デイリーブリーフィング
Node2Shell RCE、未パッチPHPアドバイザリ、およびPython Pillowの脆弱性
本日のブリーフィングでは、Node.jsとPython Pillowにおけるリモートコード実行のリスク、パッチ未適用のPHP設定に関する勧告、およびウクライナで使用されているメッシュネットワークのバックドアについて取り上げます。
5件のニュース読了時間 1分
ウェブアプリケーションのランタイムと主要な依存関係が今日注目を集めており、Node.js、PHP、PythonのPillowイメージライブラリなどにおいて、新たなコード実行経路が次々と明らかになっている。ウェブプラットフォームを運用する組織は、これらのコアサーバーコンポーネントを監査し、速やかにアップデートを適用する必要がある。
同時に、標的型サイバー攻撃は、高度な持続的攻撃戦術を示している。脅威アクターであるSandwormとUAC-0099は、データ消去ツールと併せて斬新なメッシュネットワークバックドアを利用しており、重要インフラにおける非従来型のコマンド＆コントロールチャネルを監視する必要性を強調している。
Pythonの人気画像ライブラリ「Pillow」に重大な脆弱性があり、細工された画像を介してコード実行が可能になることが判明
PythonのPillowライブラリに重大な脆弱性（CVE-2026-112900）が存在し、EPS画像の処理時にリモートコード実行が可能になる。Pillowはファイル名を検証せずにGhostscriptに渡すため、細工されたファイル名によるコマンドインジェクションが可能となる。この脆弱性はPillowバージョン13.0.0で修正された。
- 重要な理由
- Pillowは、Webアプリケーション、画像処理ワークフロー、機械学習パイプラインなどで広く使用されており、信頼できない画像を処理するシステムをコマンド実行に晒してしまう。
ロシア関連のハッカーが、ウクライナへの破壊的な攻撃で新たなメッシュネットワークのバックドアを使用
ロシア政府支援の脅威グループSandwormは、UAC-0099と連携し、ウクライナの物流会社に対する破壊的な攻撃を実行した。UAC-0099は、MATCHWOKバックドアと新しいメッシュネットワークバックドアであるMythicRatatoskrを展開し、Yggdrasilを介して通信した後、Sandwormにアクセス権限を委譲してデータ消去を実行させた。
- 重要な理由
- 攻撃者は、破壊的なデータ消去プログラムを実行する前に検知を回避するため、Yggdrasilのようなメッシュネットワーク上の新しいC2インフラストラクチャを利用している。
研究者らが、細工されたBrotliデータを使用してNode.jsビルド上でNode2Shell RCEエクスプロイトを実証
研究者らは、公式のNode.js 24.22.0 Linux arm64ビルドに対するNode2Shellリモートコード実行エクスプロイトの動作を実証した。このエクスプロイトは、悪意のある圧縮データを渡して任意のコードを実行することで、Brotliデコーダの脆弱性（CVE-2026-111497）を悪用する。Node.js 24.22.1を含む修正版では、このペイロードは拒否される。
- 重要な理由
- 脆弱なNode.jsビルドを使用して信頼できないBrotli圧縮データを復号するアプリケーションは、リモートコード実行の危険にさらされます。
PHPが、緊急PHP2Shellパッチ適用から2日後に、別の未修正RCE脆弱性について警告を発した。
PHPは、session.serialize_handlerがphp_binaryまたはphp_serializeに設定されている環境に影響を与える、未修正のリモートコード実行（RCE）脆弱性であるCVE-2026-115560について警告を発しました。これは、CVE-2026-109618およびCVE-2026-109619に対する緊急パッチに続くものです。PHPは緊急パッチを発行しておらず、セッションアップロードの進行状況を無効にすることを推奨しています。
- 重要な理由
- 特定のPHPセッション設定オプションを使用するWebアプリケーションは、次回の定期アップデートまでリモートコード実行の脆弱性が残ります。
HPEは、AOSにおける最大深刻度のRCEおよび認証バイパスの脆弱性8件を修正しました。
BleepingComputerの検証ページはCloudflareのセキュリティ上の問題によりアクセスが遮断され、HPEによるAOSの脆弱性に対するパッチリリースに関する記事の詳細を取得できなかった。
要点
- Brotliデコーダの脆弱性CVE-2026-111497を介したリモートコード実行を防ぐため、Node.jsをバージョン24.22.1にアップデートしてください。
- ロシア関連の攻撃者は、データ消去攻撃を行う前に、Yggdrasilメッシュネットワークを介して通信するMythicRatatoskrバックドアを使用した。