2026年8月28日、The Hacker Newsは、ファイル共有ソフトウェア「ownCloud」の脆弱性CVE-2023-49105が、フィリピンの原子力研究機関を狙った実際のサイバー攻撃で悪用されたと報じました。攻撃では、特定の条件を満たすownCloud環境に対して認証を回避し、WebDAV経由でファイルが取得されたとされています。Hunt.ioの調査では、原子力関連資料や職員情報、認証情報などを含む176ファイル、約372MBのデータが取得されたと推定されています。これを受け、米国CISAは同脆弱性をKnown Exploited Vulnerabilities（KEV）カタログへ追加しました。
The Hacker News：ownCloud Flaw Exploited to Steal Nuclear Records From Philippine Research Body
この記事のポイント
影響のあるシステム
- ownCloud core 10.6.0〜10.13.0：CVE-2023-49105の影響対象として報告されています。
- signing-keyが設定されていないownCloud環境：被害対象ユーザーのユーザー名が知られており、signing-keyが設定されていない場合に悪用される可能性があります。ownCloudでは未設定がデフォルト構成とされています。
- WebDAVを利用するownCloud環境：脆弱性は、事前署名URLを利用するWebDAV APIの認証処理に関係しています。
- LiteSpeed Cache 6.3.0.1以前を使用するWordPress：別のフィリピン企業への侵入ではCVE-2024-28000が悪用されたと報告されています。
- WordPressのXML-RPCを外部公開している環境：同じ攻撃インフラから、認証情報を推測するブルートフォース用Pythonスクリプトも確認されています。
特に注意が必要なのは、CVE-2023-49105が2023年に公開された既知の脆弱性であるにもかかわらず、2026年の実攻撃で悪用が確認された点です。脆弱性が古いからといって攻撃対象にならないわけではありません。インターネットからアクセス可能なシステムでは、公開済み脆弱性への対応状況を継続して確認する必要があります。
推奨される対策
- ownCloud Serverのバージョンを確認し、影響を受けるバージョンを使用している場合は速やかに更新してください。
- ownCloud公式の最新セキュリティ情報を確認し、現在推奨されている修正版またはパッチを適用してください。
- signing-keyが未設定になっていないか、ownCloudの設定を確認してください。
- インターネットへ公開しているownCloudのアクセスログとWebDAVの通信履歴を確認してください。
- 身に覚えのない大量ファイル取得や不審なWebDAVリクエストがないか調査してください。
- 重要情報を保存している場合は、ユーザーアカウントや認証情報の侵害有無も確認してください。
- WordPressでLiteSpeed Cacheを使用している場合は、CVE-2024-28000の修正版へ更新してください。
- WordPressのXML-RPCが業務上不要な場合は、公開範囲や利用可否を見直してください。
ownCloud公式ではCVE-2023-49105への対策として更新が案内されています。古いownCloudを使用している場合は、単に設定変更だけで済ませず、公式に提供されている修正版やパッチを適用することが重要です。また、すでに脆弱な状態で外部公開していた環境では、更新だけで対応を終了せず、過去のアクセスログなどを確認し、侵害の有無まで調査することが推奨されます。
この記事に出てくる専門用語
- CVE-2023-49105：ownCloudのWebDAV APIに存在する認証回避の脆弱性です。被害対象となるユーザー名が分かっており、signing-keyが設定されていない場合、認証せずにファイルへアクセス、変更、削除できる可能性があります。CVSSスコアは9.8です。
- WebDAV：HTTPを拡張し、インターネットやネットワーク経由でサーバー上のファイルを閲覧、編集、管理できるようにする仕組みです。ownCloudでもファイルへのアクセスや同期に利用されています。
- 認証バイパス：本来必要となるユーザー名やパスワードなどによる本人確認を回避し、保護された機能や情報へアクセスする攻撃です。
- Pre-Signed URL：あらかじめ署名情報を付与することで、一定の条件下で認証処理を行わずに特定のファイルへアクセスできるようにするURLです。CVE-2023-49105では、この仕組みの処理に問題がありました。
- KEV（Known Exploited Vulnerabilities）：米国CISAが管理する、実際の攻撃で悪用が確認された脆弱性のカタログです。単に技術的な脆弱性が存在するだけでなく、現実の攻撃リスクが確認されたものが掲載されます。
- CVE-2024-28000：WordPress向けプラグイン「LiteSpeed Cache」に存在した権限昇格の脆弱性です。認証されていない攻撃者が管理者レベルの権限を取得できる可能性があり、CVSSスコアは9.8とされています。
- XML-RPCブルートフォース：WordPressが提供するXML-RPC機能に対して多数の認証情報を試し、正しいユーザー名とパスワードの組み合わせを推測しようとする攻撃です。
- EtherHiding：ブロックチェーン上のスマートコントラクトなどを利用して、攻撃に必要なデータや指示を取得する手法です。今回調査されたWordPressサイトでは、別の侵害としてEtherHidingを利用する仕組みも確認されたと報告されています。
2023年公開の脆弱性が2026年の実攻撃で悪用
CVE-2023-49105は、新たに発見されたゼロデイ脆弱性ではありません。ownCloudが2023年11月に公開した脆弱性で、CVSSスコアは9.8と評価されています。問題は、ownCloud coreのWebDAV APIで利用される事前署名URLの処理にあり、対象ユーザーのユーザー名が分かっており、そのユーザーにsigning-keyが設定されていない場合、攻撃者が認証なしでファイルへアクセスできる可能性があります。
ownCloudによると、影響対象はcore 10.6.0から10.13.0です。元記事では10.13.1で問題が修正されたとされていますが、ownCloudが現在公開しているセキュリティ案内では、CVE-2023-49105への対応として10.13.3へのアップグレードまたは専用パッチの適用が案内されています。したがって現在運用している環境では、「10.13.1以上だから問題ない」と独自判断せず、ownCloudの最新セキュリティ情報に従って更新することが安全です。
今回、この脆弱性が改めて注目された理由は、公開から約3年後に実際の侵害活動で利用されていたことが確認されたためです。CISAも2026年8月27日にCVE-2023-49105をKEVカタログへ追加しました。これは、既知の脆弱性を長期間放置することが、現実の情報窃取につながり得ることを示す事例といえます。
ユーザー名だけで認証を回避、WebDAVからファイルを取得
Hunt.ioの調査では、攻撃者が利用していたとみられる公開状態のサーバーから、CVE-2023-49105を悪用する5種類のPythonスクリプトが確認されています。これらのスクリプトは、ownCloud上の有効なユーザー名を把握していれば、実際のパスワードを入力することなく、そのユーザーとして受け入れられるWebDAVリクエストを生成できる仕組みだったとされています。
5つのスクリプトのうち4つは、それぞれ特定の1アカウントを対象としていました。残る1つにはWebDAVディレクトリを列挙し、ファイルのダウンロードを試行しながら結果を記録する機能が含まれていました。このことから、単に偶然アクセスできたファイルを取得したというより、対象となるデータを調査しながら継続的に収集するための仕組みが用意されていた可能性があります。
重要なのは、この攻撃では対象ユーザーのパスワードを事前に盗むことが必須ではなかった点です。ユーザー名を把握したうえで、脆弱な事前署名URLの処理を悪用することで、サーバー側から正規ユーザーによるアクセスのように受け入れられる可能性がありました。このため、パスワードを複雑にすることだけでは防げず、脆弱性そのものを修正するアップデートが必要となります。
176ファイル・約372MB、原子力関連資料や認証情報を取得か
Hunt.ioは、攻撃者がフィリピンの原子力研究関連組織から合計176ファイル、約372MBを取得したと推定しています。元記事によると、流出したとみられるデータには、核物質に関する記録、2023年から2028年までの戦略計画案、研究炉の炉心部品に関する資料、過去の燃料在庫、プレゼンテーション資料などが含まれていました。
技術資料だけではありません。職員の個人情報に加え、ZKTeco BioTimeの勤怠・人事データベースから取得された約192MBのSQLダンプも含まれていたとされています。また、BitLockerのキー、KeePassデータベース、AxCryptで暗号化されたファイルなど、認証や暗号化に関係するデータも保存されていたと報告されています。
このような情報が侵害された場合、影響は最初に取得されたファイルだけに限定されない可能性があります。たとえば認証情報や暗号鍵が含まれていれば、別のシステムや端末へのアクセスに悪用される可能性も考えられます。ただし、元記事ではこれらの情報を利用した後続攻撃が実際に行われたとは報告されていません。確認されている事実と、将来的に想定されるリスクは区別して捉える必要があります。
別のフィリピン企業ではWordPressの脆弱性も悪用
今回確認された攻撃活動は、ownCloudだけを対象としていたわけではありません。Hunt.ioが調査した同じ公開ディレクトリには、フィリピン海軍へサービスを提供する海洋エンジニアリング・造船企業から取得されたとみられるデータや攻撃ツールも残されていたと報告されています。この企業が管理するWordPressサイトでは、LiteSpeed CacheプラグインのCVE-2024-28000が悪用されたとされています。
CVE-2024-28000はCVSS 9.8と評価された重大な権限昇格の脆弱性で、影響を受けるLiteSpeed Cacheでは、認証されていない攻撃者が管理者レベルのアクセスを取得できる可能性があります。元記事ではこれに加え、「brute_xmlrpc.py」というPythonスクリプトも確認されており、WordPressのXML-RPCに対してアカウントの認証情報を推測する攻撃を実行する仕組みだったとされています。
つまり攻撃者は、特定のCVEだけに依存するのではなく、既知の脆弱性と認証情報へのブルートフォースという複数の侵入経路を用意していた可能性があります。組織側では「対象CVEを修正したから安全」と考えるだけでなく、公開サービス全体を対象に、古いソフトウェア、不必要なインターフェース、認証攻撃への耐性などを併せて確認する必要があります。
攻撃インフラから見えた複数のツールと中国語の痕跡
今回の調査のきっかけとなったのは、Hunt.ioがインターネット上で公開状態になっていた攻撃者側のディレクトリを発見したことでした。そこにはownCloudを狙うカスタムPythonスクリプトのほか、Sliver、Metasploit、Mettleといった既存の攻撃・セキュリティテスト用ツールが保存されていたと報告されています。さらに、被害組織から取得されたとみられるデータも同じインフラ上で確認されました。
Hunt.ioは、ソースコードのコメント、docstring、ログ出力、窃取したデータを分類するフォルダーなどに簡体字中国語が含まれていたことから、中国語話者による活動と評価しています。ただし、これはソースコードなどに残された言語上の痕跡に基づく判断です。元記事でも、攻撃者が国家機関に所属しているのか、外部委託を受けているのか、独立して活動しているのかまでは確定されていません。
サイバー攻撃の帰属判断では、使用言語だけで攻撃者の国籍や政府との関係を断定することはできません。そのため今回についても、「中国語話者とみられる攻撃者」という表現にとどめ、国家支援型攻撃であると断定しないことが適切です。一方で、原子力研究機関と海軍関連企業が標的となり、特定の情報が選択的に取得されていたことから、Hunt.ioは意図的な侵入活動だったと分析しています。
既知脆弱性は「公開された時点」ではなく「悪用されなくなるまで」がリスク
CVE-2023-49105は2023年に公開された脆弱性ですが、2026年にCISAのKEVカタログへ追加されました。これは、脆弱性の「古さ」と実際の攻撃リスクが必ずしも一致しないことを示しています。攻撃者にとって、インターネット上に脆弱なシステムが残っている限り、数年前に公開された脆弱性でも有効な侵入経路となる可能性があります。
CISAは、米国連邦政府のFederal Civilian Executive Branch（FCEB）機関に対し、CVE-2023-49105への対応期限を2026年8月30日としていました。現在ではこの期限を過ぎていますが、日本企業に同じ法的義務が課されるわけではありません。それでも、KEVへの掲載は「実際に悪用されている脆弱性」であることを判断する重要な情報として、脆弱性対応の優先順位付けに利用できます。
企業がownCloudを利用している場合は、まず製品とバージョン、外部公開状況を確認し、公式が推奨する最新版またはセキュリティパッチを適用する必要があります。さらに、脆弱な状態で公開していた期間がある場合は、WebDAVへのアクセス履歴、大量ダウンロード、不審なユーザー操作などを確認し、過去の侵害が発生していないか調査することも重要です。今回の事例は、パッチ管理と侵害調査を別々に考えるのではなく、実際の悪用状況に応じて両方を実施する必要性を示しています。
参考文献・記事一覧
- The Hacker News「ownCloud Flaw Exploited to Steal Nuclear Records From Philippine Research Body」
- ownCloud「WebDAV Api Authentication Bypass using Pre-Signed URLs」
- ownCloud「Immediate Action Required: Critical Security Updates for ownCloud」
- CISA「Known Exploited Vulnerabilities Catalog」
- Hunt.io「Philippine Nuclear Agency and Naval Contractor Targeted by Suspected Chinese-Speaking Operator Using Known Vulnerabilities」
- The Hacker News「Critical Flaw in WordPress LiteSpeed Cache Plugin Allows Hackers Admin Access」
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
