[](https://devin.ai/ja)

[](https://devin.ai/ja/blog)

# 2026年11月版 セキュリティ実践ガイド

Jack Cable2026年11月3日13分で読めます

ここ数週間に相次いだセキュリティインシデントを追いきれていないとしても、無理はありません。

わずか2週間のあいだに、[記録に残る史上最大の窃盗事件](https://en.wikipedia.org/wiki/2026_Binance_hack)、[各国政府がWebサイトを停止するほど深刻な](https://www.reuters.com/world/asia-pacific/eu-agency-warns-websites-may-need-be-taken-offline-php-prepares-patches-2026-10-21/)PHPの脆弱性、そして開発者のマシンにバックドアを仕掛けようとした[Claude Code Cursor拡張機能の侵害](https://cursor.com/blog/claude-code-extension-security-notice)が起きました。さらに、エッジデバイスの重大な脆弱性、GitLabのリモートコード実行の脆弱性、そして秘密鍵を数字の「4」に設定していた認証局まで現れました。

では、これをどう受け止めればよいのでしょうか。すべてのコンピュータを捨てるべき時が来たのでしょうか。そこまでではありません。

良いニュースは、私たちが何年も前から知っているセキュリティのベストプラクティスが今も有効だということです。パッチ未適用のサーバーを攻撃したり、盗んだ認証情報を悪用したりするのに、高度なAIは必要ありません。企業がそうした経路を開けたままにしていれば、何年も通用してきた手口が今も成功します。AIは攻撃をより速く、より安価にしますが、基本的な攻撃経路をまるごと塞ぐことまで妨げるわけではありません。変わったのは緊急性です。2026年11月の今、「自社は狙われないだろう」と期待して待っている余裕はありません。

本記事では、最近の出来事を振り返るとともに、どの企業でも今すぐセキュリティを強化するために使える実践ガイドを紹介します。

### セキュリティ史上もっとも混乱した数週間を振り返る

#### Binanceへのハッキング

記録に残る史上最大の窃盗事件は、開発者のマシン上のマルウェアから始まりました。[北朝鮮の国家支援を受けたハッカー](https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack)がBinanceから[63.4億ドル](https://x.com/binance/status/2117626126214504729)を吸い上げたこのインシデントについては、まだ多くの詳細が明らかになっていません。しかしBinanceは、偽の採用面接と改ざんされたインストーラーを通じて複数のエンジニアのノートPCが侵害され、そのうち1台にあったデプロイトークンによって、攻撃者がBinanceのウォレット署名サービスに到達したと報告しています。開発者のマシンが1台侵害されただけで本番環境まで侵害されることなど、あってはなりません。ましてや数十億ドルが盗まれることなど論外です。

#### Claude Code Cursor拡張機能の侵害

10月29日、Cursorは、Cursorで最も人気のある拡張機能の一つであるClaude Code Cursor拡張機能について、攻撃者が悪意あるバージョンを公開していたことを公表しました。この悪意ある拡張機能は、開発者のマシンに永続的なバックドアを仕掛け、攻撃者がユーザーのデバイスにSSHで接続できるようにしようとするものでした。拡張機能は自動更新されるため、ユーザーは何の操作もしないまま悪意ある拡張機能を受け取っていた可能性があります。Cursorによると、悪意ある拡張機能をインストールしたユーザーは5,000人未満でした。

注目すべきは、この拡張機能のバージョンが、Open VSXレジストリ（Cursorが利用しているオープンな拡張機能レジストリ）で公開されていたものと異なっていた点です。これは、攻撃者がOpen VSXより下流にある拡張機能の公開プロセスを侵害したことを示唆しています。

#### 相次ぐ重大な脆弱性

これらのインシデントに加えて、世界で最も広く使われているソフトウェアのいくつかで、多種多様な重大な脆弱性が公表されました。

- **PHP2Shell。** 中でも特に注目すべきは、PHPランタイムのメモリ安全性の欠陥により数百万のWebサイトを危険にさらしたPHP2Shellの脆弱性です。PHPはWebサイトのおよそ70%で使われており、構成によっては、認証されていない1回のリクエストだけで、アプリケーションコードが実行される前にこのバグを引き起こせました。
- **GitLab。** GitLabにおける認証不要のリモートコード実行の脆弱性により、多くの企業にとって最も重要なソースコードが危険にさらされました。
- **エッジデバイス。** VPN、ファイアウォール、その他のインターネットに公開されたアプライアンスで、またしても重大なバグが相次ぎました。これらは国家を後ろ盾とする攻撃者にとって[定番の標的](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)です。
- **eMudhraの秘密鍵。** 認証局のeMudhraは秘密鍵を数字の「4」に設定しており、誰でも同社の名義で証明書を発行できる状態でした。
- **KVM。** VercelのSandboxバグバウンティプログラムを通じて見つかったKVMの[ゲストからホストへのエスケープ](https://x.com/rauchg/status/2106402024804020657)により、VM内のコードがホストマシンのroot権限を取得できました。
- **LinuxのTCPスタック。** [CVE-2026-98432](https://nvd.nist.gov/vuln/detail/cve-2026-98432)により、認証されていないリモートの攻撃者が、Multipath TCPのリスナーを動かしているLinuxシステムでroot権限を取得できます。Multipath TCPは、Go 1.24以降でデフォルトで有効になっています。

### 取るべき対策

不確実性が増す中で、本当に重要なことが何かを見極めるのは難しいものです。ここでは、「今すぐ行うべきこと」と「30日以内に行うべきこと」の2つに分けて対策をまとめました。これらに取り組むことで、自社のセキュリティ態勢を大幅に強化し、現在直面している脅威と将来の脅威の両方から身を守ることができます。

#### 社内環境を守る

ここで挙げるのは、最も一般的な攻撃を防ぐために実施できる、最も手間の少ない変更の一部です。

今すぐ行うべきこと：

1. **フィッシング耐性のあるMFAと、デバイスに紐づいたサインインを必須にする。** 社内アカウントのうち、まずはGoogle Workspace、GitHub、クラウドプロバイダー、IDプロバイダーなど、リスクの高いアカウントから始めましょう。SMS認証ではなくパスキーやハードウェアセキュリティキーを使い、管理対象デバイスからのサインインのみを許可します。フィッシング耐性のあるMFAは、導入できるセキュリティ対策の中で最もシンプルかつ効果的なものの一つです。従業員がフィッシング攻撃にだまされたとしても、アカウントが侵害されないようにできます。
2. **外部に公開されている攻撃対象領域を監査する。** コーディングエージェントに自社の公開ドメインを調べさせ、自社のシステムがどの程度外部にさらされているかを把握しましょう。公開されているシステムはすべて、フロンティアモデルを使う攻撃者からすでに狙われていると考えてください。
3. **従業員にパスワードマネージャーを導入する。** パスワードの使い回しは、今も最も一般的な攻撃経路の一つです。パスワードマネージャーは正しいドメインでしかパスワードを入力しないため、フィッシング攻撃対策にもなるという利点があります。
4. **信頼できる広告ブロッカーを全従業員に導入する。** Binanceの攻撃チェーンは、あるエンジニアがAIコーディングツールを検索し、改ざんされたインストーラーをダウンロードしたことから始まりました。悪意ある検索広告や本物そっくりのダウンロードページは、マルウェアが開発者のノートPCに入り込む最も一般的な経路の一つです。広告ブロッカー（例：[uBlock Origin](https://github.com/gorhill/ublock)）を使えば、その大部分を排除できます。

30日以内に行うべきこと：

1. **すべての社用デバイスをMDMとEDRの管理下に置く。** これらを使って、インストールできるソフトウェアを制御し、ノートPC上で何かが不審な挙動を始めたときに把握できるようにします。
2. **ブラウザとエディタの拡張機能を厳しく管理する。** 承認済みのChrome拡張機能（例：[Chrome Enterprise](https://chromeenterprise.google/)を利用）とVS Code拡張機能の許可リストを維持し、拡張機能の自動更新に遅延を設定しましょう。これにより、人気の拡張機能が侵害された場合にも身を守りやすくなります。
3. **社内の攻撃対象領域全体を監査する。** Binanceへの攻撃で見られたように、意欲の高い攻撃者は、開発パイプラインに潜む複数の脆弱性を連鎖させて悪用できます。エンジニアのデバイスが侵害された場合など、さまざまなシナリオを想定して社内の攻撃対象領域全体を評価し、侵害されたデバイスが1台あっても本番環境への侵入口にならないようにしましょう。

#### 開発環境を守る

Binanceへのハッキングは、最も重要なアクセス権を開発者のマシンに置いておくことが、いかに危険かを示しました。開発者のノートPCでは、パッケージのインストール、エディタの拡張機能、MCPサーバー、そして今や自らコマンドを実行できるローカルのAIエージェントなど、膨大な量のサードパーティ製コードが動いています。そのどれか一つでも侵害されれば、攻撃者はその開発者がアクセスできるものすべてを手に入れることになります。

今すぐ行うべきこと：

1. **開発者のマシンをスキャンしてシークレットを探す。** [TruffleHog](https://github.com/trufflesecurity/trufflehog)のようなツールを使い、ホームディレクトリ、シェル履歴、リポジトリに置かれたクラウドの認証情報、APIキー、SSHキー、`.env`ファイルを探しましょう。可能な限り、本番環境のシークレットは開発者のマシンから削除します。
2. **インストール済みの拡張機能、プラグイン、MCPサーバーを監査する。** チーム全体で、エディタ、ブラウザ、AIツールに何がインストールされているかを棚卸ししましょう。誰も必要としていないものは削除し、ファイルシステム、シェル、認証情報にアクセスできるものには特に注意を払います。

30日以内に行うべきこと：

1. **シークレットを開発者のマシンから排除する。** シークレットをシークレットマネージャーに移し、本番環境のシークレットは厳重に保護します。上記のスキャンで見つかったものは、すべてローテーションしましょう。
2. **クラウドのコーディングエージェントとリモート開発環境に移行する。** 侵害された拡張機能、パッケージ、エージェントによる被害を抑える最も確実な方法は、それらをノートPCから完全に切り離すことです。リモートの開発環境やクラウドエージェントは自社で管理する環境で動作し、特定のタスクに必要なアクセス権だけを与えられるうえ、多数のノートPCに比べて監視や消去がはるかに容易です。

#### コードを守る

今すぐ行うべきこと：

1. **自社のコードベースと、重要なオープンソースの依存関係に対してフロンティアモデルを実行する。** まずはインターネットに公開されているもの、あるいは認証、決済、顧客データを扱うものから始めましょう。
2. **ソースコード、イメージ、ビルド成果物をスキャンしてシークレットを探す。** 公開されたDockerイメージやビルド成果物に埋め込まれたキーは、公開リポジトリにコミットされたキーと同じくらい露出しています。

30日以内に行うべきこと：

1. **重要なコードベースのリファクタリング計画を立てる。** PHP2Shellの脆弱性は、PHPランタイムにおけるメモリ安全性の脆弱性でした。メモリ安全でない言語でコードを書き続ける言い訳は、もはや尽きつつあります。大規模なリファクタリング（メモリ安全な言語への移行やパラメータ化クエリの採用など）によって攻撃対象領域をどれだけ縮小できるかを把握し、今後数か月以内にそれを完了する計画を立てましょう。
2. **スキャナーに自社の脅威モデルを与える。** 汎用的な既製のプロンプトでは、ノイズが大量に出てしまいます。コードがどのようにデプロイされているか、何がインターネットから到達可能か、何を最優先で守るべきかをハーネスが把握していれば、結果ははるかに良くなります。

#### サードパーティの依存関係を守る

この1年間、Shai-Hulud攻撃のようなワーム型のサプライチェーン攻撃が数多く発生しています。

今すぐ行うべきこと：

1. **パッケージの最低経過期間を7日以上に設定する。** npm、PyPI、その他利用しているあらゆるパッケージマネージャーについて、パッケージマネージャー自体の設定、またはその前段に置くプロキシやレジストリで設定します。悪意あるリリースは通常その期間内に発見・削除されるため、ワーム型のサプライチェーン攻撃の大半を防げます。
2. **バージョンを固定し、ロックファイルをコミットする。** あわせて、ビルドのたびに新しいバージョンを解決するのではなく、CIがロックファイルからインストールするようにしましょう。

30日以内に行うべきこと：

1. **依存関係を監査して削減する。** 使っていない依存関係は削除し、メンテナンスされていないものやメンテナーが非常に少ないものは注意深く確認しましょう。

#### インフラを監視する

攻撃はかつてないほど横行しており、監視していなければ気づかれないまま進行するおそれがあります。

今すぐ行うべきこと：

1. **必要になるログが実際に存在することを確認する。** IDプロバイダーのサインイン、クラウドの監査ログ、ソース管理とCIのアクティビティ、本番データへのアクセスなどです。これらは、本番環境へのアクセス権を持つ攻撃者でも削除できない場所に保管しましょう。
2. **シグナルの強いイベントでアラートを出す。** 新しい管理者アカウントの作成、MFAの変更、新しいデバイスや場所からのアクセス、大量のデータエクスポート、通常とは異なる場所からのシークレットの読み取りなどです。これらのアラートは改ざんできないようにし、社内認証の背後に置きましょう。

### まとめ

ここ数週間に起きた最大級のエクスプロイトや脆弱性は、いずれも既知の脆弱性クラスと、社内セキュリティの基本的な不備に行き着くものでした。Binanceは、改ざんされたインストーラー、偽の採用面接、そしてノートPCに残されたデプロイトークンによって数十億ドルを失いました。新たなCVEは今後も次々と出てくるでしょうし、フロンティアモデルによって、それらはこれまで以上に速く発見され、悪用されるようになります。セキュリティチームに上記のどの対策に取り組んでいるかを確認し、今日のうちにいくつか片付けてしまいましょう！

目次

[セキュリティ史上もっとも混乱した数週間を振り返る](#セキュリティ史上もっとも混乱した数週間を振り返る)[取るべき対策](#取るべき対策)[まとめ](#まとめ)