年末年始にColdFusionへの集中的なサイバー攻撃が発生

セキュリティニュース

投稿日時: 更新日時:

年末年始にColdFusionへの集中的なサイバー攻撃が発生

2025年のクリスマス期間 /年末年始休暇中、Adobe ColdFusionを狙った大規模かつ組織的なサイバー攻撃　キャンペーンが観測されました。
この攻撃は、脆弱性観測・分析を行うGreyNoise Labsの調査により明らかになったもので、休暇中の監視体制が手薄になるタイミングを狙い、世界各国のColdFusionサーバーに対して集中的に行われた点が大きな特徴です.

概要

調査によると、本キャンペーンの約98％の通信は、2つのIPアドレスから発信されていました。
これらは日本に拠点を置くホスティング事業者のネットワーク（AS152194）に属しており、同一の攻撃者、もしくは高度に連携した単一グループによる活動と見られています。

主な特徴は以下の通りです。

  • リクエスト間隔は1〜5秒程度の自動化挙動

  • 同一ターゲットに対し10種類以上の脆弱性を順番に試行

  • 攻撃成功確認のため、OAST（アウト・オブ・バンド）通信を活用

このことから、無差別攻撃というよりも、侵入経路を獲得するための初期アクセス・ブローカー型活動の一環である可能性が高いと分析されています。

悪用された主な脆弱性：2023〜2024年のColdFusion CVEが中心

攻撃では、過去2年に公開されたColdFusionの深刻な脆弱性が幅広く悪用されていました。特に目立ったのは以下のカテゴリです。

  • デシリアライズを悪用したRCE（リモートコード実行）

  • アクセス制御の回避

  • 任意ファイル読み取り（LFI）

中でも、JNDI/LDAPインジェクションを利用したデシリアライズ攻撃が主軸となっており、攻撃者は外部コールバックを用いて、脆弱なサーバーの存在と実行可否を確認していました。

攻撃規模の拡大：ColdFusionは全体の「ごく一部」

注目すべき点として、ColdFusionへの攻撃は、実はこのアクターが行っていた全体活動のわずか0.2％程度に過ぎないことも判明しています。

同じインフラからは、

  • 767件以上のCVE

  • 47以上の技術スタック

  • 250万件超のリクエスト

が確認されており、Apache Struts、Confluence、WebLogic、Tomcat、各種ネットワーク機器や監視ツールなど、企業インフラ全般を網羅する大規模な脆弱性スキャン作戦であったことが分かっています。

なぜ危険か：日本企業・国内環境への影響

本キャンペーンは日本のネットワークを拠点としていた点から、日本国内のサーバーや企業環境が踏み台・標的の両面で利用されるリスクを示しています。

特に以下のような環境では注意が必要です。

  • ColdFusionを長期間アップデートせず運用しているシステム

  • インターネットに直接公開されている業務サーバー

  • 年末年始など監視が弱まる期間の運用体制

攻撃自体は特定国を狙ったものではありませんが、日本企業が持つレガシー環境が、結果的に攻撃者の足がかりとなる可能性は否定できません。

防御のポイント：今すぐ取るべき対応

レポート内容を踏まえ、実務上は以下の対応が強く推奨されます。

  • ColdFusionを含む全ミドルウェアの緊急パッチ適用

  • 休止・不要な管理画面や外部公開ポートの遮断

  • OAST通信（oast.*ドメイン等）を含む不審な外向き通信の監視

  • 年末年始や連休を想定した監視・アラート体制の見直し

今回の事例は、「古い脆弱性であっても、組織的に再利用され続ける」という現実を改めて示すものです。

参照

ColdFusion++ Christmas Campaign: Catching a Coordinated Callback Calamity

関連記事

メディカ出版、ランサムウェアによるサイバー攻撃で約77.2万件の個人情報漏洩の恐れメディカ出版、ランサムウェアによるサイバー攻撃で約77.2万件の個人情報漏洩の恐れ なぜパワハラは内部不正を生むのか―犯罪心理学者が解説する「モノ言えぬ組織」のセキュリティリスクなぜパワハラは内部不正を生むのか―犯罪心理学者が解説する「モノ言えぬ組織」のセキュリティリスク Chromeウェブストアに737個の偽VPN拡張機能、有名ブランドを装いSOCKS5プロキシへ通信を誘導 7万5,000件超がインストールChromeウェブストアに737個の偽VPN拡張機能、有名ブランドを装いSOCKS5プロキシへ通信を誘導 7万5,000件超がインストール 山元紙包装社、パッケージショップJPの不正アクセスで個人情報3,973件・カード情報1,395件が漏洩の可能性山元紙包装社、パッケージショップJPの不正アクセスで個人情報3,973件・カード情報1,395件が漏洩の可能性 AI コーディングエディタ Cursorに深刻な脆弱性(CVE-2026-50548、CVE-2026-50549)-DuneSlideAI コーディングエディタ Cursorに深刻な脆弱性(CVE-2026-50548、CVE-2026-50549)-DuneSlide ServiceNowの脆弱性 CVE-2026-6875、パッチ翌日のPoC公開から4日でサイバー攻撃へ悪用ServiceNowの脆弱性 CVE-2026-6875、パッチ翌日のPoC公開から4日でサイバー攻撃へ悪用 経産省、脆弱性に関するパートナーシップガイドラインに則した対応を改めて要請経産省、脆弱性に関するパートナーシップガイドラインに則した対応を改めて要請 Default Thumbnailタカラベルモントが不正アクセスとフィッシングメール送信の踏み台にされていた事を公表 ジュエリーブランドPandora（パンドラ)が情報漏洩を公表-Salesforceを狙った一連の攻撃で顧客情報が流出ジュエリーブランドPandora（パンドラ)が情報漏洩を公表-Salesforceを狙った一連の攻撃で顧客情報が流出