CVE-2026-5426: 日本のLMS「KnowledgeDeliver」をCobalt Strike配信プラットフォームに変えたゼロデイ攻撃の全容

2025年末、Google傘下のMandiantが実施したインシデントレスポンス調査により、たった一つの設定不備が組織全体を揺るがす複数段階の侵害へと発展した典型的な事例が明らかになりました。標的となったのは、ASP.NETベースの国産ラーニングマネジメントシステム（LMS）として高いシェアを誇る、デジタル・ナレッジ社の「KnowledgeDeliver」です。

根本原因は、全顧客の導入環境に同一の内容で出荷されていた、静的なハードコードされたASP.NETのmachineKeyでした。この致命的な弱点、後にCVE-2026-5426として追跡される脆弱性は、正体不明の脅威アクターに対し、インターネットに公開されたLMSサーバー上で認証なしのリモートコード実行（RCE）を許しました。攻撃者はこの足がかりを単なるサーバー制御に留めず、信頼された教育プラットフォームを水飲み場（Watering Hole）へと変貌させ、最終的に何も知らない訪問者のワークステーションにCobalt Strike Beaconバックドアを展開したのです。

核心に存在した脆弱性: 共有された「秘密」

CVE-2026-5426の深刻度は、根本的な設計上の過失に由来します。ASP.NETアプリケーションのweb.configファイルに記述されるmachineKey要素は、本来、ViewStateやフォーム認証チケットといった機微なデータの暗号化・検証に用いられる、環境ごとに一意で暗号論的に安全な秘密鍵であるべきです。しかし、デジタル・ナレッジ社は、すべてのKnowledgeDeliver顧客向けの標準設定ファイルに、validationKeyとdecryptionKeyの両方を含む、単一の静的なmachineKeyを同梱していたのです。

この鍵はすべての環境で同一であり、かつハードコードされていたため、事実上「公開された秘密」となりました。この鍵を入手した攻撃者は、悪意のあるシリアル化されたViewStateペイロードを偽造することが可能になります。細工されたPOSTリクエストを任意の.aspxページに送信するだけで、ASP.NETの改ざん防止機構を回避できてしまうのです。サーバーは偽造されたViewStateを正規のものとして受け入れ、デシリアライズ（逆シリアル化）を実行します。これにより、攻撃者は基盤となるIIS Webサーバー上で、認証を一切経由せずに任意のコードを実行できる状態に陥ります。NVD（National Vulnerability Database）はこの欠陥に対し、CVSSスコア7.5（High）を割り当てており、ネットワーク経由で未認証の攻撃者が容易に悪用できる点が評価されています。

攻撃の全容: 初期アクセスからCobalt Strike Beacon展開まで

Mandiantの調査により、プラットフォーム自体を武器化し、その利用者を攻撃するという、高度で多段階にわたる攻撃チェーンが記録されました。

ステージ1: 認証なきリモートコード実行

攻撃者はまず、インターネット上に露出したKnowledgeDeliverのログインページを特定し、慎重に細工したHTTP POSTリクエストを送信しました。このリクエストの本文には、既知のハードコードされたmachineKeyを用いて偽造された悪意のあるViewStateが含まれていました。デシリアライズの実行により、ペイロードはIISワーカープロセスの権限でコードを実行。これにより、攻撃者はサーバー上で未認証のまま最初の足がかりを確保したのです。

ステージ2: 「Godzilla」Webシェルによる永続化

長期的なアクセスを維持するため、攻撃者はMandiantが内部的に「BLUEBEAM」として追跡する、メモリ上で動作するWebシェル「Godzilla」を展開しました。この.NETベースのツールにより、脅威アクターは悪意のある.aspxファイルをディスク上に一切残すことなく、コマンドの実行、ファイルのアップロード、サーバー管理を継続できました。この手法により、単純なファイルスキャンによる検知が極めて困難になります。

ステージ3: 不正スクリプトの注入

持続的なコマンドチャネルを確立した攻撃者は、Webシェルを用いてLMSプラットフォームが配信するJavaScriptファイルを改ざんしました。侵害されたサイトを訪れたエンドユーザーに対し、偽のセキュリティ警告やアップデート通知を表示するリモートスクリプトが注入されたのです。このソーシャルエンジニアリングの要素が、サーバー侵害をLMSを利用する全ての学生や従業員への直接的な脅威へと転換させる、決定的な分岐点となりました。

ステージ4: Cobalt Strike Beaconによるエンドユーザー感染

注入されたスクリプトは、被害者を騙して必要なプラグインやインストーラーに見せかけたファイルをダウンロードさせます。実際には、このダウンロードされたファイルは「Cobalt Strike Beacon」ペイロードでした。この非常に高性能なバックドアは、攻撃者の指令制御（C2）サーバーへの永続的な接続を確立し、被害者のワークステーションへの完全なリモートアクセスを攻撃者に与えます。

Mandiantの特筆すべき報告として、このペイロードファイルは侵害された組織名を暗号鍵として使用して暗号化されていました。この事実は、攻撃者が標的組織専用のペイロードを念入りに準備していたことを強く示唆しています。

Mandiantが推奨する緊急対策と再発防止策

Mandiantは自らの分析に基づき、影響を受けるKnowledgeDeliver環境の管理者に対し、即時および長期的な対応策を提示しています：

• 一意のmachineKeyを生成する: 最も重要なのは、web.configファイルにハードコードされたmachineKeyを、即座に新規生成した暗号論的乱数の鍵で置き換えることです。これは、自環境に固有の鍵である必要があります。これにより、CVE-2026-5426の核心部分が無力化されます。
• ベンダー提供パッチの適用: 2026年2月24日にリリースされたKnowledgeDeliverの公式アップデートを適用してください。この更新プログラムは、アプリケーションレベルでハードコードされた鍵の問題に対処しています。
• ViewState設定の堅牢化: ViewStateの暗号化とメッセージ認証コード（MAC）検証を明示的に有効化してください。可能であれば、ViewStateの使用を認証済みユーザーセッションのみに制限することを推奨します。
• フォレンジック調査の実施: IISのWebサーバーログを精査し、.aspxページに対する異常なPOSTリクエストがないか調査してください。これはViewState悪用の試みを示す強力な痕跡です。エンドポイント検出・応答（EDR）ツールを用いて、サーバーおよびネットワーク全体でGodzilla WebシェルやCobalt Strike Beaconに関連するIOC（痕跡情報）をスキャンしてください。
• ネットワーク分離の徹底: LMSサーバーをエンドユーザーのワークステーションや他の重要な資産から論理的に分離し、サーバー侵害が発生した場合の水平移動の機会を制限してください。
• エンドポイント検出ルールの調整: EDRの検出機能を展開または調整し、ワークステーション上のBeaconペイロードを特定したり、IISワーカープロセス（w3wp.exe）から起動される不審な親子プロセス関係をフラグ付けするようにします。
• ポストエクスプロイト活動の監視: Cobalt Strike Beaconの展開に引き続いて発生する可能性のある、資格情報のダンプ、水平移動、データの持ち出しといった痕跡を積極的に探索してください。これらは攻撃者の目的がより標的型へと移行したことを示すサインです。

このインシデントは、サードパーティ製ソフトウェアにおけるセキュリティデフォルトの重要性を痛烈に示すものです。広く使用される製品に埋め込まれた、たった一つの共有秘密が、攻撃者にとってはサーバーを侵害するだけでなく、信頼されたアプリケーションをその全ユーザー基盤に対する武器へと変える「合鍵」になり得るという厳然たる事実を、我々は改めて認識する必要があります。