ownCloudの重大な認証バイパス（CVE-2023-49105）を悪用しフィリピン原子力機関から核物質記録を窃取 — CISAがKEV登録、Hunt.ioが中国語話者の関与を指摘

脅威インテリジェンス企業のHunt.ioは2026年8月26日、フィリピンの原子力研究機関とフィリピン海軍にサービスを提供する造船・海洋エンジニアリング企業が侵害され、ownCloudの重大な認証バイパスの脆弱性（CVE-2023-49105）を悪用して核関連資料や職員情報が窃取されたと発表した。攻撃者は公開ディレクトリに残した独自のPythonスクリプトとログから活動を特定された。米CISA（サイバーセキュリティ・インフラストラクチャ安全保障局）は2026年8月27日、同脆弱性をKEV（Known Exploited Vulnerabilities）カタログへ追加し、対応を呼びかけている。

何が起きたか — 公開ディレクトリから発覚した二重の侵入

Hunt.ioのAttack Captureは2026年8月13日、IPアドレス 31.58.209[.]241（アムステルダム、AS56971 CGI Global Limited） のポート8000でPythonのSimpleHTTPにより公開されたディレクトリを発見した。同サーバーには1,310ファイル・1.17GB・86サブディレクトリが置かれ、Sliver、Metasploit、Mettleといったオープンソースの攻撃ツール、5つの独自Pythonスクリプト、被害組織から窃取されたデータが整理されて保存されていたとHunt.ioは報告している。

Hunt.ioは同内容をTLP:AMBERでフィリピンのCERT-PHへ開示し、CERT-PHが被害組織への通知を調整したうえで、2026年8月25日まで公表を保留したと説明している。侵入の背景についてHunt.ioは、南シナ海をめぐる緊張を背景に、フィリピンの政府・防衛・重要インフラに対する中国語話者とみられるアクターの活動が近年増加しており、MicrosoftのDigital Defense Report 2025でもフィリピンが2025年上半期に世界で20番目にサイバー活動の影響を受けた国として挙がっていると指摘している。

ディレクトリの解析から、少なくとも2組織への侵入が確認された。

• 原子力研究機関のownCloud：WebDAV APIの事前署名URL機構を悪用して無認証でファイルを窃取
• 造船企業のWordPressサイト：LiteSpeed Cacheプラグインの脆弱性（CVE-2024-28000）とXML-RPCへの総当たり（brute_xmlrpc.py）で侵入

さらに、回収されたCSVにはプロジェクト管理アプリケーションのIDORによる不正アクセスや約9GBの窃取を示す記録、192MBのZKTeco BioTime（勤怠・人事データベース）のSQLダンプも含まれており、実際の被害は公開ディレクトリに残る372MBを超える可能性があるとHunt.ioは指摘している。

ownCloud CVE-2023-49105をどう悪用したか

CVE-2023-49105（CVSS 9.8）は、ownCloud coreのWebDAV APIにおける事前署名URLの認証バイパスである。ownCloudはファイル共有リンクに有効期限付きの署名URLを生成するが、署名鍵（signing-key）が未設定のインスタンスでは、空の秘密鍵（空バイト列）で署名が生成されてしまう。デフォルトインストールでは鍵が未設定のままであることが多く、有効なユーザー名を知っていれば、パスワードなしでそのユーザーとしてWebDAV（/remote.php/dav/files//）へアクセスできる。影響を受けるのはcore 10.6.0から10.13.0で、修正版は10.13.1であるとownCloudは2023年11月21日のアドバイザリで説明している。

Hunt.ioが回収した5つのPythonスクリプトは、この仕組みを正確に再現していた。共通の署名ルーチンは次のとおりであるとHunt.ioは示している。

def compute_hash(url):
    return hashlib.pbkdf2_hmac("sha512", url.encode(), b"", 10000, dklen=32).hex()

b""（空バイト列）をPBKDF2のソルトとして渡している点が、空の署名鍵を悪用している証拠である。各スクリプトはOC-Credentialに標的アカウント名、OC-VerbにGET、OC-Expiresなどを付与して署名（OC-Signature）を生成し、WebDAVへGETやPROPFIND（Depth:1）を発行する。4つのスクリプトはアカウントごとに単一標的を、5つ目のoc_vps_download.pyはディレクトリ列挙とログ記録を担い、リクエスト間には3〜6秒（列挙時は1.5〜3.5秒）のランダムな待機を挿入して検知を回避していたとHunt.ioは分析している。

コードのdocstringやコメント、出力フォルダ名には簡体字中国語が多用され、「低速下载 … 核材料文档」「辐射安全关键文件」といった記述や、财务（財務）、辐射安全（放射線安全）、核材料账目（核物質収支）、IT规划（IT計画）といった中国語のサブフォルダ名で窃取データを整理していたことから、Hunt.ioは操作者が中国語話者である可能性が高いと評価している。

何が盗まれたか — 核物質記録から職員PII・認証情報まで

5つのスクリプト実行後、5つのステージングディレクトリに176ファイル・約372MBが集積された。Hunt.ioが整理した内容は次のとおりである。

• 原子炉の運用・安全：研究炉の炉心構成部品データベース（2バージョン）、燃料在庫の履歴、プレゼンテーション資料、放射線安全の手順書・インシデント報告・安全マニュアル案・認可ユーザー一覧（oc_km_data 13件8.48MB、oc_hm_data 6件約2MB）
• 戦略・IT計画：2023年から2028年をカバーする戦略計画案、IT計画、サービス要求サマリー（oc_cgh_data 31件8.23MB）
• 人事・PII：個人データシート、SALN（フィリピン公務員の資産公開書類）、履歴書、パスポート関連文書、海外渡航記録、研修証明、IAEA関連資料、さらに192MBのZKTeco BioTime人事データベースダンプ、コース証明書など（oc_data 117件130MB、oc_gg_data 9件223MB）
• 認証情報：BitLocker回復キー（PDF）、KeePassデータベース、AxCrypt暗号化ファイル、インフラ・IP・フレームワークを列挙したCSV（親省庁のインフラをIP/ポート/バージョンで記録し、38件の認証情報やIDORの成功記録を含む）

Hunt.ioは、このCSVに**「約9GBを窃取」「ownCloudへの有効な認証情報でのアクセス」「プロジェクト管理システムへのIDORによる侵入」**といった記述があり、回収されたPythonスクリプトや372MBのデータでは説明できない規模であることから、公開ディレクトリ以前の段階ですでにより大規模な収集が行われていた可能性を指摘している。造船企業側では、**WordPressサイトの完全なアーカイブ（コア・アップロード・データベースダンプ）**も窃取されていた。

CISAのKEV登録とベンダーの対応

CISAは2026年8月27日、CVE-2023-49105を含む3件（ほかにLinuxカーネルのCVE-2026-53362、JFrog ArtifactoryのCVE-2026-66384）をKEVカタログへ追加したと発表した。連邦民間行政府（FCEB）機関には2026年8月30日までの是正が求められており、CISAはすべての組織に対してもKEVの脆弱性を優先的に是正するよう呼びかけている。ownCloud側の対策は、署名鍵が未設定の所有者のファイルに対して事前署名URLの使用を拒否することであり、10.13.1で修正済みである。

Hunt.ioは対策として、ownCloudを10.13.1以降へ更新し、署名鍵が正しく設定されていることを確認すること、WebDAVのPROPFINDや不審なGETのログを監視すること、外部公開されたownCloud/WordPressの棚卸しと認証情報のローテーションを推奨している（同社ブログのMitigations章）。また、CISAはKEV登録に伴い**侵害の有無の確認（フォレンジック・トリアージ）**を求めている。

日本の組織への示唆

今回の事案は、2023年に修正済みの脆弱性が、署名鍵の未設定というデフォルト状態のまま放置されたことで、2年以上経過した2026年に入っても国家関連の標的で悪用された点が特徴である。ownCloudは一部で文書共有基盤として使われており、外部公開されたファイル共有基盤の棚卸しと、デフォルト設定の見直しは日本の組織でも共通の課題である。CISAが2026年8月30日を期限として是正を求めていることは、修正済みでも未適用の資産が依然として狙われていることを示している。

WordPress側で悪用されたCVE-2024-28000（LiteSpeed Cache）も、Hunt.ioが回収したログに含まれており、CMSとプラグインの更新遅延が侵入経路になる構図も改めて浮き彫りになった。南シナ海の緊張を背景とするフィリピンへの標的化は、東南アジア全体の政府・防衛・学術セクターへの諜報活動の一環としてMicrosoftも指摘しており、日本を含む地域のサプライチェーンや研究機関も無関係ではない。

出典

• Hunt.io, “Philippine Nuclear Agency and Naval Contractor Targeted by Suspected Chinese-Speaking Operator Using Known Vulnerabilities” (2026-08-26) — 公開ディレクトリ、5つのPythonスクリプト、372MBの窃取データ、中国語の痕跡、CERT-PHへの開示の一次記述
• CISA, “CISA Adds Three Known Exploited Vulnerabilities to Catalog” (2026-08-27) および KEVカタログ — CVE-2023-49105のKEV追加日（2026-08-27）と対応期限（2026-08-30）
• ownCloud, “WebDAV Api Authentication Bypass using Pre-Signed URLs” (2023-11-21) — 影響バージョン10.6.0-10.13.0、修正10.13.1、空の署名鍵によるバイパスの説明
• CVE.org, CVE-2023-49105 レコード