# Dockerの公開APIが侵入口に。クラウドの設定を見直す

Canonical: https://security.qutori.jp/article/docker-carbonato-sep2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本サイト確認日: 2026-10-24

シンガポールCSAが、認証のないDocker Remote APIを狙うCARBONATOへの対策を案内。侵入後は認証情報の窃取や、接続先の別サーバーへの拡大が起こり得ます。

日本語要約・編集：バグマゲドン対策委員会。本記事公開・確認：2026-10-24。

原文発行：Cyber Security Agency of Singapore / 原文公表：2026-09-30。

## 対象と影響

クラウドやVPSでDockerを使う小規模な開発・制作会社も対象です。アプリが正常でも、管理用APIが外部公開されていないか確認が必要です。

## 自社で確認すること

Docker管理APIの不要な外部公開を閉じる。

1. Docker Remote APIをインターネットへ直接公開しない。不要なネットワークアクセスを無効にする。
2. 必要な遠隔管理はSSHまたはクライアント認証つきTLSを使い、接続元を制限する。
3. 公開されていた環境は不審なコンテナ・接続を調べ、侵害の疑いがあれば隔離して秘密情報を更新する。

## 攻撃の流れと防御の確認箇所

公開された管理API → 不正なコンテナ → ホストへアクセス → 秘密情報窃取・横展開

防御の確認箇所：管理APIの非公開化と認証

## 優先度の考え方

優先対応。認証なしの管理API公開がホストの侵害や他の環境への拡大につながるため。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 報告の範囲

公開されたDocker環境への注意喚起。シンガポールでの被害件数とは限らない。

## 原文と確認箇所

- [Cyber Security Agency of Singapore — Advisory on CARBONATO Botnet Campaign Targeting Exposed Docker Daemons](https://www.csa.gov.sg/alerts-and-advisories/advisories/ad-2026-012/)

CSAの9/30付公式勧告。Affected SystemsとRecommendationsを確認。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)