← ブログに戻る

セキュリティブリーフィング 2026年4月19日: protobuf.js RCE、Mirai Nexcorium、Operation PowerOFF

今日のセキュリティブリーフィングは、公開 PoC が出た protobuf.js の重大なコード実行欠陥、TBK DVR と老朽ルーターを狙う Mirai 悪用、そして DDoS-for-hire エコシステムへの世界的摘発という3つの具体的シグナルを追います。

---

---

1. protobuf.js は緊急の依存関係対応対象になった

GHSA-xq3m-2v4x-88gg として追跡されている protobuf.js の重大欠陥は、攻撃者の影響を受けた schema をアプリが読み込むと、リモートコード実行につながる可能性があります。Endor Labs は、危険な動的コード生成により悪意ある識別子が生成関数へコードを注入できるため、悪用は比較的容易だとしています。このライブラリは多くの JavaScript スタック深部に入り込み、npm で週あたり約 5000 万ダウンロード規模です。

• 8.0.1 または 7.5.5 へ更新し、直接依存だけでなく推移的依存も確認する。
• schema の読み込みは信頼できない入力として扱い、本番では事前コンパイル済みまたは静的 schema を優先する。
• ユーザー提供の protobuf 定義をデコードするアプリでは、シークレット、データベース、内部サービスまで影響範囲に入ると考える。

---

2. Mirai 運用者は古い IoT 機器をまだ刈り取っている

Fortinet によれば、Mirai 亜種 Nexcorium は TBK DVR の CVE-2024-3721 を悪用し、そこに総当たりや古い Huawei 向け攻撃ロジックを組み合わせています。Palo Alto Networks はサポート終了済み TP-Link ルーターへの試行も観測しました。教訓は変わりません。パッチ運用と資格情報衛生が崩れた古い公開機器は、安価な botnet 在庫になります。

• 影響を受ける TBK DVR は直ちに修正または隔離し、未サポートの TP-Link 機器は置き換える。
• デフォルト認証情報、Telnet 露出、cron や systemd による不審な永続化を監査する。
• 公開された監視機器や拠点機器を、受動的インフラではなく能動的な侵入口として扱う。

---

3. Operation PowerOFF は DDoS-for-hire のコストを引き上げた

Europol 支援の Operation PowerOFF は 53 ドメインを差し押さえ、300 万件超の犯罪アカウントに関連するデータベースを確保し、7.5 万超の顧客が使っていたサービスを標的にしました。重要なのは、DDoS が消えたことではありません。booter インフラへの圧力が高まり、移行、報復、短期的ノイズが起こり得ることです。

• 代替事業者、新規登録パネル、Telegram 再販チャネルへの短期移動を監視する。
• この摘発後に恐喝や “stress test” の名目が出た場合は、ログと顧客連絡を保全する。
• 次の模倣サービスが空白を埋める前に、レート制限、上流フィルタ、インシデント連絡先を見直す。

---

セキュリティチームが今日やるべきこと

1. インターネット公開またはマルチテナントの JavaScript サービスで、protobuf.js の露出を最優先で修正する。
2. 弱い認証情報や Telnet でまだ到達可能な DVR、ルーター、機器の棚卸しを行う。
3. PowerOFF 後に DDoS 監視しきい値の一時調整が必要か、ネットワークと SOC に確認する。
4. 経営陣には簡潔に伝える。依存関係リスク、IoT botnet リスク、DDoS 市場変動は別問題であり、別オーナーが必要だと。

---

Bottom line: 要点: 今日の脅威像は、スタックの問題、エッジの問題、そして市場の問題が同時に重なっています。ライブラリを直し、機器を片付け、摘発が静かなネットワークを意味すると考えないことです。