セキュリティ研究者は、脆弱性を防御側が理解できるよう、エクスプロイトコードを公開する。攻撃者も同じ手順を読み、セキュリティチームがリスクの評価を終える前に実行に移すケースがある。
CrowdStrikeの新たな調査によると、あるケースでは、公開の概念実証（PoC）コードが利用可能になってからわずか35分後に、ハッカーが脆弱性を悪用した。
同サイバーセキュリティ企業によると、2026年1月から7月にかけて、悪用を確認した公開PoC付き脆弱性の91%が、PoC公開から48時間以内に攻撃されていた。悪用までの中央値は1日未満だった。
11月5日に公開されたこの調査結果は、セキュリティチームにとって深刻化する課題を浮き彫りにしている。一般公開された脆弱性研究によって、まだパッチが適用されていないシステムへの攻撃が加速する可能性がある。
脆弱性の悪用は数時間以内に始まる
CrowdStrikeは 脆弱性が兵器化されるまでの時間に関する分析で、同社のCounter Adversary Operationsチームが2026年1月から7月にかけて確認した悪用事例を調査した。
同社は3つの主な調査結果を報告した。
調査結果 | CrowdStrikeの確認 |
| 確認された最速の悪用 | 公開PoCのリリースから35分後 |
| 悪用までの中央値 | 24時間未満 |
| 48時間以内の悪用 | 公開PoCが存在した悪用確認済み脆弱性の91% |
この数値は、CrowdStrikeが攻撃者による悪用を確認し、かつ公開PoCが利用可能だった脆弱性に適用される。公開されたすべての脆弱性の91%が悪用されたという意味ではない。
CrowdStrikeの以前の 2026年脅威ハンティングレポートでは、1月から6月までの期間に、公開PoCが存在した悪用確認済み脆弱性の88%が48時間以内に攻撃されていた。
今回の分析では、その観測期間を7月まで延長した。
CrowdStrikeによると、公開セキュリティアドバイザリー、技術解説、スキャンツール、そしてエクスプロイトのサンプルによって、攻撃開発に必要な労力を減らせる。
経験の浅い攻撃者は既存コードを改変して利用でき、より高度な攻撃グループは公開研究を使って作戦を加速できる。
cPanel、Linux、Fortinet製品に関する3つのケースは、攻撃者がそうした情報をどのように利用しているかを示している。
cPanelの脆弱性、公開研究が攻撃を加速させる仕組みを示す
最初のケースは、cPanel、WebHost Manager（WHM）、WordPress Squaredの特定バージョンに影響する認証バイパス脆弱性、CVE-2026-41940に関するものだった。
この脆弱性により、認証されていないリモートの攻撃者が、影響を受けるコントロールパネルに不正アクセスできる可能性があった。
CrowdStrikeは次のタイムラインを記録した。
日付 | 出来事 |
| 4月3日 | 回顧調査により、最初に疑われる悪用を確認 |
| 4月28日 | cPanelがCVE-2026-41940を公開 |
| 4月29日 | 研究者が技術的な悪用手順と検知アーティファクト生成ツールを公開 |
| 4月30日 | CrowdStrikeが広範な無差別的悪用を確認し始める |
CrowdStrikeは公開された検知アーティファクト生成ツールを分析し、コードをわずかに変更すれば動作するエクスプロイトに変えられることを確認した。
改変コードはrootパスワードを変更でき、攻撃者がroot権限でWHMターミナルにアクセスできるようになっていた。
同社によると、その後確認した悪用の大半、少なくともほぼすべては、公開研究で説明された手法に従っていた。
しかし、回顧調査では、単独の攻撃者が少なくとも4月3日からゼロデイとしてこの脆弱性を悪用していた可能性を示す証拠も見つかった。
CrowdStrikeは、その攻撃者がどのようにして最初に脆弱性を発見したのか、またはエクスプロイトを入手したのかは特定できなかった。
この区別は重要だ。公開情報の開示が最初の攻撃を必ずしも引き起こしたわけではないが、CrowdStrikeの調査結果は、その後の技術公開によって悪用が拡大した可能性を示している。
同社によると、複数の脅威アクターが同じ脆弱なcPanelシステムを標的にし、アクセスをめぐる競争が生じることもあった。
ベラルーシ系ハッカー、1日以内にLinuxエクスプロイトを改変
2つ目のケースは、CVE-2026-31431として追跡されているLinuxのローカル権限昇格脆弱性、CopyFailに関するものだった。
研究者は4月29日、技術的な詳細とPoCコードを公開した。
この脆弱性はLinuxカーネルのメインラインではすでに修正されていたが、CrowdStrikeによると、多くの主要Linuxディストリビューションにはまだ修正が提供されていなかった。
同社の研究者は、その時点で完全にパッチが適用されていたUbuntu 24.04システムに対してもエクスプロイトが機能することを確認した。
4月30日までにCrowdStrikeは、ベラルーシ系の脅威アクターUMBRAL BISONが、公開エクスプロイトを改変したものを使ってウクライナ政府機関を攻撃していることを確認した。
この攻撃では、Webサーバーアカウントwww-dataからrootへ権限が昇格された。
攻撃者は権限を取得すると、Mythicフレームワークに関連するPoseidonのコマンド＆コントロールエージェントを展開した。
CrowdStrikeによると、Falconセンサーはエージェントの実行時にこれを終了させた。
攻撃者は、効果を高めるために元のPoCも改変していた。
CrowdStrikeによると、変更点には次のものが含まれる。
- 実行時処理：エクスプロイトの主要ロジックを実行時に評価される文字列に移し、一部の静的解析手法の効果を低下させた。
- エラー処理：信頼性を高めるため、構造化された処理を追加した。
- 運用上の適応：実際の標的に使用するため、公開されているコードを改変した。
このケースは、攻撃者がゼロからエクスプロイトを開発するのではなく、既存の研究を1日以内に改変できることを示している。
イラン系アクター、改変されたFortinetエクスプロイトとともに発見
CrowdStrikeは、Fortinet FortiOSとFortiProxyに影響する認証バイパス脆弱性CVE-2024-55591を標的とする、改変されたエクスプロイトも特定した。
2026年2月、研究者は、イラン系の脅威アクターSTATIC KITTENが管理する、外部に公開されたディレクトリを発見した。
そのディレクトリには2万を超えるファイルにまたがる約1.9GBのデータが含まれ、その中にはFortinetの脆弱性向けに公開されたエクスプロイトの改変版もあった。
2025年1月に公開された元のPoCは、ユーザーが指定した単一のコマンドを実行するよう設計されていた。
改変版には、追加の動作を実行するよう設計された13個のハードコードされたペイロードが含まれており、次のようなものがあった。
- ユーザーアカウントとグループの列挙
- 管理者アカウントの作成
- アクセス権限の変更
- バックドアアカウントによる永続的アクセスの確立
一部のペイロードは高い権限を持つアカウントを作成し、攻撃者が侵害したシステムへのアクセスを維持できる可能性があった。
しかしCrowdStrikeは、STATIC KITTENがエクスプロイト自体を改変したのか、それとも改変コードを別の場所から入手したのかを特定できなかった。
同社はまた、別の脅威アクターがその特定の改変エクスプロイトや、それをホストするインフラを使用していることは確認していないと述べた。
cPanelやCopyFailのケースとは異なり、Fortinetの発見事例からは、改変コードが実際に侵入攻撃で展開されたとは確認できない。
ただし、公開エクスプロイトが実証用ツールから、不正アクセスや永続化に関連する複数の機能を備えたコードへ拡張され得ることは示している。
AIによってエクスプロイト開発が高速化する可能性
CrowdStrikeは、人工知能によって脆弱性の発見と悪用がどのように加速する可能性があるかも調査した。
同社は、攻撃者が脆弱性の分析やエクスプロイトコードの改変にAIツールを使い、他者が公開したAI支援によるセキュリティ研究を取り入れるようになると予測している。
同社は、次の3つの可能性を挙げた。
- 高度なAIモデルの安全策を回避し、攻撃目的の支援を得ようとする
- オープンウェイトモデルを改変し、安全策を弱める、または削除する
- AIの支援を受けて開発され、セキュリティ研究者が公開した脆弱性研究を再利用する
しかしCrowdStrikeは、特定のエクスプロイトにAIが直接関与したことを特定するのは依然として難しいと認めている。
整然としたコード、大量のコメント、既存PoCへの改良はAIの支援を示唆する可能性があるが、経験豊富な人間の開発者も同様の結果を生み出せる。
同社は、AI支援が関与したと報告されている研究の例として、CopyFailとwp2shellとして知られるWordPressの脆弱性を挙げた。
これらの報告から、CrowdStrikeのケーススタディに登場する攻撃者が侵入攻撃の際に直接AIを使用したとは断定できない。
より差し迫った懸念は、人間が開発したものかAIの支援を受けたものかを問わず、利用しやすくなった脆弱性研究によって、動作するエクスプロイトの作成に必要な時間が短縮される可能性があることだ。
パッチ適用までの時間が短くなる中、セキュリティチームが取るべき対応
CrowdStrikeの調査結果は、深刻度スコアと予定されたパッチ適用サイクルに主に依存する脆弱性管理戦略に疑問を投げかけている。
共通脆弱性評価システム（CVSS）の高いスコアは技術的な深刻度を示すが、攻撃者がその脆弱性を実際に悪用しているかどうかを必ずしも示すものではない。
組織は、公開エクスプロイトの有無、露出状況、悪用の容易さ、攻撃者の活動を示す証拠も考慮する必要がある。
防御側にとって、この研究は複数の優先事項を示している。
優先事項 | 推奨される対応 |
| 露出したシステムを特定する | インターネットに接続された資産と影響を受けるソフトウェアの正確なインベントリを維持する |
| 公開エクスプロイトを監視する | 新たに公開されたPoC、悪用ガイダンス、関連する脅威インテリジェンスを追跡する |
| 実際のリスクに基づいて優先順位を付ける | CVSSと併せて、悪用の進行状況、エクスプロイトの有無、露出状況、ビジネスへの影響を考慮する |
| 一時的な保護策を適用する | 直ちにパッチを適用できない場合は、ベンダーがサポートする緩和策、アクセス制限、または隔離を利用する |
| 侵害の可能性を調査する | 修 remediationより前に悪用が始まっていた可能性がある場合は、不審な活動を確認する |
| 修 remediationを確認する | パッチと代替制御が意図どおり機能していることを確認する |
こうした対策でも、エクスプロイトコードが公開されてから数分後に始まる攻撃に対する保護を保証することはできない。
ただし、組織が高リスクの露出をより迅速に特定し、恒久的な修正が展開されるまでの攻撃者の機会を減らすうえで役立つ。
パッチを適用する前に悪用が始まった場合は、検知と対応の能力も重要になる。
公開脆弱性研究がもたらすセキュリティ上のトレードオフ
公開された脆弱性研究は、防御側がソフトウェアの弱点を理解し、保護策を検証し、修正を開発するうえで不可欠な存在であり続けている。
しかし、同じ技術的詳細が、攻撃者に再利用可能なコードや悪用ガイダンスを提供する可能性もある。
CrowdStrikeの調査結果は、この問題の両面を示している。
cPanelのケースは、公開研究が進行中の悪用を加速させる可能性を示唆している。CopyFailのインシデントは、攻撃者が新たに公開されたPoCをいかに迅速に改変できるかを示す一方、Fortinetの発見事例は、既存のエクスプロイトコードを追加機能によって拡張できることを示している。
この調査結果は、研究者が脆弱性情報の公開をやめるべきだと示しているわけではない。むしろ、協調的な情報開示、迅速な修 remediation、急速な悪用を想定した検知能力の重要性を裏付けるものだ。
セキュリティチームにとっての中心的な教訓は、新たに公開されたPoCを、露出状況を評価するための緊急のシグナルとして扱うべきだということだ。
組織が次回の予定されたパッチ適用サイクルを開始する頃には、攻撃者がすでにそのコードを使っている可能性がある。
そのほかのニュース：ハッカーがフランスの血液銀行3施設の冷蔵設定を操作したのは第三者サプライヤーの侵害を通じてだったが、監視システムは変更を検知し、血液製剤に被害が及ぶことはなかった。