セキュリティブリーフィング、2026年4月30日：SAP npmサプライチェーン・バックドア、cPanel認証バイパス、Linux Copy Fail rootバグ

今朝のテーマは単純です。信頼された基盤が汚染されると、攻撃者に派手な技巧は要りません。

---

---

1. SAP npm侵害は開発者とCIの秘密を直撃する

Cloud Application Programming Model と Cloud MTA に関連する4つのSAP公式npmパッケージに、悪意あるpreinstallチェーンが仕込まれました。BleepingComputer、Aikido、Socket によれば、このペイロードは Bun を取得し、難読化された stealer を実行して、GitHubトークン、npmトークン、SSH鍵、クラウド認証情報、Kubernetesシークレット、CI/CD環境変数を探します。さらに悪いことに、runner のメモリを直接吸い出し、盗んだトークンで自己拡散を試みるとされています。

• 侵害バージョンを即座に削除し、影響を受けたビルドホスト上の開発・CI・クラウド・GitHubシークレットをすべてローテーションしてください。
• 公開経路とCIトークン権限を再監査してください。長寿命のpublishトークンは相変わらず危険です。
• 成功したインストールは通常の依存更新ではなく、セキュリティインシデントとして扱うべきです。

---

2. cPanelの緊急認証バイパス修正は“後でやる作業”ではない

cPanel と WHM は CVE-2026-41940 向けの緊急更新を公開しました。これは深刻度 9.8 の認証バイパスで、最新のサポート版を除くほぼすべてのビルドに影響します。Namecheap はパッチ公開前に露出した管理ポートを一時遮断しており、ホスティング事業者がどれだけ深刻視していたかが分かります。cPanel が奪われればサイト、メール、DB、設定が取られ、WHM が奪われればサーバ全体とその全テナントが危険です。

• 今すぐ /scripts/upcp --force を実行し、ホストが本当に修正済みバージョンに到達したことを確認してください。
• 2083 や 2087 がまだインターネットに公開されているなら、パッチ適用を証明するまでアクセスを絞ってください。
• こうした管理パネルはすぐにスキャンされる前提で動くべきです。コントロールパネルの脆弱性は大規模に収益化しやすいからです。

---

3. Copy Fail は Linux 攻撃者に極めて単純な事後 root 経路を与える

The Register によると、新たな Copy Fail（CVE-2026-31431）は、非特権のローカルユーザーが任意の可読ファイルのページキャッシュに4バイトを書き込み、それを root 取得に変えられる脆弱性です。PoC は非常に小さく、従来のファイルイベント監視をすり抜けます。影響はラップトップにとどまりません。共有カーネルコンテナ、CI runner、マルチテナントLinuxホストこそ、初期侵入後にローカル権限昇格が本物の外部リスクになる場所です。

• Linux システム、とくに CI worker、共有サーバ、Kubernetes ノード、不審なコードをローカル実行し得るホストを素早くパッチしてください。
• これほど確実なローカル権限昇格は優先度を引き上げるべきです。Web RCE や盗難 SSH セッションがある環境で「ローカル限定」は怠惰な判断です。
• 不審な setuid 経路や、すでにこの脆弱性と連鎖できる最近の foothold を調査してください。

KENSAI は毎日、悪用可能な経路、運用上の影響、そして防御側が次に取るべき行動に焦点を当てたセキュリティブリーフィングを公開しています。