セキュリティ速報4 min read2026-04-29

セキュリティ速報、2026年4月29日：LiteLLMの秘密窃取、WindowsのPhantomRPC権限昇格、そしてVimeoのベンダー侵害

今日のパターンは嫌なほど一貫しています。信頼されたミドルウェア、信頼されたOS内部、信頼されたベンダーのすべてが、高いレバレッジを持つ破断点になっています。

要点： 今朝見るべきは3件です。モデル提供者の認証情報を直撃するLiteLLMの能動的悪用、PhantomRPCと呼ばれる未修正のWindows権限昇格経路、そしてサードパーティ侵害で顧客データが露出したとVimeoが認めた件です。

1. LiteLLMは公開から約36時間で秘密窃取の段階に入った

攻撃者は、LiteLLMのプロキシAPIキー検証フローにある事前認証SQLインジェクション CVE-2026-42208 を悪用しています。Sysdigは、プロバイダ資格情報、APIキー、環境シークレット、設定データを保持するテーブルに対する標的型クエリを観測しました。LiteLLMは複数のモデル提供者の前段に置かれることが多く、公開された1インスタンスがOpenAI、Anthropic、Bedrockなどへの踏み台になり得ます。

LiteLLM 1.83.7 以降へ直ちに更新してください。
インターネットに露出した脆弱インスタンスは侵害済みの可能性がある前提で、保存されたすべてのプロバイダキー、マスターキー、仮想キーをローテーションしてください。
すぐに更新できない場合でも、メンテナが示した暫定回避策を適用し、公開面を強く絞ってください。

2. PhantomRPCは、Windowsの権限境界がまだ信頼しすぎていることを示す

KasperskyのPhantomRPC研究は、Windows RPCにアーキテクチャ上の弱点があると説明しています。高権限クライアントが通信する前に、RPCランタイムはそのサーバーが正当かどうかを検証しません。侵害済みサービスは偽のエンドポイントを立て、高権限RPC呼び出しを待ち、呼び出し元をSYSTEMまで偽装できます。Microsoftはこれを中程度と分類し、すぐの修正を予定していないとされるため、防御側はPatch Tuesday待ちではなく代替統制を考える必要があります。

低権限サービスから露出する不自然なRPCエンドポイントを調査し、特にTermService、DHCP、Windows Time関連経路を確認してください。
どのサービスが偽装権限を持っているか、そして本当に必要かを見直してください。
すでにマルウェア、ポスト侵害ツール、多ユーザーWindows環境があるなら、ローカル権限昇格を軽視しないでください。

3. VimeoはAnodot侵害の実際の影響範囲を認めた

Vimeoによると、分析基盤Anodotの侵害後に、メールアドレス、技術データ、動画メタデータを含むデータベースへ攻撃者がアクセスしました。動画本体、有効なログイン資格情報、決済カード情報は含まれていないとしていますが、これは典型的なベンダー信頼問題です。分析連携はしばしば本番データの近くにあり、ベンダー侵害がそのまま実害になるからです。ShinyHuntersは今回の侵入を主張し、4月30日までに支払いがなければデータを公開すると脅しています。

顧客メタデータに触れるすべてのサードパーティ分析・サポート連携を棚卸ししてください。
サプライヤー侵害が起きたら、事後報告を待たずに資格情報を無効化またはローテーションしてください。
メタデータ露出に関する顧客向け説明を準備してください。攻撃者はそこからフィッシングや恐喝を作ります。

今日やるべきこと

まず公開AI基盤を優先し、その次にWindows内の危うい権限前提を締め、最後に誰も忘れていたが実質本番アクセスであるベンダー権限を再監査してください。共通の失敗は単一の脆弱性種別ではありません。接続部分への誤った信頼です。

ソース

LiteLLMの能動的悪用（CVE-2026-42208）に関する BleepingComputer。
KasperskyのPhantomRPC研究に関する SecurityWeek。
Anodot関連侵害に関する SecurityWeek と Vimeo の開示。