セキュリティ脅威情報

Craft CMS用プラグイン「Formie」において、隠しフィールドのデフォルト値処理に不備があり、サーバーサイドテンプレートインジェクション（SSTI）が発生する脆弱性が存在する。HTTPヘッダーやクエリパラメータなどのリクエスト由来の値を隠しフィールドのデフォルト値として使用している場合、攻撃者は悪意のあるTwig構文を注入できる。これにより、認証なしでサーバー側でのテンプレート評価が実行され、情報漏洩やアプリケーション状態の改ざん、最悪の場合はリモートコード実行（RCE）に至る可能性がある。

CiliumのL7機能が有効な環境において、Envoyインスタンスが作成する管理ソケットがローカル環境から誰でもアクセス可能な状態になっている脆弱性が存在する。ローカルの攻撃者はこのソケットを通じてEnvoyの管理エンドポイントにアクセスし、TLSシークレットの窃取やクラスタ内のトラフィック妨害、Envoyプロセスの停止といった悪意ある操作を行うことが可能である。本脆弱性はCVSSスコア9.2（Critical）と評価されており、クラスタの機密性と可用性に重大な影響を及ぼす可能性がある。

アーカイブ解凍ライブラリである@xhmikosr/decompressおよびdecompressにおいて、パストラバーサルおよび不適切な権限設定の脆弱性が発見された。攻撃者が細工したアーカイブファイルを解凍させることで、対象ディレクトリ外へのファイルの読み書きや、シンボリックリンクによるファイル操作が可能となる。また、解凍時にsetuid/setgidビットが適切に除去されないため、権限昇格に悪用される恐れがある。CVSSスコアは9.1（Critical）であり、信頼できないソースからのアーカイブを処理する環境では極めて重大なリスクとなる。

LangroidのTableChatAgentおよびVectorStore機能において、LLMが生成したコードを評価する際に不適切なeval()関数が使用されている。具体的には、eval()のlocals引数に空の辞書を指定しているものの、globalsから__builtins__が除去されていないため、Pythonの組み込み関数へのアクセスが制限されない。攻撃者はプロンプトインジェクションを通じて任意のPythonコードを実行させることが可能であり、ホストシステム上でのリモートコード実行（RCE）に至る恐れがある。PoCも公開されており、極めて重大な脆弱性である。

9routerのデータベース管理用APIエンドポイントにおいて、認証が不十分な状態でデータベースの全エクスポートおよびインポートが可能な脆弱性が存在します。攻撃者は有効なトークン（デフォルトパスワード等で取得可能）を用いることで、APIキー、OAuthトークン、OIDCクライアントシークレットなどの機密情報を平文で取得できるほか、データベース全体を悪意のあるデータに書き換えることが可能です。これにより、認証情報の窃取やシステム設定の乗っ取り、サービス停止といった深刻な影響が発生します。

IBM WebSphere Application ServerおよびLibertyにおいて、HTTPリクエストスマグリングの脆弱性が確認された。この脆弱性は、HTTPリクエストの解釈における不整合を悪用するものであり、攻撃者が不正なリクエストを送信することで、セキュリティ制限を回避したり、他のユーザーのセッションを乗っ取ったりすることが可能となる。CVSSスコアは9.8（Critical）であり、ネットワーク経由で認証なしに悪用可能なため、極めて危険な状態にある。

LinuxのKVMハイパーバイザーにおけるメモリ管理（shadow MMU）の脆弱性です。ゲストOSからホストOSのメモリ状態を破損させることが可能で、ホストのパニックや権限昇格を招く恐れがあります。

Cavernは、.NETベースのモジュール型C2フレームワークで、Native AOTやMixed-Modeコンパイルを駆使した高度な解析妨害機能を備えています。ITサービスプロバイダーやRMMツールを悪用し、信頼関係を突いて標的組織へ侵入する手口が特徴です。

KDDIは、ISP事業者向けメールシステムに対する不正アクセスの調査報告書を公開しました。第三者製ソフトウェアの未知の脆弱性が悪用され、約1,223万件のメールアドレスおよび約761万件のパスワードが流出した事実を確認しました。

2025年11月、バンダイナムコフィルムワークスが運営する「バンダイチャンネル」において不正アクセスが発生しました。これにより約4.6万件のアカウントが意図せず退会処理され、最大136.6万件の会員情報が漏えいした可能性があると公表されました。2026年7月、警視庁サイバー犯罪対策課は本件に関与した疑いで当時15歳の男子生徒を逮捕しました。

公益財団法人国際文化会館は、同法人の「地経学研究所」研究員を名乗る不審なメールが送信されているとして注意を呼びかけました。メールはシンポジウム登壇などを相談する内容で、虚偽のドメインから送信され、詳細不明なURLへのアクセスを促すものです。

武蔵野大学は6月15日に不正アクセスを受け、ランサムウェアに感染したと発表しました。現在はバックアップデータから復旧済みで、運営への支障はなく、現時点でデータ流出や金銭の支払いは確認されていないとしています。

株式会社フェースは、自社システムで障害が発生していることを公表しました。調査の結果、外部からの不正アクセスに起因するランサムウェア被害の可能性があることが判明しています。現在、専門機関の協力のもとで原因究明と復旧作業が進められています。