TSUBAMEレポート Overflow（2026年4～6月）
はじめに
このブログ「TSUBAMEレポート Overflow」では、四半期ごとに公表している『JPCERT/CC 四半期レポート』の公開にあわせて、レポートには記述していない海外に設置しているセンサーの観測動向の比較や、その他の活動などをまとめて取り上げていきます。
今回は、TSUBAME（インターネット定点観測システム）における2026年4～6月の観測結果についてご紹介します。
※『JPCERT/CC インターネット定点観測レポート』は、2026年度から『JPCERT/CC 四半期レポート』に統合しました。
2026年5月初旬に観測されたMiraiの特徴を持つ23/TCP宛てのパケットの急増
TSUBAMEでは、2026年5月初旬にMiraiの特徴を持つ23/TCP宛てのパケットの急増を観測しました（図1）。パケットは2026年4月30日に急激に増加し、その後ゆっくりと減少していきます。
|
| 図1：日本国内のセンサーで観測したMiraiの特徴を持つ23/TCP宛てのパケット数の推移 |
送信元となっているIPアドレスについて調査したところ、複数のホスティング事業者に割り当てられたIPアドレスが多数確認されました。また、これらのIPアドレスへWebブラウザーでアクセスしたところ、その多くでcPanelの管理画面が確認されました（図2）。
|
| 図2：cPnelが動作しているとみられる画面 |
観測からは原因までたどることができませんが、パケットが急増した期間中に公開されたCensysのブログ記事[1]、NICTER解析チームの発信情報[2]から、この増加はcPanel/WHMの脆弱性（CVE-2026-41940）を悪用したMirai／Mirai亜種への感染活動によるものではないかと考えています。この脆弱性は認証をバイパスしてシステムを悪用される恐れを持つもので、Mirai／Mirai亜種の感染以外にも被害が報じられています。
パケットの送信元を地域別に集計したところ、米国を送信元とするパケットが最も多く見られました。次いでドイツ、フランス、カナダなど複数の地域でも5月1日前後に急増が見られました（図3）。ただし、それぞれの割合の推移からは、特定地域に限定した感染が発生したのではなく、インターネット全域に感染が拡大したものと推測します。
|
| 図3：送信元地域別に多かった地域の2026年5月1日ごろの観測動向 |
日本を送信元とする通信についても同期間の推移を確認したところ、同様に増加前の時期から15倍ほど増加していました（図4）。ピーク時の送信元を確認したところ、複数のホスティング事業者からのパケットが多く確認されました。
|
| 図4：日本国内から送信されたMiraiの特徴を持つ23/TCP宛てのパケット数の推移 |
Mirai／Mirai亜種は一般的にIoT機器への感染が知られていますが、特殊な機器に限定して感染しているわけではありません。本稿で取り上げたように、サーバーにも感染します。Mirai／Mirai亜種への対策は、どのケースでも同じで、脆弱性への早期対応、リモートアクセスの制限、脆弱なパスワードの変更などの対応が考えられます。また、感染が疑わしい場合、プロセスやネットワーク通信の確認などを行い、設定どおりに動作しているかを中心に確認してください。
国内外の観測動向の比較
図5は、国内外のセンサー1台が1日あたりに受信したパケット数の平均を月ごとに比較したものです。国内よりも海外のセンサーで多くのパケットを観測しています。2026年5月は前述の「2026年5月初旬に観測されたMiraiの特徴を持つ23/TCP宛てのパケットの急増」の影響などもあったため、国内・海外のセンサーともに観測パケット数が増加しました。2026年6月は国内センサー宛てで観測したパケット数については減少しました。
|
| 図5：月ごとの国内外センサー平均パケット数の比較 |
センサーごとの観測動向の比較
各センサーには、それぞれグローバルIPアドレスが一つ割り当てられています。国内、北米、欧州、それ以外の地域の各センサーで観測状況に違いがあるかを見るために、表1に届いたパケットTOP10をまとめました。23/TCPがほとんどのセンサーでトップになり、一部のセンサーでは443/TCPが上回るケースも見られました。 その他、80/TCPや8080/TCP、22/TCP等はセンサーごとに観測順位に違いはありますがほぼすべてのセンサーで観測していました。これらは広範囲のネットワークにてスキャンが行われていることを示唆していると考えられます。
表1：国内外センサーごとのパケットTOP10の比較
| 国内センサー1 | 国内センサー2 | 北米センサー1 | 北米センサー2 | 欧州センサー1 | 欧州センサー2 | それ以外の地域のセンサー1 | それ以外の地域のセンサー2 | |
|---|---|---|---|---|---|---|---|---|
| 1番目 | 23/TCP | 23/TCP | 23/TCP | 443/TCP | 23/TCP | 23/TCP | 23/TCP | 23/TCP |
| 2番目 | 443/TCP | 443/TCP | 443/TCP | 80/TCP | 443/TCP | 443/TCP | 443/TCP | 443/TCP |
| 3番目 | ICMP | 80/TCP | 80/TCP | ICMP | 80/TCP | ICMP | 80/TCP | 80/TCP |
| 4番目 | 80/TCP | ICMP | ICMP | 8080/TCP | ICMP | 80/TCP | ICMP | 22/TCP |
| 5番目 | 22/TCP | 22/TCP | 22/TCP | 22/TCP | 22/TCP | 22/TCP | 8080/TCP | ICMP |
| 6番目 | 3389/TCP | 3389/TCP | 3389/TCP | 3389/TCP | 8080/TCP | 8080/TCP | 22/TCP | 3389/TCP |
| 7番目 | 8080/TCP | 8080/TCP | 8080/TCP | 23/TCP | 3389/TCP | 3389/TCP | 3389/TCP | 8080/TCP |
| 8番目 | 5555/TCP | 5555/TCP | 8443/TCP | 8728/TCP | 8728/TCP | 8728/TCP | 8728/TCP | 8728/TCP |
| 9番目 | 8443/TCP | 2222/TCP | 8728/TCP | 8443/TCP | 8443/TCP | 8443/TCP | 8443/TCP | 8443/TCP |
| 10番目 | 2222/TCP | 8443/TCP | 2222/TCP | 2222/TCP | 2222/TCP | 5900/TCP | 2222/TCP | 3000/TCP |
おわりに
複数の地点で観測を行うことで、変動が特定のネットワークだけで起きているのかどうかを判断できるようになります。本四半期は、特別な号外による注意喚起等の情報発信には至っていませんが、スキャナーの存在には注意が必要です。今後もレポート公開にあわせて定期的なブログの発行を予定しています。特異な変化などがあった際は号外も出したいと思います。皆さまからのご意見、ご感想も募集しております。掘り下げて欲しい項目や、紹介して欲しい内容などがございましたら、お問い合わせフォームからお送りください。最後までお読みいただきありがとうございました。
[1] censys, blog "The cPanel Situation Is…", https://censys.com/blog/the-cpanel-situation-is/
[2] NICTER 解析チーム, https://x.com/nicter_jp/status/2052643232685936788
