ハクソク

世界を動かす技術を、日本語で。

Vercel 2026年4月のセキュリティインシデント

5時間前原文(vercel.com)

概要

  • Vercelの内部システムで不正アクセスが発生
  • 調査と対応を専門家と共に進行中
  • 影響範囲は一部顧客に限定
  • サービスは通常運用中
  • 推奨対策とサポート案内

Vercelセキュリティインシデント発生のお知らせ

  • Vercel内部システムへの不正アクセスを確認
  • インシデント対応専門家と連携し、調査・復旧を実施
  • 法執行機関へ通報済み、調査進捗は随時更新
  • 影響は限定的な顧客のみ、該当者へ個別連絡
  • サービス運用は継続、影響なし
  • Vercelシステムと顧客保護のための対策を強化

お客様への推奨対策

  • アカウントおよび環境のアクティビティログの確認・監視
  • 環境変数の見直しと定期的なローテーション
  • Sensitive Environment Variables機能の活用推奨
  • シークレットのローテーションや技術サポートが必要な場合は
    • vercel.com/helpからサポートへお問い合わせ推奨

Hackerたちの意見

詳細がないから、この「サブセット」のユーザーがどれくらいの規模なのか気になるな。
└
詳細がない時点で、もう十分すぎるくらい分かるよね。出てくる情報は、間違いなくPRで綺麗にされてるし、真実の大きな塊はPRプロセスを通らないだろうね。
関連リンク: https://news.ycombinator.com/item?id=47824426 https://x.com/theo/status/2045862972342313374 > 「これは信頼できると思う理由がある。」 https://x.com/theo/status/2045870216555499636 > 「センシティブとしてマークされた環境変数は安全。センシティブとしてマークされていないものは、念のためにロールアウトすべき。」 https://x.com/theo/status/2045871215705747965 > 「このハックについて知っていることは、どのホストにも起こり得ることを示唆している。」 https://x.com/DiffeKey/status/2045813085408051670 > 「VercelはShinyHuntersによって侵害されたと報じられている。」
└
この「テオ」って人は誰なの？なんで複数の人が彼を引用してるの？今のところ、彼が言ってることはあまり意味がないように思える。
https://x.com/theo/status/2045871215705747965 - 「このハックについて知っていることは、どのホストにも起こり得ることを示唆している。」 彼は別の投稿で、LinearやGitHubもやられる可能性があるとも示唆してる？ どちらにしても、SREやDevOpsの皆さん、お疲れ様です。多くの人にとって忙しい日曜日になりそうだね。
└
確か、OpenAIは1年前にVercelを使ってたよね。多分、もっと良いものに移行したんじゃないかな。
└
何を根拠に「そう感じる」って言ってるの？ Cloudflareが同じハックの影響を受けているって主張はどこから来てるの？
└
なんか、ランダムなプログラマーとかストリーマーとかインフルエンサーを、ストリーマーに関すること以外で信じるのは無理かな。
└
「どんなホスト」って何？それ、全然具体的じゃないし、見た目にも明らかに真実じゃないよね。
└
ああ、テオはあらゆることに詳しいみたいだね。あの人、いろんなところに顔を出してるし、彼のコンテンツはその価値がある。テオのコンテンツはいつも同じ退屈なパターンにまとめられる。1. トレンドのバズワード見出し 2. すぐに出てくるスポンサー広告、彼が「スポンサーを厳選してる」から共感させようとする 3. 彼がいつも個人的に関わってる「それ、絶対にあった」って話を聞かされる 4. t3.chatの広告を出して、世界で一番素晴らしいもので、彼の無限の知恵にもっとお金を払うべきだって言う 5. クロードかOpenAI（その時のリーダー）を批判する 6. 動画のトピックについて、批判的な考察や分析なしに記事を5-10分間要約する。彼がPing時代の頃は楽しんでたけど、今は完全にYouTubeマーケターのクールエイドを飲んじゃったみたい。もう次に進んだし、たまに彼のコンテンツが推薦されるけど、もう彼のナンセンスには付き合えない。
└
> @theo: 「これが信頼できると思う理由がある。Vercelを使ってるなら、秘密や環境変数をロールするのがいいよ。」 > @ErdalToprak: 「自分のVPSやk3sクラスターを使った方がいい。2026年にインフラを中間業者に委ねる理由はないよ、AWSレベルのニーズがない限り。」 > @theo: 「これはまだバカな意見だね」笑、なるほど。テオ、誰かは知らないけど、情報ありがとう。
MacBook Proで、Google Chrome 147.0.7727.56を使ってるんだけど、ページの左上にあるVercelのロゴをクリックすると、Chromeが即クラッシュする。すごいバグだな。
└
Windows 11のChromeでも同じくハードクラッシュしたよ。
└
chrome://crashes/にエントリーある？
└
俺は147.0.7727.57を使ってるけど、そんなことは起きないよ。Macbook Air M5。めっちゃ興味深いね。
└
へぇ、面白いね。俺はArch Linux使ってるけど、Google Chrome（147.0.7727.101）でクラッシュするのは同じだ。でも、Firefox（149.0.2）やChromium（147.0.7727.101）では起きない。Vercelが何らかの形で侵害されてるかもしれないって話をみんなで読んでるのが楽しいね。それで、みんなで試してみるっていう。絶対に裏目に出ることはないよね :)
└
Windows 11のChromeでも同じことが起きたよ。vercelのホームページを一度URLから開いたら、ロゴをクリックしてもクラッシュしなくなった。
└
M4のMacbook Proでも同じことが起きるよ。マウスダウンした時に発生するから、フルクリックやクリックリスナー/ナビゲーションの実行すら必要ないんだ。href属性を"/home"から外すと、クラッシュしなくなるよ。逆にその属性を別のリンクに追加すると、そのリンクが今度はクラッシュを引き起こす。
└
MBP - M4 Max - Chrome 146.0.7680.178。クラッシュなし。今は「アップデートを完了する」ボタンをクリックしたくないな。
└
2021年頃のChromiumのバグを思い出すな。GitHubでドロップダウンメニューを開くと、Linuxのシステム全体がクラッシュするやつ。いつの間にか修正されたけど。
Vercelを使ってるんだけど、漏洩について警告されるまでどれくらいかかるんだろう。ネットで調べた感じ、敏感な環境変数は大丈夫みたいだけど、どの程度まで大丈夫なのか気になるな。
これって、たくさんの顧客が影響を受けてる状況で、「サブセット」と呼ばれるのは、失いたくない大きな顧客だけってことなのかな？
└
推測だけど、「限られたサブセット」って言葉は、あんまり良いニュースにならないことが多いよね。通常、プロバイダーは「ユーザーの1%未満」とか、具体的な数字を言って不安を和らげようとするから。私の予想では、彼らは状況を把握できてないか、その数字が嫌なんだと思う。チームには同情するよ；セキュリティインシデントは本当に厄介だよね。彼らが一生懸命働いているのは知ってるし、もっとオープンで透明なコミュニケーションを始めてほしいな。
セキュリティインシデントの対応チームにいたことがあるから、彼らの気持ちがよく分かる。でも、この初期のコミュニケーションはひどいね。何かが起きたけど、何が起きたかは言わない、でも法執行機関に通知するほど深刻だった。驚くのは、唯一の具体的なアドバイスが「環境変数を見直せ」ってこと。顧客はそのアドバイスで何をすればいいの？変数がまだあるか確認するの？どれが漏れたかなんて分からないのに。アドバイスは、すぐにすべてのパスワード、アクセストークン、Vercelと共有した敏感な情報をローテーションすることだと思う。そして、異常な活動がないかアクセスログや顧客データを監査し始めるべきだよね。彼らが提供するホスティングリソースに対して高い料金を払う理由は、セキュリティと安定性を専門的に管理してくれることを期待してるからだよ。インシデントの初期段階では不確実性が大きいのは分かるけど、何が起きたのか、誰が影響を受けたのかについて意図的に曖昧にしているのが怖い。
└
マジでさ。なんでここでこれを読んでるの？メールで知らせてくれないの？もう1年以上もお金払ってるのに。俺のニュースアグリゲーターが、会社より先に教えてくれるってどういうこと？
└
> 彼らが提供するホスティングリソースに対して、これだけ高い料金を払う理由は、彼らがセキュリティと安定性を専門的に管理してくれると期待しているからだよね。あとは、ボタンをクリックするだけでアプリが動くのが便利だから。でも、もう怠けるのはやめた。RenderからLinodeに全部移したんだ。Renderには月50ドル以上払ってたけど、今は3〜5ドルだよ。あんなホスティングプロバイダーは二度と使わない。
こういうインシデントは、現代のウェブエコシステムでどれだけ単一障害点が集中しているかを思い出させてくれるね。今のところ彼らの開示には透明性があって感謝してるけど、完全に管理されたPaaSソリューションに依存するリスクプロファイルを再評価する必要があるよね。
今の形の発表は全然役に立たないし、実行可能でもないよ。少なくとも「なんで早く言わなかったの？」って言われることはないね。彼らは「何か」を言ったから。
それで、Vercelの投稿には影響を受けた顧客が何人かいるって書いてあったけど、全員じゃないし、影響を受けた人には連絡するって。俺は連絡されてないから、つまり大丈夫ってこと？