突く攻撃や暗号資産取引所からの巨額流出に加え、開発時の前提や管理不備を突いた攻撃が複数報告されている。同レポートが報じた主な事象の詳細は以下のとおりだ。

Citrixの「NetScaler」に悪用が確認された脆弱性、CISAが迅速な対応を要請

Citrixは、同社のネットワーク製品「NetScaler ADC」および「NetScaler Gateway」に存在する複数の脆弱性に対処するセキュリティパッチをリリースした。対象には「CVE-2026-88771」および「CVE-2026-88772」が含まれており、すでに実際の攻撃において活発に悪用されているという。

CVE-2026-88771は不適切な入力検証に起因する脆弱性で、認証を受けていない攻撃者が任意のコマンドを実行できる恐れがある。また、CVE-2026-88772が悪用された場合、リモートからのコード実行やサービス運用妨害（DoS）につながる可能性があると説明されている。米サイバーセキュリティ・インフラセキュリティ庁（CISA：米国の重要インフラや連邦政府のサイバー防衛を担う機関）は、脅威アクターが世界規模でこれらの脆弱性を悪用していると指摘し、連邦機関に対して期限内に修正パッチを適用するよう強く促している。

暗号資産取引所Bitget、3億8700万ドル超の不正流出後にビットコイン出金を再開

暗号資産取引所のBitgetは、北朝鮮のハッカー集団によるものとみられる不正アクセスを受け、3億8700万ドル以上の資産を盗難された後、ビットコインの出金を段階的に再開したと発表した。

同社の発表によると、協定世界時（UTC）の2026年9月24日18時31分に、社内のセキュリティシステムが一部のホットウォレット（インターネットに常時接続された暗号資産の管理環境）からの不正な送金を検知したという。オフラインで保管されているコールドウォレットや、プラットフォーム上に預けられている大部分の資産については安全が保たれており、影響はないとしている。また、暗号資産メディアCoindeskが公開したリアルタイムの資金追跡データによると、CircleおよびTetherの両社が、今回のハッキングに関連する33万9,100ドル相当のステーブルコイン（法定通貨などと価値が連動するよう設計された暗号資産）を凍結したことが分かっている。

仮置き用ドメイン「third-party.com」が悪用、約1,700のリポジトリに影響

ドキュメントやテストコードの仮置き用（プレースホルダー）として長年慣例的に使われてきたドメイン「third-party[.]com」が第三者によって取得され、悪意ある誘導に利用されていることが判明した。

セキュリティ企業のManifold Securityによると、広く知られる「example.com」とは異なり、third-party[.]comはIANA（インターネットのドメイン名やIPアドレスなどを管理する国際機関）によって保護・予約されたドメインではなかった。そのため、誰でも自由に取得できる状態になっており、何者かが実際に取得して攻撃インフラへと転用したという。このドメインはWindows環境のブラウザに対して「ClickFix」と呼ばれる悪意ある誘導を行い、それ以外の環境には無害なダミー画面を表示する挙動が確認されている。同社によれば約1,700件のリポジトリでハードコードされていたとされ、現在はVirusTotalやGoogle Safe Browsingにおいて危険なサイトとして登録されている。同社はさらに、同様に予約されていない仮置き用ドメイン13件を特定しており、そのうち「yoursite[.]com」と「your-domain[.]com」の2件は、macOSの利用者に対して詐欺やスケアウェアを配信していたと報告している。

macOS向けマルウェア「PamStealer」、サーバー側復号による解析妨害を追加

macOSを標的とするマルウェア「PamStealer」の新しい亜種において、解析を困難にする新たな手法が組み込まれていることが明らかになった。

セキュリティ企業のJamfによると、最新の検体は従来と同様にJXA（JavaScript for Automation：macOS上で自動化スクリプトを実行する機能）によるドロッパー（マルウェア本体を呼び込むプログラム）を使用しているものの、おとりファイルや配信手法に変更が加えられている。従来の亜種ではJXAのソースコード内に直接暗号鍵が埋め込まれていたが、今回の亜種では専用の復号ユーティリティをダウンロードし、攻撃者のC2サーバー（遠隔操作サーバー）と鍵交換を行ってからメインのペイロードを展開する仕組みへ変更された。これにより、攻撃者側のサーバーが応答しない限り、静的解析によってペイロードを復元することは不可能になっているという。

サービスアカウントの不備を突く「UNK_CondorFiltration」キャンペーン

Microsoft 365環境のアカウントを標的とした攻撃キャンペーン「UNK_CondorFiltration」が確認された。

セキュリティ企業のProofpointによると、この攻撃は「TeamFiltration」ツールを悪用したもので、28のテナントにわたる5,700以上のアカウントが標的となった。主にチリの小売業者や金融機関が対象となり、攻撃元として1,487個のAWS EC2インスタンスのIPアドレスが使用された。攻撃は2026年7月下旬から8月にかけて3回に分けて展開され、最終的に7件のアカウントが侵害された。侵害されたアカウントはいずれも個々の従業員が使うアカウントではなく、機能用やサービス用の非人間アカウント（システム連携や自動処理用のアカウント）であり、初期設定のまま変更されていないパスワードが使われ、多要素認証（MFA）も設定されていなかったと報告されている。