Categories
最近のサイバーセキュリティ警告では、他の NAS ブランドを標的とした広範なランサムウェア攻撃が注目されています。特に「L0CK3D」マルウェアが挙げられます。攻撃者は主に、コンテナ化されたアプリケーション（GitLab など）や基盤となるオープンソースコンポーネントの重大なリモートコード実行（RCE）脆弱性を悪用し、システムスケジューラ（crond）を利用して持続的な侵入を確立し、ファイル暗号化を実行しました。
これらの事例は、現代のストレージセキュリティが OS 本体だけでなく、サードパーティ依存やアプリケーションエコシステムまで含むことを示しています。QNAP は、依存関係のリスクを継続的に監査し、厳格なリグレッションテストを実施。迅速なセキュリティパッチを提供し、運用の安定性とデータの完全性を確保しています。
変化する NAS の脅威環境：サードパーティ依存とコンテナ
最近の攻撃は、ストレージの脅威環境における運用の変化を明確に示しています：
- 上流依存関係が主な侵入口:攻撃者は、オープンソースコンポーネントやサードパーティライブラリの高 CVSS 脆弱性を狙い、境界防御を突破します。
- コンテナの露出とネットワーク分離の不備:ユーザーは NAS ハードウェア上で Docker コンテナやセルフホストサービスを頻繁に運用しています。古いコンテナイメージや不十分なネットワーク分離は、ホストシステムへの直接的な侵入経路となります。
- スケジューラによる持続的侵入:一度アクセスされると、悪意のあるペイロードが crond でスケジュールされ、リアルタイム監視を回避し、閑散時間帯に暗号化を実行します。
効果的な防御には、OS レベルの強化だけでなく、ソフトウェアサプライチェーンとアプリケーション全体の保護が不可欠です。
ケーススタディ：QNAP による重大な「PHP2Shell」脆弱性の対応
「PHP2Shell」（CVE-2026-109618、CVE-2026-109619；CVSS v4.0: 9.2）として知られる PHP コアのリモートコード実行（RCE）脆弱性への対応は、QNAP のインシデント対応プロセスを示しています。脆弱性の詳細は、公式の上流パッチ公開前に漏洩しました。
QNAP 製品セキュリティインシデント対応チーム（PSIRT）とエンジニアリング部門は、以下の対応スケジュールを実施しました：
| 日付 | リリース | 対応と進捗 |
| 10 月 21 日 | – | PHP の上流パッチがリリースされ、QNAP は社内で影響評価と修正計画を完了しました。 |
| 10 月 22 日 | V1.0 | 一時的な回避策を詳細に記載した Security Advisory QSA-26-18を公開し、クラウドポータルと公式サービスのセキュリティを確保しました。 |
| 10 月 24 日 | V1.1 | パッチ公開から 72 時間以内に、QTS、QuTS hero、QuTScloudの検証済みファームウェアアップデートをリリースしました。 |
| 10 月 28 日 | V1.2 | 影響を受けるアプリケーション向けに、Notes Station 3 や QVR Surveillance 3 を含むアップデートを展開しました。 |
この迅速な展開は、QNAP のセキュリティライフサイクルを強調しています。依存関係の即時マッピング、加速された自動リグレッションテスト、透明性のあるリリース管理。
エンタープライズガバナンス：QNAP セキュリティフレームワーク
QNAP はソフトウェア開発の全フェーズで積極的なセキュリティ対策を組み込んでいます：
- ソフトウェア部品表（SBOM）監査：詳細なコンポーネント管理により、エンジニアリングチームは上流のゼロデイ開示から数時間以内に影響を受けるファームウェアモデルやパッケージを特定できます。
- 迅速な脆弱性開示： QNAP はアクティブなバグバウンティプログラムや公開 Security Advisory を通じてセキュリティ研究者と連携し、問題が悪用される前に修正します。
- デフォルトで安全なアーキテクチャ：システムは最小権限の原則を徹底し、アプリケーションデーモンを分離することで、二次サービスが侵害された場合でも権限昇格を防ぎます。
QNAP は社内に Product Security Incident Response Team（PSIRT）を設置し、国際的な CVE® ナンバリングオーソリティ（CNA）として認定されています。ISO 27001 認証取得済みで、EU Cyber Resilience Act（CRA）などのグローバル基準に準拠。厳格な SBOM 管理や脆弱性バウンティプログラムを実施し、企業データを保護しています。 QNAP Trust Center で詳細をご覧ください
NAS 管理者向け必須セキュリティチェックリスト
新たなランサムウェアの脅威からデータ資産を守るため、以下の管理策を適用してください：
- ファームウェアとアプリケーションを直ちに更新
- コントロールパネル > システム > ファームウェア更新に移動するか、QNAP ダウンロードセンターから検証済みパッケージをダウンロードしてください。
- コントロールパネル > システム > システムステータスでビルド日とバージョン番号を確認し、インストールを検証してください。
- App Center を開き、Notes Station 3 やマルチメディアユーティリティを含むすべてのインストール済みアプリケーションを更新してください。
- WAN ポートの露出を排除
- ルーターの DMZ 設定を無効化し、デフォルトの NAS 管理インターフェースに向けられた不要なポートフォワーディングルールを閉じてください。
- リモート接続はQVPN（WireGuard または OpenVPN）や暗号化されたアクセス用トンネル経由のみに限定します。
- コンテナ化アプリケーションの分割とパッチ適用
- Container Station 内で稼働する Docker コンテナは、NAS のシステムファームウェアと一緒にはアップグレードされません。
- すべてのコンテナ化ワークロードに対して、定期的にパッチ適用済みのベースイメージを手動で取得し再デプロイしてください。
- イミュータブルストレージと 3 -2-1-1- 0 バックアップの導入
- ハードウェア RAID はディスク障害の耐性を提供しますが、ランサムウェアへの免疫はありません。
- 不正なファイル暗号化や削除をブロックするためにWORM（Write Once, Read Many）保護付きの共有フォルダーとイミュータブルスナップショットを有効化を設定してください。
- 3-2-1-1-0 バックアップルールを実践する: 3 つのコピーを 2 種類のメディアに保存し、1 つはオフサイト、1 つはイミュータブル／エアギャップコピー、0 件の復旧エラーをテストで確認します。
FAQ
Q1: 私の NAS は L0CK3D ランサムウェアに脆弱ですか？感染を防ぐにはどうすればよいですか？
最近、コミュニティ内で報告された L0CK3D ランサムウェアの攻撃は、Synology NAS デバイスを標的とし、サードパーティ製コンテナサービスや未修正のソフトウェア依存関係を悪用していました。QNAP システムはこのマルウェア攻撃の影響を受けていません。同様の攻撃を防ぐため、NAS の管理ポートでポートフォワーディングを無効化し、QVPN 経由でサービスにアクセスし、システムファームウェアや App Center パッケージを常に最新の状態に保ってください。
Q2: 私の QNAP NAS は PHP2Shell の脆弱性の影響を受けていますか？
QNAP はこの脆弱性に対し、72 時間以内に QTS、QuTS hero、QuTScloud 向けに修正済みファームウェアを公開し、対応しました。コントロールパネル > システム > ファームウェア更新 から、修正済みビルド以降が適用されているかご確認ください。
Q3: ブルートフォース攻撃や不正ログインを防ぐ方法は？
Secure-by-Default の原則に従い、デフォルトの管理者アカウントを無効化し、強力なパスワードを設定、二要素認証（2FA）を必須化し、IP 自動ブロックポリシー（QuFirewall や Fail2ban など）を構成して、悪意ある接続を自動的に遮断しましょう。
Q4: ランサムウェアが NAS を攻撃した場合、暗号化されたデータは復元できますか？スナップショットは役立ちますか？
はい。ただし、事前にイミュータブルまたはエアギャップ保護が設定されていた場合のみ復元可能です。管理者認証情報が漏洩すると、通常のスナップショットは削除される可能性があります。復旧を確実にするためには：
- WORM フォルダーとイミュータブルスナップショットを有効化:保持期間中は、root 管理者でもファイルの変更やスナップショットの削除が制限されます。
- 3-2-1-1-0 バックアップ戦略を実施:少なくとも 1 つのバックアップをオフサイトに保管し、1 つはオフラインまたはイミュータブルロックで保存。定期的な復元テストも行いましょう。
AI 利用に関する表記：本記事の一部の画像およびテキストは、人工知能（AI）を活用して作成・編集されており、編集者が内容を確認しています。
