AIが新種HTTP脆弱手法とApache欠陥を発見
- PortSwiggerのAI研究システム「HTTP Terminator」が新たなHTTPデシンク(通信の解釈ずれを悪用する)手法を発見
- 3万件の候補ベクトルを検証し、銀行や政府インフラなど約700件の脆弱な対象を特定
- 別の人間主導調査でApache Traffic Serverのゼロデイ(CVE-2026-63078)も発見、公式記録は未確認
かんたんに言うと
AIが自動でウェブサーバーの通信の隙をたくさん見つけ出し、銀行や政府サイトを含む約700件で問題が確認されました。自社サーバーが古いHTTPの仕組みを使っていないか、この機会に点検しましょう。
AIセキュリティとの関連: AIが人間の直接指示なしに新たな攻撃手法を自律的に発見・実証した点が、AIリスク管理の観点で注目される事例のため。
何が起きたか
セキュリティ企業PortSwiggerは、研究者James Kettle氏が構築したAI支援システム「HTTP Terminator」が新種のHTTPデシンクロナイゼーション(サーバー間で通信内容の区切り解釈がずれる問題)手法を発見したと発表した。同システムはHTTPやSMTPの仕様書138件を約1万5千の断片に分割し、3万件のユニークな攻撃候補を自動生成。許可を得た3万件のウェブサイトで検証し、約700件の脆弱な対象を特定したとされる。対象には銀行、政府インフラ、セキュリティ製品、空港などが含まれていたという。発見された手法には、複数のサーバー実装で機能する「multipart/byteranges」型や、レスポンス取り違え攻撃(RQP)の成功率を高める「dangling-byte」技法が含まれる。別途、人間主導の調査ではApache Traffic Serverのゼロデイ脆弱性も発見され、CVE-2026-63078として追跡されているという。ただしThe Hacker Newsの8月7日時点の確認では、CVE.orgやNVD、Apacheの7月付アドバイザリにこの番号の公開記録は見当たらず、修正版との対応関係は原典を参照する必要がある。
誰に・どう影響するか
大企業では、HTTP/1.1をバックエンド間通信に使い続けている場合、セッションクッキーやAPIキーなど他ユーザーの情報が意図せず露出するリスクがある。特に多層のリバースプロキシやロードバランサーを運用する組織は、フロントエンドとバックエンドでのメソッド解釈の不一致が悪用される可能性がある。中小企業では、自社で直接HTTP/1.1バックエンドを運用しているケースは限られるが、利用しているクラウドサービスやCDN、セキュリティ製品がこの種の脆弱性の影響を受ける可能性はある。ベンダーからのパッチ情報や勧告に注意を払う必要がある。今回の研究自体は許可されたバグバウンティ・脆弱性開示プログラムの範囲で行われたものであり、直ちに悪用が広がっている状況ではないとされる。
今すぐやるべきアクション
- 自社システムでHTTP/1.1をバックエンド間通信に使用しているか棚卸しする
- 可能であればHTTP/1.1のアップストリーム利用を廃止し、HTTP/2以降への移行を検討する
- HTTP/1.1を廃止できない場合、フロントエンドとバックエンド双方でメソッドの許可リスト化を行う
- リクエストボディを許可するメソッドを制限する設定を見直す
- Apache Traffic Serverを利用している場合、公式アドバイザリとCVE.orgの情報を継続的に確認する
- PortSwiggerが公開したHTTP Terminatorのオープンソース版を用いた自社環境での検証を検討する
重大度の判定理由
重大度「中」: 許可された研究の範囲での発見で野放し悪用は未確認。ただしApacheの脆弱性は公開CVE記録が未確認のため検証に注意が必要。