Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-07-19

2026-07-19（日）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEVFortinet FortiSandboxにおけるOSコマンドインジェクションの脆弱性
📰 過去報告：7/17
Fortinet FortiSandbox、FortiSandbox Cloud、およびFortiSandbox PaaSにおいて、OSコマンドインジェクションの脆弱性が確認された。認証されていない攻撃者が、細工されたHTTPリクエストを送信することで、任意のコマンドを実行できる可能性がある。本脆弱性は悪用が確認されており、CISAは2026年7月19日までの対応を推奨している。
7/17に報告したFortiSandboxにおいて、別のOSコマンドインジェクション脆弱性が公表されました。該当製品を利用中の環境では、追加のアップデート適用など対応状況をご確認ください。
なぜご自身の組織で確認すべきかCISAの既知悪用脆弱性リスト（KEV）に掲載された、Fortinet FortiSandboxにおけるOSコマンドインジェクションの脆弱性（CVE-2026-25089）であり、速やかな対応が必要なため。
攻撃手法（確認済み）
攻撃が成功した場合、認証なしで任意のOSコマンドが実行され、システムの乗っ取りや機密情報の漏洩、不正な操作が行われる恐れがある。
自組織チェックポイント
ベンダーの指示に従い、速やかに緩和策を適用すること。CISAのBOD 26-04（リスクベースのセキュリティ更新優先順位付け）および「フォレンジックトリアージ要件」に従い、インターネット公開資産の評価とパッチ適用を行うこと。緩和策が適用できない場合は、製品の使用停止を検討すること。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-25089

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
脆弱性Apache TomcatのURLエンコーディング処理におけるセキュリティ制約バイパスの脆弱性
📰 過去報告：7/13, 7/16
Apache Tomcatのリライトバルブ機能において、URLの16進エンコーディング処理が不適切であることに起因する脆弱性が存在します。攻撃者が細工したURLを送信することで、本来適用されるべきセキュリティ制約をバイパスし、アクセス制限を回避できる可能性があります。CVSSスコアは9.1（Critical）であり、ネットワーク経由で認証なしに悪用可能なため、影響は極めて重大です。対象となるバージョンを利用している場合、速やかなアップデートが必要です。
7/13や7/16に報告された深刻な脆弱性と同様に、認証なしで悪用可能な極めて重大な脆弱性です。対象製品を利用している場合は、速やかなアップデート等の対応を推奨します。
対象ソフト
Apache Tomcatは、JavaサーブレットやJavaServer Pages（JSP）を実行するためのオープンソースのWebサーバー兼サーブレットコンテナであり、多くの企業システムやWebアプリケーションの基盤として広く利用されています。
影響
攻撃成功時、本来アクセスが制限されているリソースへの不正アクセスや、セキュリティ制約の回避が行われる可能性がある。
対応策
Apache Tomcatを修正済みのバージョン（11.0.24、10.1.57、または9.0.120）へアップデートすること。
出典：https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-023705.html
脆弱性Apache KylinにおけるOSコマンドインジェクションの脆弱性
📰 過去報告：7/13
Apache Kylinにおいて、OSコマンドインジェクションの脆弱性が確認された。バックエンドAPIがジョブ構成パラメータを適切に処理せず、OSコマンドラインへ渡してしまう不備が存在する。攻撃者が細工したパラメータを送信することで、サーバー上で任意のOSコマンドを実行される可能性がある。CVSSスコアは9.8（Critical）であり、ネットワーク経由で認証なしに悪用可能なため、極めて重大なリスクである。
7/13に報告されたApache製品の脆弱性と同様に、今回も深刻なインジェクション脆弱性が公表されました。Apache関連製品を利用している環境では、速やかにパッチ適用などの対策を検討してください。
対象ソフト
Apache Kylinは、ビッグデータ分析のための分散型分析エンジンです。大規模なデータセットに対してSQLインターフェースを提供し、高速なクエリ処理を実現するために多くの企業で利用されています。
影響
攻撃が成功した場合、攻撃者はサーバー上で任意のOSコマンドを実行できる。これにより、機密情報の窃取、システムの改ざん、あるいはサービス停止といった深刻な被害が発生する恐れがある。
対応策
本脆弱性を修正したバージョン 5.0.4 以降へ速やかにアップグレードすること。
出典：https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-023683.html
■ 注目事例
🔄 [続報] メディア4u、SMS配信システムへの不正アクセスに関する第2報
📰 過去報告：7/16, 7/15
メディア4uは、SMS配信システムへの不正アクセス被害に関する第2報を公表しました。6月24日に不正アクセスを確認し、特定のクライアントアカウントを悪用した不正なSMS送信が280件発生したほか、管理用のアカウント情報が流出した可能性があります。パスワードやAPIキー等の認証情報は流出対象外としています。
7/16報告の続報。SMS配信システムへの不正アクセスについて第2報が公表され、不正なSMS送信が280件発生したことや、パスワードやAPIキー等の認証情報は流出対象外であることが明らかになりました。
攻撃手法（確認済み）
公表文では「原因となった脆弱性の修正」と記載されていますが、具体的な脆弱性の種類やCVE番号については開示されていません。
攻撃手法（推測）
脆弱性を悪用してシステムへ侵入し、管理用アカウント情報を窃取したと考えられます。また、特定のクライアントアカウントが悪用されたことから、窃取した情報を用いた不正ログインや、セッションハイジャック等の手法がとられた可能性があります。
自組織チェックポイント
自社で利用しているクラウドサービスやSaaSの管理画面にIP制限を適用しているか
管理者アカウントのパスワードは他サービスと使い回していないか
サービス提供元からセキュリティに関する注意喚起が届いていないか確認する
サービス利用時のログを定期的に確認し、不審なログインや操作がないか監視しているか
出典：https://www.media4u.co.jp/news/3354
相模女子大中高、HPへの不正アクセスについて
相模女子大学中学部・高等部は、同校ホームページが第三者による不正アクセスを受け、検索サイト上で警告が表示される事案が発生したと公表しました。特定のページに存在した脆弱性が悪用され、閲覧者が外部の無関係なサイトへリダイレクトされる事象が確認されましたが、個人情報の漏洩は否定されています。
攻撃手法（確認済み）
ホームページ内の「バーチャルキャンパスツアー」ページに存在した脆弱性を悪用され、閲覧者が外部の無関係なサイトへリダイレクトされる改ざんが行われました。
攻撃手法（推測）
WebサイトのCMS（WordPress等）やプラグインの脆弱性、あるいはクロスサイトスクリプティング（XSS）等の脆弱性が悪用された可能性があります。
自組織チェックポイント
Webサイトで使用しているCMSやプラグインを常に最新版に更新しているか
不要なプラグインや公開ページを放置していないか
Webサイトに対するWAF（Web Application Firewall）を導入しているか
検索エンジンからの警告（ハッキングの可能性等）を早期検知する体制があるか
出典：https://www.sagami-wu.ac.jp/chukou/news/%E3%80%90%E9%87%8D%E8%A6%81%E3%80%91%E6%9C%AC%E6%A0%A1%E3%83%9B%E3%83%BC%E3%83%A0%E3%83%9A%E3%83%BC%E3%82%B8%E3%81%B8%E3%81%AE%E7%AC%AC%E4%B8%89%E8%80%85%E3%81%AB%E3%82%88%E3%82%8B%E4%B8%8D%E6%AD%A3/

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-07-19 に配信されました。