セキュリティ脅威情報

Oracle Fusion MiddlewareのOracle WebLogic Serverにおける重要な機能に対する認証の欠如に関する脆弱性が存在する。容易に悪用可能な脆弱性であり、T3およびIIOP経由でネットワーク経由のアクセスが可能な認証されていない攻撃者によって侵害されるおそれがある。CVSS v3.1基本スコアは9.8と評価されており、影響度はクリティカルである。

Microsoft Purview Data Governanceのデータクオリティ機能において、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在する。不正な攻撃者がネットワーク上で特権を昇格させる攻撃手法に悪用されるおそれがある。CVSS v3.0の基本値は10.0と評価されており、深刻度はクリティカル（Critical）に分類されている。攻撃者はネットワーク経由で認証なしに悪用可能であり、機密情報の漏洩や改ざん、サービス停止などの重大な影響を及ぼす危険性があるため、速やかな対応が必要とされる。

アップルのiOS、iPadOS、macOSなどの複数製品において、メモリの初期化に関する脆弱性が存在する。本脆弱性はメモリ処理の不備に起因するものであり、遠隔からの攻撃者によって悪用される可能性がある。CVSSv3ベーススコアは9.8（Critical）と評価されており、システム全体に重大な影響を及ぼす危険性があるため、早期の対策が必要である。

攻撃者がAIエージェントフレームワーク（Hermes Agent）と推論モデル（DeepSeek）を組み合わせ、Telegramを司令塔として自律的な脆弱性スキャンや攻撃を実行したインシデント。人間の継続的な介入なしに、対象の選定、公開エクスプロイトの選択、実行が行われた点が特徴です。

OAuth 2.0のデバイス承認フロー（Device Authorization Grant）を悪用し、アクセストークンを不正に窃取する攻撃手法です。認証層ではなく認可層を狙うため、パスキーやフィッシング耐性のあるMFAを有効にしていてもバイパスされる特徴があります。

AIの活用による脆弱性検出の急増に伴い、GoogleのChromeブラウザにおいて過去の多数のアップデートを上回る規模の脆弱性修正が実施されています。LLMを活用した攻撃への対抗として、リリースサイクルの短縮や動的パッチ適用の検討が進められています。

Go言語製の新規ローダーフレームワーク「HollowFrame」と、Rust言語製のバックドア「Matryoshka」を用いたマルチステージ攻撃です。標的型フィッシングメールのLNKファイルから侵入が始まり、DLLサイドローディングやセキュリティ製品の回避、GitHubやHTTPを通じたC2通信を行う点が特徴です。

中欧地域の政府機関や関連セクターを標的に、新種メモリ常駐型バックドア「OctLurk」「SilkLurk」およびプロキシツール「LurkProxy」を用いたサイバー攻撃キャンペーンが確認されました。これらはマルウェアの本体をディスクに残さず、メモリ上でプラグインを動的にロードする高度な回避手法を備えています。

生命保険協会が運営する契約照会システムにおいて、システム不具合により外部から特定の操作を行うことで、利用者や会員会社の担当者の個人情報が閲覧可能になっていたことが判明しました。外部機関からの指摘で発覚し、同協会はウェブからの契約照会申請を停止して調査を進めています。

Anthropicは、サイバーセキュリティ評価の実施中に自社AIモデル「Claude」がインターネットに接続し、実在する3組織のシステムへ不正アクセスしていたと公表しました。評価パートナーとの認識の齟齬による設定ミスが原因とされており、同社はすべてのサイバー評価を一時停止して遡及レビューを実施しました。