Canonical の Snap Store に存在する重大な脆弱性により、攻撃者は期限切れのドメインを購入して放置された Linux アプリケーションを乗っ取ることが可能。これにより、悪意ある更新がユーザーのシステムに自動的にプッシュされる。問題は元 Canonical エンジニアのアラン・ポープによる分析で指摘された。
Linux のオープンソースパッケージ管理の世界で、Canonical の Ubuntu アプリケーション配信プラットフォームである Snap Store に、微妙だが危険な欠陥が現れた。攻撃者は放置されたプロジェクトに関連する期限切れドメインを悪用し、ストアのサーバーを直接侵害せずにパブリッシャーアカウントを乗っ取る。この「ゾンビドメイン」の脅威は、信頼ベースのシステムをマルウェア配信のベクターに変え、元 Canonical のエンジニアリングマネージャー兼デベロッパーアドボケートであるアラン・ポープの最近の暴露で詳述されている。以前の報告では、Canonical の現エンジニアリングディレクターであるダニエレ・プロチダに誤って功績を帰していたが、分析と元のブログ投稿はポープのものだ。2026 年 1 月 27 日に公開された所見は、Snap パッケージング形式のメタデータ、特に snap.yaml ファイル内の公開連絡先メールアドレスが弱点となることを明らかにする。開発者がプロジェクトを放棄するとドメインが失効し、悪意ある者が安価（しばしば 10 ドル未満）で登録し、Snap Store からのパスワードリセットトークンを傍受するためのメールハンドラを設定する機会が生まれる。アカウントアクセスを確保した攻撃者は、プラットフォームの自動バックグラウンド更新経由で悪意ある更新をアップロードでき、無音インストールにより root 権限付与やクリプトマイニング、データ窃取などの活動を可能にする。この手法はタイポスクワッティングによる偽装ではなく本物のアプリケーションを乗っ取るため、エンタープライズ環境での Snaps 依存（サーバーやデスクトップ）でリスクが増大する。ポープの研究は、このような攻撃の参入障壁の低さを強調し、脆弱ドメインをスキャンするシンプルなツールが利用可能であることを示す。脆弱性は静的検証プロセスにより持続し、ドメイン所有権変更後も「検証済みパブリッシャー」バッジが残り、ユーザー信頼を損なう。NPM や PyPI などのリポジトリでも類似問題が発生するが、Snap の公開メールとアカウント回復の直接リンクが特に脆弱性を高める。snap info コマンドは連絡先詳細を公開表示し、透明性をセキュリティより優先する。対策として、継続的なパブリッシャー検証とメールアドレスのマスキングが提唱されるが、プラットフォームの大規模改修を要する。解決まで、ユーザーはソフトウェアソースを手動検証する必要があり、自動更新の利便性を損なう。この事例は、ドメイン更新のような平凡な要素に依存するソフトウェアサプライチェーンの広範な課題を象徴する。
