CISA、米国政府機関が「サポート終了」ソフトウェアのせいでハッキングされたと発表

米国のサイバーセキュリティ機関CISAは、正体不明のハッカーが、すでにアップデートが提供されていないソフトウェアの既知の脆弱性を利用して連邦政府機関のサーバーに侵入したと警告した。つまり、同機関が望んだとしてもパッチを当てることができなかったということだ。

火曜日、CISAは、名前が明らかにされていない連邦政府機関に対する2件の別々のサイバー攻撃の詳細を記した勧告を発表しました。ハッカーは6月と7月に、ウェブアプリケーション構築に使用されるAdobe ColdFusionソフトウェア（旧式またはサポート終了）が稼働している公開サーバーを標的として、同機関を攻撃しました。

サポート終了となったソフトウェアとは、開発者が今後サポートされないこと、あるいはソフトウェアやセキュリティアップデートの提供が終了しないことを公表しているソフトウェアを指します。サポート終了となったソフトウェアを実行することは、パッチを適用できないため、ソフトウェアを実行する組織がサイバー攻撃の危険にさらされる可能性があるため、本質的にリスクを伴います。

CISAは、攻撃者がマルウェアを仕掛けた、あるいはハッキングされた機関のネットワーク内を捜索する以上の行為を行ったという証拠はないと述べた。

「分析により、脅威の主体による悪意ある活動は、より広範なネットワークをマッピングするための偵察活動であったことが示唆されている」としているが、CISAは、データが機関のネットワークから流出したかどうかは確認できないと認めた。

CISAの広報担当者アントニオ・ソリス氏は、同機関を標的にしたハッカーが誰であると考えているかという詳細情報をTechCrunchから尋ねられたが、コメントを控えた。

CISAは勧告の中で、2つのサイバー攻撃が同一のハッカーによって実行されたかどうかは不明であると述べた。