ownCloudの重大な脆弱性が悪用されフィリピンの原子力機関からデータ流出——米CISAが警告リストに追加

要点

• 米CISAは、ファイル共有ソフトウェア「ownCloud」の重大な認証バイパス脆弱性（CVE-2023-49105）を悪用確認済み脆弱性カタログに追加した。

• 中国語話者の脅威アクターが同脆弱性を悪用し、フィリピンの原子力研究機関から原子炉や核燃料に関する機密情報など計372MBを盗み出していた。

• 脅威インテリジェンス企業Hunt.ioが攻撃者の公開サーバーを解析したことで、サイバー攻撃の詳細な手口が判明した。

• 攻撃者はさらに、フィリピン海軍の関連企業が運営するWebサイトに対してもWordPressプラグインの脆弱性などを突いて侵入していた。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間2026年8月27日、オンラインストレージソフトウェア「ownCloud」に存在する深刻な脆弱性が実際のサイバー攻撃に悪用されたとして、同庁の「悪用が確認された脆弱性（KEV）」カタログに追加した。セキュリティ企業Hunt.ioの調査報告によると、中国語話者の脅威アクターがこの脆弱性を突いてフィリピンの原子力研究機関に侵入し、原子炉や核物質に関する機密文書などを盗み出していたことが明らかになった。

悪用されたownCloudの認証バイパス脆弱性

今回CISAのKEVカタログに追加されたのは、CVE-2023-49105（CVSSスコア：9.8）として識別されるownCloudの脆弱性である。この脆弱性は、WebDAV API（Webブラウザや専用クライアントを介してサーバー上のファイルを編集・管理するための通信規約）における認証回避の不具合に起因する。

ownCloudのデフォルト設定では署名鍵（signing-key）が構成されていないため、攻撃者が標的組織内の有効なユーザー名さえ知っていれば、パスワードなどの認証情報を一切持たずとも、WebDAV経由で任意のファイルへのアクセス、改ざん、削除が可能になってしまうという。この問題は2023年11月にownCloud側から公表されており、影響を受けるのは「core」のバージョン10.6.0から10.13.0までで、バージョン10.13.1にて修正が行われていた。

公開サーバーの分析から判明した攻撃手法とインフラ

Hunt.ioの報告によると、同社は「31.58.209[.]241」というホスト上に、外部から閲覧可能なオープンディレクトリ（公開状態のフォルダ）が存在していることを特定した。このサーバー上には、独自に作成されたPythonスクリプトに加え、ペネトレーションテストや攻撃活動で広く使われる「Sliver」「Metasploit」「Mettle」などのオープンソースツールが配置されていた。

さらに、サーバー内に残されていたソースコードのコメントや関数説明（docstring）、ログの出力結果、盗み出したデータを分類するフォルダ名などに簡体字中国語が使用されていたことから、Hunt.ioはこの攻撃活動を中国語話者の脅威アクターによるものと特定している。

オープンディレクトリ内に確認された5つのカスタムPythonスクリプトは、いずれもCVE-2023-49105を悪用するように作られていた。空の署名シークレットを用いて事前署名付きURL（pre-signed URL）を生成することで、正規の認証情報を送信することなく、サーバー側に正当なユーザーからのアクセスとしてWebDAVリクエストを受理させる仕組みだったという。スクリプトのうち4つは特定のアカウントを個別に狙うもので、残る1つはWebDAVディレクトリを網羅的に走査し、ダウンロードの試行ログを記録する機能を備えていた。

盗み出された原子力関連の機密データと認証情報

攻撃者はこの手法を用いてフィリピンの原子力研究機関が運用するownCloudインスタンスから、合計176ファイル、約372MBに及ぶデータをダウンロードし、サーバー上の5つのステージングディレクトリに保存していた。

盗まれたデータには、極めて機微な情報が含まれていたとされる。具体的には以下の通りである。

• 核物質の管理および計量記録
• 2023年から2028年を対象期間とする戦略計画のドラフト文書
• 研究用原子炉の炉心コンポーネントに関する設計・技術資料
• 過去の核燃料インベントリ（在庫記録）およびプレゼンテーション資料
• 機関に所属する従業員の個人情報
• 勤怠・人事管理システム「ZKTeco BioTime」のデータベースから抽出された192MBのSQLダンプファイル
• Windowsの暗号化機能であるBitLockerの回復キー、パスワード管理ソフト「KeePass」のデータベース、暗号化ソフト「AxCrypt」で保護されたファイルなどの認証情報ストア

造船企業へのWordPress侵害と別の攻撃手口

Hunt.ioの調査では、原子力研究機関への攻撃と並行して、フィリピン海軍向けにサービスを提供する海洋工学・造船企業のWebサイトに対する侵入も確認された。

この造船企業のサイトに対しては、WordPress向けプラグイン「LiteSpeed Cache」の深刻な脆弱性（CVE-2024-28000、CVSSスコア：9.8）が悪用され、管理者権限の不正取得が行われていた。また、前述の公開サーバーには「brute_xmlrpc.py」というスクリプトも保管されており、WordPressの外部連携機能であるXML-RPCを悪用してアカウント情報を総当たりで推測するブルートフォース攻撃（総当たり攻撃）も仕掛けられていた。攻撃者は複数の侵入経路を使い分けていたとみられる。

さらに、当該WordPressサイトのソースコードを詳細に解析したところ、上述の攻撃とは直接関連しない可能性がある別の侵害活動も確認された。これは「EtherHiding」と呼ばれる手口で、Ethereumのスマートコントラクト（ブロックチェーン上で自動実行されるプログラム）から悪意あるHTMLを取得し、Googleの認証画面を装った偽ページを表示させるClickFix型の攻撃であった。この手口では、Windowsの標準機能「pcalua.exe」から「mshta.exe」を実行させ、VBScriptドロッパー（マルウェアをダウンロードして実行させるスクリプト）を感染させる挙動が確認されている。

補足

CISAが管理するKEVカタログは、実際にサイバー攻撃で悪用が確認された脆弱性を集約したリストであり、米国の連邦機関に対して定められた期限内のパッチ適用を義務付ける基準として広く活用されている。