Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP
本日24時間 (JST 2026-05-17, 日曜日) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 7件のセキュリティイベント (Critical: 2 / High: 2 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 390件 で前日比 +248%。 日曜にも関わらず大幅増。
主な観測事項は以下の通りです:
34.88.155.91 + 34.65.157.88 (両方 Google Cloud) から各131件、 同期攻撃。 期間中初の本格的な .env スキャンキャンペーン。CVE-2022-29078 (Ejs Code Injection) 4件 + CVE-2025-55182 (React RCE) 2件。 5/25レポートで再観測される攻撃の 真の初出現日。すべての攻撃は WAF にて遮断され、侵害は確認されていません。 ただし 5/17 が "後の5/24 大規模 .env 攻撃" と "5/25 CVE 悪用" 両方の初観測日 であることから、SOC として 長期キャンペーンの起点 として重要なマイルストーン。
| ID | Severity | Category | Title | Volume | Status |
|---|---|---|---|---|---|
SOC-INC-001 | CRITICAL | Paired IP Attack | CH+FI Google Cloud paired .env mass scanner (FIRST) | 262 req · 2 paired IPs | Mitigated (CIDR block urgent) |
SOC-INC-002 | CRITICAL | CVE Exploitation | FIRST CVE-2022-29078 + CVE-2025-55182 exploitation attempts | 6 blocks · 2 CVEs | Blocked (Managed) |
SOC-INC-003 | HIGH | Information Disclosure | .env mass scan campaign begins (245 blocks) | 245 blocks · 15+ paths | Blocked (Managed) |
SOC-INC-004 | HIGH | Bot Impersonation | Fake bingbot/Baiduspider User-Agents (11 blocks) | 11 blocks | Blocked (Managed) |
SOC-INC-005 | MEDIUM | Credential Attack | wp-login.php brute force baseline (28 blocks) | 28 blocks | Blocked (rule active) |
SOC-INC-006 | MEDIUM | Webshell Hunting | ALFA TeaM + seotheme/db.php probing continues | 16 req | Mitigated |
SOC-INC-007 | LOW | Trend | Sunday surge — campaign starting + 5/16 NL Firefox 47 not returning yet | Information | Continue monitoring |
34.88.155.91 (FI, Finland Edge Colo ARN) — 131件34.65.157.88 (CH, Switzerland Edge Colo MXP) — 131件 (完全に同数!)(ip.src in {34.88.155.91 34.65.157.88})
or (ip.src.asnum eq 15169
and lower(http.request.uri.path) matches "\\.env")
3fe69f2a728e40dfabd2cfb602a9ee9633aa8a8a948b48b28d40450c5fb92fba
1. Origin server audit (即時): ▸ Ejs version → CVE-2022-29078 修正版へ ▸ React version → 26.x なら CVE-2025-55182 パッチ確認 2. Managed Ruleset を完全Block モードに: Dashboard → Security → WAF → Managed rules ▸ Cloudflare Managed Ruleset → BLOCK ▸ Cloudflare OWASP Core Ruleset → BLOCK (Sensitivity: High) ▸ Cloudflare Exposed Credentials Check → BLOCK 3. CVE 関連のManaged Rule ID を Custom Rule で明示的に BLOCK
/.env (7) · /.git/config (7) · /app/.env · /.env.bak · /backend/.env · /api/.env · /.env.old · /public/.env · /admin/.env など各3-4件。 SOC-INC-001 の CH+FI ペアが主要発火源。
(lower(http.request.uri.path) matches "(^|/)\\.env(\\.|$)" or lower(http.request.uri.path) matches "/(api|backend|laravel|admin|app|demo|portal|dev|server|core|staging|src|config|public)/?\\.env")
/wp-content/themes/seotheme/db.php (8) · /ALFA_DATA/alfacgiapi/perl.alfa (4) · /alfacgiapi/perl.alfa (4)/images/images/cache.php (4)"action": "log" で投入し、Logpush で誤検知有無を観察。action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。本日は キャンペーンの「行動開始日」。 5/16の偵察フェーズから一気にスケールアップ:
① .env mass scan が始動: 5/16 55件 → 5/17 245件 (+345%)。 これは 5/24 ピーク (595件) に至る 10日キャンペーンの第1波。
② CVE 悪用試行を初観測: CVE-2022-29078 (Ejs Code Injection) + CVE-2025-55182 (React RCE) を本日初観測。 過去レポート (5/25) で「初観測」と記載されていたが、実は 5/17 から始まっていた。
③ 偽装ボット UA 検知: Bingbot/Baiduspider 偽装 11件。 攻撃者の Bot Detection 回避意識 が確認できる。
つまり 5/17 は SOC として最も重要な "観測の起点日"。 もしこの日に強い対策を投入できれば、後続の10日間の被害を大幅に減らせた可能性がある。
34.88.155.91 (FI) + 34.65.157.88 (CH) から完全同期 131+131件。 両方 Google Cloud。 同一スクリプトの並列実行 による地理偽装。本日は 10日攻撃キャンペーンの境界点。 5/16-17 を比較すると、攻撃の質が劇的に変化した:
▸ 5/16 (土): 偵察 + 公開スキャナー登録 + Origin issue
▸ 5/17 (日, 本日): .env mass scan 始動 + CVE 試行開始 + UA 偽装
▸ 5/18 (月) 予測: WP Brute Force 急増 (905件達成) + 全方位攻撃
過去の AI SOC レポートを振り返ると、5/25 で「CVE初観測」と記載していたが 実際は 5/17 が真の初観測日。 同様に「5/24 が .env mass scan ピーク」だが 5/17 が第1波の起点。 本ケーススタディは 「日次レポートでは長期キャンペーンの全体像を見落とす可能性」 を示している。 8日累計や週次のメタ分析も並行で実施すべき。
SOC-CONFIG-002 に従う。 CVE 悪用試行は本日初観測のため、絶対に成功させない。
SOC-RULE-001 + SOC-RULE-003 を即時投入。 ペア攻撃源を遮断し、 .env mass scan を阻止。
5xx エラー率は 0.4% と低水準 (5/16 の523急増は本日収束)。 オリジンサーバは健全。 200 OK が 822件 (27.9%) と健全な比率で、正当な利用は受け入れられている。
CVE 悪用試行は 全6件すべて Managed Rule で Block されており、現時点で侵害は確認されていない。 ただし攻撃キャンペーンが 「偵察」から「実行」フェーズに移行 したことは明確で、 5/18 (月) 以降の継続観測が必須。
A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.
B. Reference Documentation:
C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.
D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。
E. Next Report: 2026-05-18 (JST) at 09:00 — automated dispatch via AI SOC pipeline.