サイバーセキュリティニュース 2026年6月23日

オランダ当局によるロシア支援サーバー800台摘発、WordPress大規模サプライチェーン攻撃、AI基盤「Dify」の脆弱性、FFmpegの新欠陥「PixelSmash」など、今週も注目のセキュリティニュースをお届けします。

オランダ当局がサーバー800台を押収・2名逮捕：ロシアのサイバー攻撃・偽情報工作に加担

• オランダ当局が、ロシアのサイバー攻撃・影響工作・マネーロンダリングに使われていたホスティング会社2社の共同経営者2名を逮捕し、サーバー800台以上を押収
• この2社は「防弾ホスティング」と呼ばれる手口で、犯罪者が使う不正サーバーを当局の要請にも応じずに運営し続けていた
• ロシア国家が関与するAPTグループ（高度なサイバー攻撃集団）もこのインフラを活用していたとみられる
• 防弾ホスティングとは：サービス停止要請を無視して犯罪者に貸し続けるサーバー業者のこと。犯罪インフラの温床になっている
• 国際協調による摘発で、サイバー犯罪インフラへの圧力が高まっている

出典: Krebs on Security (2026/06/22)

WordPressプラグイン「ShapedPlugin」にバックドア：サプライチェーン攻撃で数万サイトに影響

• WordPressの人気プラグインを複数開発する「ShapedPlugin」社の製品が、サプライチェーン攻撃（供給経路への不正介入）によりバックドア（不正な裏口）を埋め込まれた
• 攻撃者は公式の配布経路（WordPress.orgのプラグインリポジトリ）を改ざんし、悪意あるコードを混入
• バックドアが有効化されると、攻撃者がWordPressサイトを遠隔操作できる状態になる
• 対象プラグインを使用しているサイト管理者はただちに最新版への更新と不審なファイルの確認が必要
• WordPressサイトは世界中のウェブの約43%を占めるため、サプライチェーン攻撃の影響が極めて広範になりうる

出典: The Hacker News (2026/06/22)

AI基盤「Dify」に4つの脆弱性「DifyTap」：他テナントのAIチャット内容が見えてしまう欠陥

• GitHubスター数14.6万以上のオープンソースAIエージェント基盤「Dify」に、4つの脆弱性（DifyTap）が発見された
• 悪意あるユーザーが別のテナント（他の企業・チーム）のAIチャット履歴や機密設定に密かにアクセスできてしまう欠陥
• テナント分離（テナントとは：サービスを利用する各組織のこと）の不備が根本原因
• AIツールをチームや組織で共有運用している場合、競合他社や外部攻撃者に会話内容が漏れるリスクがある
• Dify利用者はすぐにバージョンアップを確認し、最新版へ移行することが推奨される

出典: The Hacker News (2026/06/22)

FFmpegに「PixelSmash」脆弱性：Jellfinサーバーでリモートコード実行の恐れ

• 世界中で使われている動画処理ライブラリ「FFmpeg」に「PixelSmash」と名付けられた脆弱性が発覚
• ホームメディアサーバー「Jellyfin」など、FFmpegを組み込んだアプリでリモートコード実行（攻撃者が外部からコマンドを実行できる状態）が可能になるケースがある
• 悪意ある動画ファイルを処理させるだけで、サーバーが乗っ取られる可能性がある
• Jellyfin・Plex等のセルフホスト型メディアサーバーを使っているユーザーは、FFmpegおよびサーバーアプリの更新を早急に適用する必要がある
• FFmpegの修正版はすでに公開済み

出典: Bleeping Computer (2026/06/22)

「FortiBleed」詳細判明：カスタム盗聴ツールで認証情報を大量窃取

• FortinetのFortiGate（企業向けファイアウォール）を狙う「FortiBleed」キャンペーンの詳細が明らかになった
• 攻撃者はカスタム製の「スニファ（通信盗聴ツール）」を侵入済みのFirewallに仕込み、認証情報（IDやパスワード等の秘密情報）を継続的に抜き取っていた
• 攻撃は世界規模で展開されており、日本企業が使う FortiGate も対象
• 6月21日に取り上げた脆弱性そのものに加え、実際の攻撃手法の詳細が新たに判明した点が重要
• FortiGate利用中の企業はログを詳細に確認し、不審な通信がないか調査することが急務

出典: Bleeping Computer (2026/06/22)

新手ランサムウェア「Prinz Eugen」：身代金メモなし・最近のファイルを優先暗号化

• 「Prinz Eugen」と名付けられた新しいランサムウェア（身代金要求型ウイルス）が登場
• 従来のランサムウェアと異なり、身代金要求メモ（ransom note）をシステムに残さないという特異な挙動を持つ
• 最近更新されたファイルを優先的に暗号化する設計で、日常業務のデータを標的にする
• 身代金メモがないため感染に気づきにくく、被害拡大後に発覚するリスクがある
• バックアップ（複数世代・オフライン保存）の重要性が改めて浮き彫りに

出典: Bleeping Computer (2026/06/22)

カナダ諜報機関が「前例なき令状」でボットネット感染デバイスを遠隔除染

• カナダ安全保障情報局（CSIS）が、裁判所の許可を得て感染したサーバー・家庭用ルーター・IoT機器に直接リモートアクセスし、外国が運営する2つのボットネットを無力化した
• ボットネット（乗っ取られたデバイスの集合体）をインフラごと無効化する「前例のない令状」を使用
• プライバシーと安全保障のバランスをとりながら、民間のデバイスを当局が遠隔操作した初のケースとして注目される
• 感染デバイスの所有者（一般家庭を含む）への通知は行われた
• 各国政府によるボットネット対策が積極化しており、日本でもサイバー防衛法整備の議論が進んでいる

出典: The Hacker News (2026/06/22)

参考ソース

• Krebs on Security https://krebsonsecurity.com/
• The Hacker News https://thehackernews.com/
• Bleeping Computer https://www.bleepingcomputer.com/
• Wired Security https://www.wired.com/category/security/
• JPCERT/CC https://www.jpcert.or.jp/