Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-07-28

2026-07-28（火）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEVFortinet FortiOS における機微情報露出の脆弱性 (CVE-2025-68686)
📰 過去報告：7/23
Fortinet FortiOSにおいて、権限を持たない攻撃者への機微情報露出に関する脆弱性が存在する。細工されたHTTPリクエストを送信することにより、一部のエクスプロイト後事例で確認されていたシンボリックリンクの持続性メカニズムに対して適用されたパッチを、認証なしの遠隔の攻撃者がバイパスできる可能性がある。攻撃者は事前に別の脆弱性を利用してファイルシステムレベルで製品を侵害している必要がある。CISAは2026年08月10日までの対応を推奨している。
7/23報告の Check Point 事案と同様に CISA KEV へ追加された重大な脆弱性です。FortiOS 利用環境では早急に影響有無を確認し対応してください。
なぜご自身の組織で確認すべきかCISA KEVに掲載され、Fortinet FortiOSにおいて未認証でパッチを回避され情報露出に至る恐れがあるため、至急対策が必要です。
攻撃手法（確認済み）
認証されていない遠隔の攻撃者が、細工されたHTTPリクエストを用いてパッチを回避し、機微情報にアクセスする可能性がある。
自組織チェックポイント
ベンダーの指示に従い軽減策を適用し、CISAのBOD 26-04およびフォレンジックトリアージ要件に準拠すること。軽減策が利用できない場合は製品の使用を中止すること。
出典：https://nvd.nist.gov/vuln/detail/CVE-2025-68686

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
KEVArista VeloCloud OrchestratorにおけるOSコマンドインジェクションの脆弱性
📰 過去報告：7/23, 7/22, 7/24
Arista VeloCloud Orchestrator On-Premにおいて、OSコマンドインジェクションの脆弱性が確認された。この脆弱性が悪用された場合、遠隔からの攻撃者が特権的な内部機能へアクセスし、VCOホストに悪影響を及ぼすおそれがある。CISAは当該脆弱性の悪用を確認しており、2026年7月30日までの対応を推奨している。
直近で続いているCISA KEV追加事例と同様、実際の悪用が確認された脆弱性です。該当製品を利用中の場合は期限内の対応が求められます。
対象ソフト
Arista VeloCloud Orchestratorは、SD-WAN環境の中央管理およびオーケストレーションを行うための製品であり、企業ネットワークの制御や運用管理において広く利用されている。
影響
オーケストレーターおよびそれによって管理されるデータの機密性、完全性、可用性が損なわれ、システム全体の侵害につながるおそれがある。
対応策
ベンダーの指示に従って適切な緩和策を適用すること。緩和策が利用できない場合は製品の使用を中止し、CISAのBOD 26-04ガイドラインおよびフォレンジックトリアージ要件に準拠した対応を行うこと。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-16812
Googleがサイバー犯罪集団の独自命名体系を導入
GoogleがMandiant買収およびGTIGの新設に伴い、サイバー犯罪集団の名称を表現するための独自の2単語形式による分類体系を導入しました。これにより、各セキュリティベンダー間で異なる脅威アクターの呼称や分類方法に新たな選択肢が加わることになります。
主要なTTP
特定の攻撃者を表す用語と、脅威クラスターを分類する動機や帰属を示す用語を組み合わせた2単語形式の採用
中国系は「CASTLE」、イラン系は「ION」、北朝鮮系は「NEPTUNE」、ロシア系は「RELIC」、非国家支援型は「COMET」と分類
対象となる組織・利用者
脅威インテリジェンスを活用してセキュリティ運用や脆弱性対策を行う組織、および複数のベンダー情報を横断的に分析する担当者。
推奨される防御アクション
Google Threat Intelligence Group（GTIG）が発信する最新の脅威情報や命名規則の変更点を確認する
自社で利用しているセキュリティ製品やレポートにおける脅威アクターの呼称の違いに留意する
出典：https://scan.netsecurity.ne.jp/article/2026/07/28/55800.html
■ 注目事例
はてな資金流出、警察かたる詐欺による送金と認定
株式会社はてなは、特別調査委員会による調査報告書を発表しました。警察関係者を名乗る詐欺グループから捜査協力と信じ込まされた従業員が、不正な送金指示に従ったことで多額の資金流出を招いたと認定されています。
攻撃手法（確認済み）
警察関係者を装う詐欺グループからの虚偽の電話連絡および通信アプリを通じた指示により、従業員が誤認して送金手続きを行ったもの。
自組織チェックポイント
外部からの不審な連絡に対して複数人で確認するルールが周知されているか
業務上の送金や資金移動において、単独判断を排除する複数承認の体制になっているか
オンラインバンキングの権限設定や出金手続きのセキュリティが適切に管理されているか
緊急の捜査協力等を口実にした不審な指示に対する社内注意喚起が行われているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/28/55794.html
アフラック、不正アクセスの第二報公表し金融機関と連携
アフラック生命保険は、契約者専用サイトへの不正アクセスに関する第二報を発表しました。さらなる調査により、不正アクセスの初期発生日時が前倒しされ、漏えい対象の顧客数や口座情報の件数が更新されています。また、口座情報の漏えいを受け、二次被害防止に向けて金融機関との連携を開始しました。
攻撃手法（確認済み）
契約者専用サイト「アフラック よりそうネット」などのシステムに対する第三者からの不正アクセス。具体的な侵入経路や手口は公表情報からは不明です。
攻撃手法（推測）
契約者向けWebポータルやWebアプリケーションを標的とした脆弱性の悪用、または管理アカウントの認証情報漏えいなどが侵入経路となった可能性があります。
自組織チェックポイント
自社で公開しているWebポータルや専用サイトに脆弱性がないか
管理者および利用者向けのアカウント認証にMFA（多要素認証）が導入されているか
アクセスログやシステムのリソース消費（CPU高負荷など）を常時監視しているか
インシデント発生時の二次被害（金融機関や顧客への連絡体制）の手順が整備されているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/28/55795.html
メディア4uのSMS送信システムに不正アクセス、情報流出
📰 過去報告：7/26
株式会社メディア4uは、提供するSMS送信システムが外部からのサイバー攻撃を受けたことを発表しました。管理コンソールのアカウント管理情報が流出したほか、システムを通じて不正なSMSが送信されたことが確認されています。
7/26 報告の他社事例と同様、システムへの不正アクセスによる情報漏洩が続いています。アカウント管理やアクセス制御の再徹底が求められます。
攻撃手法（確認済み）
公表文では外部からのサイバー攻撃（不正アクセス）と管理コンソールへの侵入が記載されていますが、具体的な侵入経路や手口の詳細については公表情報からは不明です。
攻撃手法（推測）
管理コンソールが標的にされていることから、管理者の認証情報の漏洩、パスワードリスト攻撃、あるいは認証不備などを突いて不正にログインされた可能性があります。
自組織チェックポイント
自社が利用するクラウドサービスや管理画面に多要素認証（MFA）が導入されているか
管理者アカウントのパスワードが強固に設定され、定期的に変更されているか
管理画面へのアクセス元IPアドレス制限などのアクセス制御が適切に行われているか
ログ監視を行い、不審なログインや操作の兆候を早期に検知できる体制にあるか
出典：https://scan.netsecurity.ne.jp/article/2026/07/28/55798.html
■ レポート・解説
NVIDIA等、セキュアAI推進の同盟結成と新枠組み公開
NVIDIAやMicrosoftなど37の組織が、AIエージェントやソフトウェアの安全性を高めるための技術やツールを共同開発する「Open Secure AI Alliance」を結成しました。また、AIエージェントの挙動を検証・監査しやすくするオープンソースの調査フレームワーク「NOOA」もあわせて公開されています。
発行元：The Hacker News（NVIDIAおよび参加企業等の発表に基づく）
注目理由：AIエージェントの自律的な動作やセキュリティリスクが注目される中、主要ベンダー37社によるアライアンスの動向と、ローカル環境でAIを安全に制御・監査するための新しいオープンソース枠組み（NOOA）の概要を把握できるため。
入手方法：原典記事URL: https://thehackernews.com/2026/07/nvidia-forms-37-member-open-secure-ai.html
出典：https://thehackernews.com/2026/07/nvidia-forms-37-member-open-secure-ai.html
TwoFive、2026年上半期のフィッシング動向を発表
株式会社TwoFiveは、2026年上半期における国内フィッシングサイトの調査レポートを発表しました。クレジットカード会社等を騙る手口が継続しているほか、Microsoft Azureのストレージや静的Webサイトホスティング機能のドメインが悪用される事例が増加していることが報告されています。
発行元：株式会社TwoFive
注目理由：国内における最新のフィッシング手法や、正規クラウドサービスのドメインが悪用されているトレンドを把握できるため。
入手方法：https://www.twofive25.com/download/phishing_trend_202607/
出典：https://scan.netsecurity.ne.jp/article/2026/07/28/55793.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-07-28 に配信されました。