最近のセキュリティ脆弱性インシデント、CVE情報、業界トレンドを紹介します。
最終更新:
ニュースを読み込み中...
Wiz Researchが、DeepSeek社のClickHouseデータベースが2つのサブドメインで認証なしに公開されていたことを発見。100万件超のログエントリに、平文のチャット履歴、APIシークレットキー、バックエンドの運用メタデータが含まれていた。攻撃者はサーバーから直接パスワードやローカルファイルを窃取できる状態だった。責任ある開示の後、DeepSeekはデータベースを直ちに保護。なお、1月27日にはAPIとWebチャットインターフェースに対する大規模DDoS攻撃も発生していた。
出典: Wiz Blog
攻撃者がDellのパートナーポータルに偽のパートナーアカウントを登録し、48時間以内にアクセスを取得。ポータルのAPIには認可チェックもレート制限も存在しなかった。攻撃者は3週間にわたり毎分約5,000リクエストを送信し、氏名・住所・サービスタグ・注文情報を含む4,900万件のレコードを窃取。データはハッキングフォーラムで販売された。
出典: BleepingComputer
Trelloの未保護REST APIが、メールアドレスによる未認証クエリを許可していたことを攻撃者が悪用。過去の漏洩データベースからメールアドレスを送信することで、1,500万件超のユーザープロファイル（メール、フルネーム、ユーザー名、ボード情報）をスクレイピングし、ハッキングフォーラムで公開。Atlassianはその後エンドポイントを制限。
出典: BleepingComputer
米政府効率省(DOGE)の職員が、xAIのプライベートAPIキーを含むスクリプト（agent.py）を公開GitHubリポジトリにコミット。このキーにより、4日前に作成された「grok 4-0709」を含む52以上のLLMモデルへの無制限アクセスが可能だった。GitGuardianが検知したが、キーの即時無効化は行われなかった。同様の漏洩は2025年5月にも発生していた。
ChatGPTの pictureproxy.php コンポーネントにおけるSSRF（Server-Side Request Forgery）脆弱性。未認証の攻撃者が細工したURLを注入し、サーバーに不正な内部リクエストを強制実行させることが可能。単一のIPアドレスから10,000件超の攻撃試行が記録され、標的の33%は米国組織（金融、政府、医療セクター）だった。認証不要で大規模に悪用可能な点が特に危険。
出典: SecurityWeek
CVE-2024-27564は、OWASPのAPI7（SSRF）に該当する典型的な例です。外部からのURL入力を受け取るAPIは、内部ネットワークへのアクセスを防ぐ厳格なバリデーションが必要です。OWASP Top 10 → API7 を参照。
Wallarmの2025 API ThreatStatsレポートによると、2024年に439件のAI関連CVEが記録され、前年比1,025%の増加。CISAの既知悪用脆弱性カタログ（KEV）の50%以上がAPI関連に。アクセス制御の不備は全体で40%増加し、重大な認可不備は36%増加した。
Wallarm 2025Salt SecurityのQ1 2025レポートによると、調査対象の99%の組織が過去12ヶ月間に少なくとも1件のAPIセキュリティ問題を経験。主要リスクはインジェクション攻撃とBOLA（認可の不備）で、全インシデントの3分の1以上を占めた。API攻撃の95%が認証済みセッションから発生。
Salt Security Q1 2025セキュリティ研究者が、30,000のPostmanワークスペースがセキュリティ管理なしに公開されていることを発見。ライブのAPIキー・アクセストークン・機密ペイロードが含まれ、多くが本番環境への直接アクセスを提供。開発者コラボレーションツールにおける「シャドウAPI」資格情報のリスクを示す事例。
Wallarm 2025ChatGPT、DeepSeekなどAI系APIの脆弱性が急増。プロンプトインジェクション、SSRF、データ露出が主な脅威。AIの急速な普及に対してセキュリティ対策が追いついていない状況。
BOLA（Broken Object Level Authorization）が依然として最も多い脆弱性。Dell、Trelloの事例に見るように、基本的な認可チェックの欠如が大規模データ漏洩につながる。
攻撃の95%が認証を突破した状態で発生。正規のアクセストークンを持つ攻撃者が、認可の不備を突いて横移動する手法が主流に。
GitHub、Postmanなどの開発ツールからのAPIキー漏洩が深刻な問題に。自動検出ツール（GitGuardian等）の導入と、シークレット管理の徹底が必要。
このページの情報は2025年の公開データに基づいています。最新の脆弱性情報は上記の参考リンクから確認してください。