セキュリティブリーフィング 2026年5月1日: CISAのWindows緊急命令、SAP/PyTorchサプライチェーン攻撃、cPanel 0-day、Copy Fail、Gemini CLI RCE

今朝の教訓は醜く、そして見慣れたものです。信頼されていた管理系や開発系の経路が汚染されると、攻撃者は洗練された手口すら不要になります。

---

---

1. CISAのWindowsパッチ命令は、これはもう「後回し可」の作業ではないことを示す

BleepingComputerによれば、CISAは実際に悪用されているWindows脆弱性をKEVに追加し、連邦機関へ期限付きの修正命令を出しました。シグナルは明快です。CISAが緊急対応を強制するなら、企業側は攻撃者がすでに実戦的な手口を持っていると見るべきです。

• まずインターネット公開、管理用途、高権限のWindows資産のパッチ状況を確認する。
• パッチ適用と並行して既存侵害の痕跡も探す。
• 未適用の例外には今日中に責任者を割り当てる。

---

2. SAP npmだけでも十分深刻だったが、PyTorch Lightningでキャンペーン拡大が見えた

The Hacker Newsによると、4月30日に公開された悪意あるPyTorch Lightning 2.6.2と2.6.3は、SAP関連の公式npmパッケージを狙ったMini Shai-Huludと同じ活動に結び付いています。マルウェアはGitHub、npm、SSH、クラウド、Kubernetes、CIの秘密情報を狙います。影響を受けた開発端末やrunnerは、単なる依存関係障害ではなくインシデントです。

• 侵害されたSAPとPyTorchのバージョンを即座に除去し、露出した秘密情報をすべてローテーションする。
• 公開フローとCIトークン権限を見直す。
• 開発者端末、自前runner、アーティファクト基盤も調査範囲に入れる。

---

3. cPanelとWHMはまだ実戦モードのまま

BleepingComputerとThe Registerはいずれも、cPanel/WHMの認証回避を重大・悪用中・緊急パッチ級と報じています。コントロールパネルの欠陥は、Webサイト、メール、データベース、時にはホスティング基盤全体に直結します。

• cPanelとWHMを今すぐ更新し、実際のインストール済みビルドを確認する。
• 検証中は管理ポートの公開範囲を絞る。
• ホストが公開されていたなら2月下旬以降の認証ログと管理変更を調べる。

---

4. Copy Failは「ローカルのみ」が怠惰な優先度付けだとまた証明した

The RegisterとThe Hacker Newsは、Copy Fail（CVE-2026-31431）を、ささやかなfootholdを主要Linuxディストリでrootに変えうるLPEと説明しています。低信頼コードがローカル実行できるCI、共有サーバ、踏み台、共有カーネルコンテナでは特に重要です。

• CIワーカー、マルチテナントサーバ、同種のLinuxホストでカーネル修正を優先する。
• 既存footholdや最近の不審アクセスを再評価する。
• setuidバイナリやroot遷移経路周辺の改ざんを確認する。

---

5. GoogleのGemini CLI修正はCVSS 10を塞ぐが、自動化を壊す可能性もある

The RegisterとThe Hacker Newsは、GoogleがGemini CLIと関連GitHub Actionsワークフローの最大深刻度コマンド実行欠陥を修正し、さらにCursorにもコード実行に至りうる問題があると報じています。運用上の面倒はあっても、ホストレベル実行経路を開けたままにするよりはましです。

• Gemini CLI関連を素早く更新し、CI/CDジョブをすぐ再テストする。
• リポジトリやPR制御コンテンツから設定を読み込む自動化を見直す。
• エージェント系ツールや開発自動化も他のbuild-time実行経路と同じ脅威モデルで扱う。

KENSAIは毎日のセキュリティブリーフィングで、悪用可能な経路、運用上の影響、そして防御側が次に取るべき行動に集中します。