Bunny CDNがインフラプロバイダーのインシデントを公表
2026年10月28日、CDNプロバイダーのBunny CDNは、インフラプロバイダーにおけるセキュリティインシデントについて顧客へ通知しました。この事件は、同社のインフラプロバイダーが提供するサーバー管理ソフトウェアに対する不正アクセスに起因するもので、アルメニアに設置されていたBunny CDNのCDNノードの一つが影響を受けました。インシデント発生の報告を受けてから、Bunny CDNのエンジニアリングチームは20分以内に当該サーバーへのトラフィックルーティングを停止し、関連するセキュリティログのレビューと保全、サーバーのセキュアなワイプ、そして他のシステムへのアクセス権限の取り消しを実施しました。
Bunny CDNはインシデント報告後、20分以内に影響を受けたサーバーへのトラフィックルーティングを停止しました。
潜在的に露出した情報とその影響
Bunny CDNおよびインフラプロバイダーによる調査では、現時点までCDNノードへの不正アクセスの証拠は確認されていません。しかし、可能性を完全に排除することはできないとされています。
もし不正アクセスが発生していた場合、一時的にキャッシュされたCDNコンテンツ、Pull Zoneの設定、および当該サーバーに保存されていたTLS証明書が露出した可能性があるとのことです。顧客のアカウントデータやその他の内部システムは影響を受けていないと報告されています。
この状況を受け、Bunny CDNは追加的な予防措置として、b-cdn.netおよびbunny.runドメインのすべてのTLS証明書を失効させ、再発行しました。カスタムドメイン向けのマネージドTLS証明書の再発行も進行中であり、24時間以内に完了する見込みです。
| 影響範囲 | 説明 |
|---|---|
| 顧客アカウントデータ | 影響なし |
| 内部システム | 影響なし |
| キャッシュコンテンツ | 露出の可能性あり |
| Pull Zone設定 | 露出の可能性あり |
| TLS証明書 | 露出の可能性あり |
Linodeでも類似のセキュリティ問題が報告
今回のBunny CDNのインシデントと時期を同じくして、Akamai Compute Platform（旧Linode）もセキュリティに関する発表を行っています（Hacker News (API)）。2026年10月30日には、Akamaiが「CVE-2026-98432」というリモートコード実行の脆弱性を調査しており、緩和策を講じていると発表しました。具体的な関連性は不明ですが、複数のインフラプロバイダーで同時期にセキュリティ問題が発生している状況は、クラウドインフラ全体のセキュリティ管理の難しさを改めて示しているように感じます。
AkamaiはCVE-2026-98432というリモートコード実行の脆弱性を調査中で、緩和策を展開しています。
エンジニア目線での考察：迅速な対応は評価できるが、依存関係は常にリスク
今回のBunny CDNの対応は、インシデント発覚から20分でトラフィックを停止するという迅速さがあり、非常に評価できます。しかし、インフラプロバイダーの管理するサーバー管理ソフトウェアが起点となっている点は、CDNのような重要なサービスを提供する上で避けられない外部依存関係のリスクを浮き彫りにしていると感じます。私たち開発者も、利用するクラウドサービスやサードパーティのライブラリ選定において、そのセキュリティ体制やインシデント対応能力をより深く評価する必要があるのではないでしょうか。
特に、TLS証明書のような機密情報が潜在的に露出した可能性は、影響範囲が広がる可能性があります。マネージド証明書を利用しているユーザーは対応不要とされていますが、自身で証明書を管理している場合は、予防的に失効と再発行を行うことが推奨されています。
これは、私の個人プロダクトでも他社のCDNを使っているため、もし同様のインシデントが起きた場合のリスクと対応について、改めて検討する良い機会だと感じています。サービス選定の際には、コストや機能だけでなく、サプライチェーン全体のセキュリティ保証体制をより重視する時代になったのかもしれません。
