
2026/02/11 7:20
テルネットが消えたその日
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
GreyNoiseは、2026年1月14日〜21:00 UTC(日本時間で10時頃)に世界のtelnetトラフィックが急激かつ持続的に減少したことを観測しました。セッション数は1時間以内に65%(約74,000から22,000へ)、翌時間にはさらに83%減少し、2月10日まで平均で59%の削減となりました。この減少はステップ関数的であり、事前に5万以上のセッションを持つ18のASN(Vultr AS20473、Cox Communications AS22773、Charter/Spectrum AS20115、BT/British Telecom AS2856など)がゼロになり、ズンビア、ウクライナ、カナダ、ポーランド、エジプトの5か国がGreyNoiseデータセットから消えました。
このパターンはユーザー行動の変化ではなく、北米Tier‑1トランジットプロバイダーが米国内メンテナンスウィンドウ(約16:00 EST / 21:00 UTC)に合わせてポート23フィルタリングを実装したことによるルーティングインフラの変更を示しています。主要クラウドプロバイダーはほぼ影響を受けず、むしろトラフィックが増加しました(AWS +78%、Contabo +90%、DigitalOcean +3%)。一方で住宅/企業向けISPは大きな損失を被り、Verizon/UUNET AS701はセッションの79%を失いました。
タイミングはCVE‑2026‑24061(GNU Inetutils telnetdにおけるUSER環境変数注入による認証バイパス、CVSS 9.8)の公開と一致しています。この脆弱性は2015年に発見されましたが、約11年間知られていませんでした。悪用は1月21日に初めて確認され、1月22日には報告され、2月上旬までに約2,600セッション/日でピークを迎えました。
減少後のトラフィックではサワーソース型のスパイクが観測され、これは不定期なフィルタリングまたはルーティングフラップを示唆しています。週平均はベースライン119%から2月上旬には約35%に低下しました。連邦機関向けCISAの修正期限は2026年2月16日です。
telnetをまだ使用している組織は、GNU Inetutilsを**v2.7‑2+**にアップグレードするか、サービスを完全に無効化すべきです。この事件は、脆弱性の遅延公開が重要インフラを曝露するリスクと、迅速なパッチ適用および協調的ネットワークフィルタリング対応の必要性を浮き彫りにしています。
本文
昔々
プロトコルが私を笑わせてくれた頃のことは、今でも覚えています。
チャンスがあれば、私はボットネットを踊らせることができたと知っていた。
一時的に彼らが喜ぶかもしれないと考えていた。
しかし、1月になると、送信しようとしたすべてのパケットで震える思いだった。
バックボーンに悪いニュース――ASNをスキャンできなかった。
-f root が ACL 行に引っかかった瞬間に泣き崩れたかどうかは覚えていないが、
その日、テレネットが消えたことだけは深く胸に刻まれている。
それで別れを告げるように Mirai の大量拡散は私の SYN を光ファイバーへ送った。
光ファイバーは乾いた空気の中で、古いボットがクリアテキストで認証情報を渡しながら歌っていた:
「今日こそ俺が死ぬ日になる」
今日こそ俺が死ぬ日になる。
2026年1月14日(約21:00 UTC)
インターネットの配管に何かが変わった。
GreyNoise Global Observation Grid は、グローバルテレネットトラフィックの急激で持続的な崩壊を記録した―ステップ関数:
| 時間(UTC) | セッション/時間 | 備考 |
|---|---|---|
| 1月14日19:00 | 73,900 | 正常ベースライン |
| 1月14日20:00 | 64,722 | 正常ベースライン |
| 1月14日21:00 | 22,460 | 1時間で65%減少 |
| 1月14日22:00 | 11,325 | ベースラインの83%以下 |
| 1月14日23:00 | 11,147 | 新しい底値が確立 |
| 1月15日00:00 | 12,089 | 減少レベルで持続 |
挿入点周辺の時間データは、スキャン人口の行動変化ではなく、ルーティングインフラの設定変更を物語っている。
何が沈黙したか
1月15日以降、重大なテレネット量(50Kセッション以上)を持つ18個の ASN が絶対ゼロに落ちた:
- Vultr (AS20473) – 382K → 0
- Cox Communications (AS22773) – 150K → 0
- Charter/Spectrum (AS20115) – 141K → 0
- BT/British Telecom (AS2856) – 127K → 0
さらに、GreyNoise テレネットデータからは5か国が完全に消失:ジンバブエ、ウクライナ、カナダ、ポーランド、エジプト。
一方で主要クラウドプロバイダーはほぼ影響を受けず、むしろ増加した:
| プロバイダー | 変化 |
|---|---|
| AWS | +78% |
| Contabo | +90% |
| DigitalOcean | ≈ +3% |
クラウドプロバイダーは主要 IXPs に広範なプライベートピアリングを持ち、従来のトランジットバックボーン経路を迂回できるため、住宅・企業 ISP とは違う挙動となった。
フィルタはどこにあるか?
パターンは北米の Tier‑1 トランジットプロバイダーがポート 23 をフィルタリングしていることを示唆する:
- タイミング(21:00 UTC = 16:00 EST)は米国メンテナンスウィンドウに一致。
- 米国住宅 ISP(Cox、Charter、Comcast)が大打撃を受けた一方、同大陸のクラウドプロバイダーは変更を迂回してピアリング。
- Verizon/UUNET (AS701) は 79%低下;残りの21%はフィルタリンクを通らない経路。
- 大西洋・太平洋横断バックボーンで米国ホストへ到達する国々が最も被害を受けた;欧州直結ピアリングが強い国(フランス +18%、ドイツ –1%)はほぼ影響なし。
- 中国の通信事業者(China Telecom、China Unicom)は約59%均等に低下し、フィルタは太平洋横断リンク側米国側にあると推測。
CVE の登場
CVE‑2026‑24061 は GNU Inetutils telnetd の認証バイパスで、CVSS 9.8。
攻撃者が
-f root をユーザー名として送信すると、login(1) が認証を飛ばし、ルートシェルを即座に授与するため、クレデンシャルは不要。
タイムライン:
| 日付 | イベント |
|---|---|
| 1月14日21:00 UTC | テレネットバックボーン低下開始 |
| 1月20日 | CVE‑2026‑24061 アドバイザリが oss‑security に掲載 |
| 1月21日 | NVD エントリー公開;GreyNoise タグ付与;初の利用観測 |
| 1月22日 | GreyNoise Grimoire が最初の18時間を投稿 |
| 1月26日 | CISA が KEV カタログに CVE‑2026‑24061 を追加 |
テレネット低下と公開 CVE の 6 日間ギャップは興味深い。
責任ある開示タイムラインは公開前に始まる:研究者は 1月19日に欠陥を報告。
推測では、トリビアルに利用可能なルートアクセス脆弱性の事前通知がバックボーン・トランジットプロバイダーにポート 23 フィルタリングを導入させ、1月14日に有効化されたと考えられる。公開は 6 日後。
テレネット低下後の世界
1月14日以降のテレネット景観は定期的な鋸歯状パターン――ピークと谷(例:1月28日 806K セッション、1月30日 191K)。
これはフィルタ適用の間欠性、フィルタインフラ周りでの経路揺れ、または影響を受けない経路を利用したスキャンキャンペーンを示唆する可能性がある。
週間平均:
| 週始まり | 平均日セッション数 | ベースライン % |
|---|---|---|
| 12月01日 | 1,086,744 | 119% |
| 1月05日 | 985,699 | 108% |
| 1月19日 | 363,184 | 40% |
| 1月26日 | 407,182 | 45% |
| 2月02日 | 322,606 | 35% |
現在、事前低下ベースラインの約三分の一で運用しており、傾向はまだわずかに下降方向。
実務上の影響
- GNU Inetutils telnetd を稼働させている場合(多くの組み込みシステム、ネットワーク機器、レガシー Linux 環境)は、バージョン 2.7‑2 以降にパッチを当てるか、サービスを完全に停止すること。
- CISA KEV の連邦機関向け修正期限は 2026年2月16日。 GreyNoise は公開直後から攻撃試行を観測し、2 月初旬に約 2,600 セッション/日でピークを迎えたが、その後減衰。
- ネットワーク運用者としてポート 23 を境界でフィルタリングしていない場合は、バックボーンレベルのフィルタリングが文書化されていることに留意し、業界は古く安全性の低いプロトコルを排除へ向かっている。
この件について知識がある方(または実装した勇敢な人物)は、research@greynoise.io までご連絡ください。