2026年4月～6月の『Webアプリケーションへのサイバー攻撃検知レポート』を発表

グローバルセキュリティメーカーの株式会社サイバーセキュリティクラウド（本社：東京都品川区、代表取締役社長 兼 CEO：小池敏弘、以下「当社」）は、2026年4月1日～2026年6月30日を対象とした『Webアプリケーションへのサイバー攻撃検知レポート（以下「本レポート」）』を発表します。本レポートは、当社が提供するWebアプリケーションへのサイバー攻撃を可視化・遮断するクラウド型WAFの『攻撃遮断くん』、及びパブリッククラウドWAFの自動運用サービス『WafCharm（ワフチャーム）』で観測したサイバー攻撃ログを集約し、分析・算出しています。

 

■ 本レポートのサマリー

• 2026年4-6月期の攻撃検知件数は合計約7億9,475万件。1日あたり平均約873万件、1秒あたり約101回の攻撃を検知しました。
• 前四半期（2026年1-3月期、約7億699万件）比で約12.4%増、前年同期（2025年4-6月期、約5億2,655万件）比では約1.5倍（+50.9%）に拡大しました。
• イタリアを発信元とみられる攻撃が6月に急増し、前月の約142倍、前年同期比では約75倍に拡大。6月単月の全世界検知件数の約2割を占めました。
• 攻撃種別では「Web scan」が引き続き最多だが構成比は前年同期の43.9%から39.1%へ縮小し、「PHPUnit」「ブルートフォース」を狙った攻撃の構成比が拡大しました。
  

今回の分析から、既知の脆弱性や設定不備を狙った攻撃が継続的に実施されるとともに、自動化された大規模な探索活動が活発化している実態が確認されました。また、攻撃件数や発信元だけでなく、攻撃内容や攻撃基盤まで分析することで、攻撃者の意図や攻撃キャンペーンの特徴を把握し、防御へ迅速に反映することの重要性が改めて示されました。

 

■ 攻撃総数と推移：四半期で約7億9,475万件、1秒あたり約101回の攻撃

2026年4月1日から6月30日までの91日間で、当社が検知したサイバー攻撃の総数は合計約7億9,475万件（794,745,863件）でした。1日あたりの平均検知件数は約873万件、1秒あたりに換算すると約101回の攻撃を検知した計算になります。

前四半期（2026年1-3月期、合計約7億699万件）と比較すると約12.4%の増加となりました。また、前年同期（2025年4-6月期、合計約5億2,655万件、1日あたり平均約579万件・1秒あたり約67回）と比較すると、検知件数は約1.5倍（+50.9%）に拡大しています。

 

■ 攻撃種別の構成比と傾向

検知した攻撃を種別で見ると、「Web scan」が全体の39.1%と引き続き最多を占め、次いで「SQLインジェクション」が15.8%、「PHPUnit」が7.5%、「ブルートフォース」が7.3%、「クロスサイトスクリプティング（XSS）」が6.7%、「ブラックリスト登録済みユーザーエージェント」が5.8%と続きました。上位9種別で全体の90.3%を占め、残り9.7%がその他の種別です。

前年同期（Web scan 43.9%、SQLインジェクション15.5%、ブラックリスト登録済みユーザーエージェント10.0%、PHPUnit 4.5%、ブルートフォース1.3%）と比較すると、Web scanとブラックリスト登録済みユーザーエージェントの構成比が縮小する一方、PHPUnitやブルートフォースを狙った攻撃の構成比が大きく拡大しており、特定の脆弱性・手法を狙った攻撃へのシフトがうかがえます。

 

■ イタリア発信元とみられる攻撃の急増

攻撃発信元の国別傾向を分析したところ、イタリアを発信元とみられる攻撃が四半期を通じて急増したことが確認されました。月別に見ると、4月は約10.9万件、5月は約48.4万件であったのに対し、6月は約6,875万件（68,746,856件）に達し、前月から約142倍という急拡大となりました。

この結果、6月単月における全世界の検知件数（約3億4,724万件）に占めるイタリア発信元の割合は約2割（19.8%）に達しています。四半期合計でも約6,934万件となり、前年同期（2025年4-6月期、約93万件）と比較して約75倍という大幅な増加が確認されました。

短期間かつ大規模な検知件数の増加であることから、自動化されたスキャンツール等による集中的な探索・調査活動があった可能性が考えられますが、攻撃の意図や主体を断定するものではありません。当社では引き続き当該傾向の分析を継続してまいります。

なお、社内の詳細分析（ユニークなSrcIP数ベース、本編の国別集計とは算出方法が異なる参考値）では、イタリア発信元とみられる一意なIPアドレス数は33,084個と、米国（83万個超）やドイツ（7.6万個超）など他の上位国と比べてむしろ少ないことが分かりました。一方で、1IPあたりの検知件数は2,146.6件と、2位のドイツ（559.9件）の約3.8倍、米国（390.1件）の約5.5倍に達しています。

この結果は、多数のVPS・ボットネットを動員した分散的な探索活動というよりも、比較的少数の送信元が高頻度・継続的にリクエストを送り続けている可能性を示唆しています。ただし、これはあくまで社内分析による一つの見方であり、GeoIP判定の精度に依存する点も含め、断定的な結論ではないことにご留意ください。

また、一般的に攻撃者はブロックや検知を回避するため、単一のIPアドレスに固定せず、クラウドサービス、VPS、プロキシなどを介し、複数のIPアドレスを利用してスキャンや攻撃を行うことがあります。今回観測された「少数のユニークIP」も、実際の攻撃主体がさらに少なく、その少数の攻撃者がIPアドレスを使いまわしながら大量のリクエストを送り続けていた可能性も考えられます。ユニークIP数だけでは攻撃主体の人数・組織数を直接示すものではない点に留意が必要です。

 

■ 攻撃発信元国の傾向

2026年4-6月期の攻撃発信元国別では、米国が約3億1,624万件（構成比40.0%）と最も高く、次いでイタリア約6,934万件（8.8%）、ロシア約6,191万件（7.8%）、日本約4,845万件（6.1%）、中国約4,454万件（5.6%）、ドイツ約3,816万件（4.8%）と続きました。

前年同期（米国約2億3,867万件・45.4%、日本約4,695万件・8.9%、フランス約3,501万件・6.7%、ドイツ約2,103万件・4.0%）と比較すると、上位国の顔ぶれに変化が見られ、イタリアに加えて、ロシア（約1,689万件→約6,191万件、前年同期比約3.7倍）、中国（約1,458万件→約4,454万件、同約3.1倍）を発信元とする検知件数も大きく増加しています。

 

■【特別トピック】GW期間中に観測されたReact2Shell攻撃（CVE-2025-55182）について

当社で脅威情報の収集・分析を担う脅威インテリジェンスグループは、2026年ゴールデンウィーク期間（4月10日〜5月11日）中に観測されたReact2Shell（CVE-2025-55182）関連攻撃について分析を実施しました。React2Shellは、Reactの「React Server Components」の仕組みを悪用し、サーバー上で本来想定されていない処理を実行させようとする脆弱性です。

分析の結果、React2Shellは脆弱性公開から約5か月が経過した後も継続的な攻撃対象となっており、特に2026年5月7日には世界規模とみられる大規模なスキャン活動が観測されました。また、攻撃者は環境変数ファイルやクラウド認証情報などの取得を試みており、単なる脆弱性探索にとどまらず、後続の侵害活動を見据えた情報収集を行っていた可能性が示唆されます。

 

攻撃件数の推移

対象期間中、React2Shell関連攻撃は継続的に観測され、2026年5月7日に1日あたり最大で約15万件に達する大規模なピークが確認されました。単発的な攻撃ではなく、特定タイミングで大規模なスキャンキャンペーンが展開された可能性が示唆されます。

サービス別に見ると、「WafCharm（AWS WAF）」および「攻撃遮断くん WebType」で顕著な増加が確認されました。なお、「攻撃遮断くん ServerType（-v2）」については、攻撃がHTTPリクエストのBody部分に格納されているケースが多く、通常のログでは十分に検知できない点に留意が必要です。今回の集計値は「発生した攻撃件数」ではなく「観測できた攻撃件数」である点にご留意ください。

 

攻撃元の傾向

攻撃元は特定の国に集中しているわけではなく、世界各国に分散していました。特にブルガリア、オランダ、米国からの攻撃が多く観測されており、世界規模のスキャン活動が実施されていたことがうかがえます。

 

攻撃元ASNを分析すると、クラウドサービスやVPS事業者が多数確認されました。この結果は、攻撃活動の「工業化・自動化」が進んでいる現状を示しています。

国	ASN組織	検知件数（CVE-2025-55182）
ブルガリア	Techoff Srv Limited	96,819
オランダ	Techoff Srv Limited	55,302
米国	DIGI VPS	28,402
オランダ	NimblyNet Limited	22,720
インド	SoloRDP	21,310
日本	Amazon.com, Inc.	18,290
米国	Amazon.com, Inc.	17,252
米国	SnTHostings	15,159

なお、ピークとなった2026年5月7日単日では、ブルガリア（約6.0万件）、オランダ（約4.2万件）、米国（約2.6万件×2系統）、インド（約1.4万件）、日本（約6,383件）からのアクセスが集中的に観測されました。

 

攻撃内容の分析

今回の分析から、攻撃者はWebサイトそのものではなく、その先にある認証情報や設定情報の取得を狙っていた可能性が高いことが分かりました。観測された攻撃ペイロードでは、以下のような環境変数・認証情報関連ファイルの読み取りが試みられていました。

・.env / .env.local / .env.production / .env.development / .env.staging

・.aws/credentials

・config/database.js / config/secrets.json / config/smtp.json

・prisma/.env / app/config/secrets.yml

また、一部のペイロードではサーバー上でのコマンド実行可否を確認する処理（whoamiやidコマンドの実行）も確認されており、単なる脆弱性の有無の確認にとどまらず、後続の侵害活動につながる認証情報・設定情報の収集を目的としていた可能性が高いと考えられます。

 

分析から得られた示唆

• 脆弱性公開後も攻撃は終わらない：公開から約5か月後も大規模な攻撃対象となっており、脆弱性対応は単発のイベントではなく継続的な運用課題であることを示しています。
• 攻撃の工業化・自動化が進んでいる：攻撃元にはクラウドサービスやVPS事業者が多く、高度な標的型攻撃というよりも、低コストで大規模なスキャン活動としての性質が強いと考えられます。
• 可視化できる攻撃は一部に過ぎない：HTTPリクエストのBody部分に格納される攻撃は一般的なログだけでは十分に確認できず、多面的な分析の重要性が示されました。
• 脅威分析は攻撃者の意図を理解する手段である：攻撃件数や攻撃元情報だけでなく、攻撃ペイロードを組み合わせることで、攻撃者が認証情報・設定情報を狙っていた可能性を読み解くことができました。

本事例からは、攻撃を受けてから対応するのではなく、平時から攻撃動向を観測・分析し、得られた知見を防御へ迅速に反映することの重要性が分かります。CSCでは、複数のお客様環境で観測した攻撃データを横断的に分析することで、攻撃キャンペーンの兆候や特徴を早期に把握し、WAFのルール改善や迅速な防御対応につなげています。こうした継続的な観測と防御の更新に加え、単一の対策に依存しない多層防御を組み合わせることが、攻撃の高速化・大規模化に備える上で重要です。

 

■ 現場エンジニアの声：脅威インテリジェンスグループ カイエ セルヒオ

Q. 今回の分析で最も印象に残った攻撃パターンは何ですか？

最も顕著だったのは、4月下旬（21～23日）と5月上旬（7～9日）に発生したReact2Shellを標的とする攻撃キャンペーンが、同一の攻撃者によるものと考えられる点です。

4月の攻撃は主にオランダの特定ASNから行われていましたが、5月には米国やブルガリアを含む複数のASNへと攻撃インフラが拡大し、リクエスト数も大幅に増加しました。

4月下旬と5月上旬の2つの攻撃キャンペーンは、User-Agentのローテーションや攻撃対象となったリクエスト先など、類似したフィンガープリントが確認されたことから、同一の攻撃者によるものと判断されています。また、このような挙動は、これらのキャンペーンの前後には確認されていませんでした。

 

Q. そのパターンをどのように検知・分類しましたか？

React2ShellはHTTPリクエストのBody部分を悪用する攻撃であるため、一般的なログだけでは十分に把握できないケースがあります。当社では複数の検知ルールやIoC（侵害指標）を組み合わせて分析しており、一つのシグネチャだけでは見逃してしまう攻撃も、多面的な分析によって継続的に把握しています。

 

Q. 当社のデータ規模だからこそ気づけたことは何ですか？

複数のお客様環境で観測した攻撃を時系列で比較できたことで、『一時的な攻撃』ではなく、『複数の攻撃キャンペーンがどのように変化していったか』まで分析することができました。攻撃件数だけでは見えない、ASNやUser-Agentの変化、攻撃タイミングの違いなどを組み合わせることで、攻撃者の活動実態をより立体的に把握できたことが、今回の分析で最も大きな成果だと考えています。

こうした分析を通じて攻撃パターンや攻撃キャンペーンの特徴を蓄積することで、同様の攻撃が再び行われた場合にも、当社は早期に兆候を捉え、迅速に対応することが可能になります。また、個々のお客様環境だけでなく、複数のお客様を横断して得られた知見を活用することで、CSC全体としてお客様を保護できる点も、データ規模を生かした強みです。

 

■ 株式会社サイバーセキュリティクラウド 代表取締役 CTO 渡辺洋司からのコメント

2026年4月～6月は、攻撃検知件数が前年同期を大きく上回る結果となりました。特に、特定の発信元からの攻撃が短期間に急増する事象が確認されており、自動化されたツールによる大規模な探索活動が活発化している可能性があります。
また、React2Shell関連攻撃では、脆弱性の公開から一定期間が経過した後も大規模な攻撃が継続し、認証情報や設定情報の取得を試みる動きも確認されました。脆弱性対応は、公開直後の一度限りの対応ではなく、継続的な運用課題として取り組むことが重要です。

当社では、React2Shellに関する情報を入手した当日中にWafCharmのユーザーへ注意喚起を行うなど、脅威情報の迅速な収集と周知に努めました。攻撃の高速化・大規模化が進む中、脅威の兆候を早期に捉え、得られた情報を速やかに防御や注意喚起へ反映する体制が、これまで以上に重要になっています。
当社は今後も、複数のお客様環境で観測した攻撃データを横断的に分析し、検知ルールの改善や迅速な情報提供につなげることで、お客様の安全なWeb環境の実現を支援してまいります。

 

株式会社サイバーセキュリティクラウド（https://www.cscloud.co.jp）

所在地：〒141-0021 東京都品川区上大崎3-1-1 JR東急目黒ビル13階
代表者：代表取締役社長 兼 CEO 小池敏弘
設立：2010年8月
「世界中の人々が安心安全に使えるサイバー空間を創造する」をミッションに掲げ、世界有数のサイバー脅威インテリジェンスを駆使したWebアプリケーションのセキュリティサービスを軸に、脆弱性情報収集・管理ツールやクラウド環境のフルマネージドセキュリティサービスを提供している日本発のセキュリティメーカーです。私たちはサイバーセキュリティにおけるグローバルカンパニーの1つとして、サイバーセキュリティに関する社会課題を解決し、社会への付加価値提供に貢献してまいります。