Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-07-17

2026-07-17（金）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEVFortinet FortiSandboxにおけるOSコマンドインジェクションの脆弱性
📰 過去報告：7/16
Fortinet FortiSandboxにOSコマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が細工されたHTTPリクエストを送信することで、任意のコードやコマンドを実行できる可能性がある。本脆弱性は悪用が確認されており、CISAは緊急の対応を求めている。CISAは2026年07月19日までの対応を推奨している。
CISAのKEVカタログに追加され、悪用が確認されている脆弱性の報道が続いています。Fortinet製品を利用している環境では、推奨期限までの迅速なパッチ適用やアップデートの実施を強く推奨します。
なぜご自身の組織で確認すべきかCISAのKEVに登録されたFortiSandboxにおけるOSコマンドインジェクションの脆弱性であり、認証なしで任意のコードが実行される恐れがあるため即時の対応が必要です。
攻撃手法（確認済み）
攻撃が成功した場合、認証なしで任意のコードやコマンドが実行され、システムの乗っ取りや機密情報の漏洩、不正な操作が行われる可能性がある。
自組織チェックポイント
ベンダーの指示に従って緩和策を適用すること。また、CISAのBOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「フォレンジックトリアージ要件」に従い、クラウドサービスへの適用や、緩和策が利用できない場合は製品の使用停止を検討すること。各資産のインターネット露出状況を評価し、パッチ適用ガイドラインを遵守すること。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-39808
⚠️ [継続注意] Microsoft 7月更新、悪用確認済みの脆弱性2件
📰 過去報告：7/15, 7/16
マイクロソフト社が2026年7月のセキュリティ更新プログラムを公開しました。このうち、Active Directory フェデレーション サービスおよび SharePoint Server に関する脆弱性については、既に悪用の事実が確認されており、早急な適用が推奨されています。
7/15および7/16に報告したAD FSの脆弱性（CVE-2026-56155）について、悪用の事実が改めて確認されています。未適用の環境では、早急にセキュリティ更新プログラムを適用してください。
なぜご自身の組織で確認すべきか既に悪用が確認されているActive Directory FSおよびSharePoint Serverの脆弱性を含む、マイクロソフトの7月セキュリティ更新プログラムであり、最優先での適用が推奨されます。
出典：https://scan.netsecurity.ne.jp/article/2026/07/17/55724.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
脆弱性MantisBT SOAP APIにおける認証バイパスおよび権限昇格の脆弱性
📰 過去報告：7/15
MantisBTのSOAP APIにおける認証処理に重大な脆弱性が存在する。mci_check_login()関数において、有効なクッキー文字列を知っている攻撃者が、ターゲットのパスワードを知らなくても管理者を含む任意のユーザーとして認証を回避できる。デフォルト設定では自己登録が有効であるため、新規登録したユーザーが自身のクッキーを利用して管理者権限を奪取可能である。REST APIやWeb UIは影響を受けないが、SOAP API経由で全データの閲覧、改ざん、削除、さらには管理者権限を要する他の脆弱性の悪用が可能となるため、極めて危険である。
7/15報告の他製品の事例と同様、認証処理の不備を突いた管理者権限の奪取が可能な脆弱性です。認証機能を持つWebアプリケーションの適切な設定とアップデートを推奨します。
対象ソフト
MantisBTは、ソフトウェア開発プロジェクトで広く利用されるオープンソースのバグ追跡システムである。
影響
管理者権限によるSOAP APIへの不正アクセス、全プロジェクトの課題や機密情報の閲覧
改ざん
削除、ユーザー情報の窃取、および管理者権限を悪用したさらなる攻撃が可能となる。
対応策
2.28.4以降のバージョンへ速やかにアップグレードすること。現時点で回避策は提供されていない。
出典：https://github.com/advisories/GHSA-c2xg-qjqw-2v98
Anubisランサムウェアの脅威と対策
Anubisは、暗号化に加えてファイルを復元不能にする「ワイプモード」を備えたランサムウェアです。主にスピアフィッシングやCitrix機器の脆弱性を悪用して侵入し、医療機関などを標的に活動しています。
主要なTTP
スピアフィッシングメールによる初期侵入
CitrixBleed 2 (CVE-2025-5777) を悪用した認証バイパス
正規のリモート管理ツールを悪用したラテラルムーブメント
データ暗号化および不可逆的なデータワイプ
対象となる組織・利用者
医療、製造、建設、金融業界の組織。特にCitrix NetScaler製品を外部公開している環境。
推奨される防御アクション
CVE-2025-5777のパッチ適用と全アクティブセッションの強制終了
すべてのリモートアクセスに対するMFAの強制
環境内で使用されるリモート管理ツールのホワイトリスト化と監視
オフラインかつテスト済みのバックアップの維持
出典：https://www.fortra.com/blog/anubis-ransomware
■ 注目事例
2026年7月 クレジットカード決済障害のまとめ
2026年7月16日午前、全国でクレジットカード決済が利用しづらくなる障害が発生しました。コンビニ、鉄道、ECサイトなど広範囲に影響が及び、Visa傘下の決済基盤「CyberSource」でのタイムアウト事象が関与していると報じられています。
攻撃手法（確認済み）
公表情報からは不明。複数の報道により、Visa傘下の決済基盤「CyberSource」における取引処理のタイムアウト事象が原因として言及されている。
攻撃手法（推測）
決済基盤のバックエンドシステムで発生した一時的な負荷増大やネットワーク通信の不具合が、広範囲な決済タイムアウトを引き起こしたと考えられます。
自組織チェックポイント
決済システム障害発生時に備えた予備の決済手段（現金等）の確保
障害発生時の顧客への案内フローの確認
自社で利用している決済代行サービスの障害情報収集ルートの確保
出典：https://piyolog.hatenadiary.jp/entry/2026/07/17/065349
オーミケンシ、不正アクセスによるデータ流出を確認
📰 過去報告：7/15
オーミケンシ株式会社は、3月に発生したランサムウェア被害の続報を公表しました。フォレンジック調査の結果、VPN経由の不正アクセスにより社内サーバが暗号化されたほか、環境内の特定サーバから外部クラウドストレージへデータが送信されていたことが確認されました。
7/15報告の他社事例と同様、ランサムウェア感染に伴う外部へのデータ流出がフォレンジック調査で確認された事案です。侵入経路となったVPN等の機器管理や、ログ監視体制の再点検が推奨されます。
攻撃手法（確認済み）
VPN経由での不正接続および社内サーバへの侵入。遠隔操作経路の構築と、外部クラウドストレージへのデータ送信が確認されている。
攻撃手法（推測）
VPN機器の脆弱性悪用、または盗まれた認証情報を用いた不正ログインの可能性があります。
自組織チェックポイント
VPN機器のファームウェアは最新か
VPN接続に多要素認証（MFA）を導入しているか
外部クラウドストレージ等への不審な通信ログを監視しているか
内部ネットワークのセグメンテーション（分離）は適切か
ログを外部の安全な場所に保存・バックアップしているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/17/55728.html
札幌国際大学、フィッシング被害でアカウント不正利用
札幌国際大学の学生および教職員がフィッシングメールの被害に遭い、アカウント情報が第三者に流出しました。その結果、当該アカウントが不正利用され、大学関係者を装った迷惑メールが大量送信される事態となりました。大学側は緊急対応として2日間の全科目休講を決定しています。
攻撃手法（確認済み）
学生および教職員がフィッシングメールの被害に遭い、アカウント情報が第三者に取得されたことによる不正アクセス。
攻撃手法（推測）
フィッシングサイトへ誘導し、ID・パスワードおよびMFAコードを入力させることで、セッションを乗っ取ったと考えられます。
自組織チェックポイント
組織内の全アカウントで多要素認証（MFA）を強制しているか
不審なメールの報告・遮断プロセスが周知されているか
アカウントの異常なログイン行動（地理的・時間的乖離）を検知する仕組みがあるか
万が一のアカウント乗っ取り時に、即座にサービスアクセスを遮断する手順が確立されているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/17/55730.html
フラウ・インターナショナル委託先で不正アクセス
📰 過去報告：7/12
株式会社フラウ・インターナショナルは、同社が利用するメール問い合わせ管理サービスの運営会社において、不正アクセスが発生したと公表しました。これにより、過去に問い合わせを行った顧客の個人情報が漏えいした可能性があります。
7/12 報告の他社事例と同様、外部の委託先や提携先サービスを経由した情報漏洩が発生しています。自社が利用する外部サービスのセキュリティ管理体制やアクセス権限の再確認が推奨されます。
攻撃手法（確認済み）
外部サービス運営会社のサーバに対する不正アクセス。詳細は調査中。
攻撃手法（推測）
SaaSや管理システムの認証不備、または脆弱性を突いた侵入の可能性があります。
自組織チェックポイント
自社が利用するクラウドサービス・委託先のセキュリティ体制を把握しているか
外部委託先でインシデントが発生した際の連絡フローが確立されているか
顧客情報の取り扱いについて、委託先と適切な契約・監査が行われているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/17/55729.html
■ レポート・解説
2026年サイバー新法とSCS制度の企業実務
赤坂国際法律会計事務所が、2026年10月施行のサイバー新法およびSCS（サプライチェーンセキュリティ）評価制度への実務対応に関する解説を発表しました。同記事は、SCS評価制度が実質的に取引資格として機能する可能性を指摘し、企業法務が備えるべき法的・実務的視点を整理しています。
発行元：赤坂国際法律会計事務所
注目理由：2026年10月の法改正を控え、SCS評価制度が単なる任意制度ではなく、取引条件として実質的な強制力を持つ可能性を指摘しており、法務・情シス部門にとっての戦略的判断材料となるため。
入手方法：https://ailaw.co.jp/blog/cyber-law-amendment-2026/
出典：https://scan.netsecurity.ne.jp/article/2026/07/17/55725.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-07-17 に配信されました。