2026-08-07（金）配信
セキュリティ脅威情報
■ 脅威動向
脆弱性TraefikにおけるReplacePathRegexのパス走査による認証バイパス脆弱性
TraefikのReplacePathRegexミドルウェアにおいて、パス走査（パストラバーサル）に起因する重大な認証バイパスの脆弱性が存在する。特定の正規表現パターンを用いてユーザー制御のパスセグメントをキャプチャする設定を行っている場合、攻撃者が細工したリクエストを送信することで、検証なしにバックエンドへ正規化されていないパスが転送される。これにより、バックエンド側がパスを正規化する際に保護されたルートへ到達可能となり、認証ミドルウェアをバイパスして不正にリソースへアクセスされるおそれがある。
対象ソフト
Traefikは、現代のマイクロサービスやコンテナ環境で広く利用されているオープンソースのモダンなリバースプロキシおよびロードバランサーである。APIゲートウェイとしても頻繁に導入される。
影響
認証されていない遠隔の攻撃者が、Basic認証やForwardAuth、DigestAuthなどで保護されたルートへ資格情報なしでアクセス可能となる。読み取りおよび書き込み操作を含むすべてのHTTPメソッドにおいて認証がバイパスされる。
対応策
影響を受ける環境では、Traefikを v2.11.52、v3.6.23、v3.7.7 以降の安全なバージョンにアップグレードすること。また、設定の正規表現においてセグメントの手前に必須のスラッシュを含める構成に変更することを検討する。
脆弱性Node.js向けHTTPクライアントundiciにおける情報漏洩およびサービス運用妨害の脆弱性
Node.js Foundationが提供するundiciには、キャッシュインターセプターの処理不備に起因する複数の脆弱性が存在する。誤った形式のCache-Controlプライベートディレクティブが処理された場合、Set-Cookieを含むプライベートなレスポンスボディやヘッダーがデフォルトの共有キャッシュに保存され、別の呼び出し元に漏洩する恐れがある。また、特定のCache-Controlヘッダーの組み合わせにより未捕捉のTypeErrorが発生し、アプリケーションのプロセスが終了する場合がある。これらの問題はデフォルト構成を含む共有モードでキャッシュインターセプターを使用する環境に影響を与える。
対象ソフト
undiciは、Node.js向けの高速かつ安全なHTTP/1.1クライアントであり、WebアプリケーションやバックエンドサービスでのHTTPリクエスト処理やキャッシュ制御に広く利用されている。
影響
攻撃者や不正なレスポンスを介して、プライベートなレスポンスボディやヘッダー（Set-Cookie含む）が他のユーザーに漏洩するほか、不正なリクエスト処理に起因するプロセス終了によるサービス運用妨害（DoS）状態を引き起こす可能性がある。
対応策
ベンダーが提供する情報を確認し、undiciをバージョン7.29.0または8.9.0以降にアップデートすること。
脆弱性Oracle PeopleSoft SCM Order Managementの脆弱性
📰 過去報告：8/4
Oracle PeopleSoft Enterprise SCM Order Managementのセキュリティコンポーネントに、アクセス制御に関する脆弱性が存在する。ネットワーク経由のHTTPアクセスを持つ認証されていない攻撃者によって容易に悪用される可能性があり、製品が侵害されるおそれがある。CVSS v3.1基本スコアは9.1（Critical）と評価されており、機密性および完全性に重大な影響を及ぼす。
8/4報告の事例をはじめ連日発表されているOracle製品の深刻な脆弱性と同様、認証なしで遠隔悪用されるリスクがあります。利用状況の確認と対策を推奨します。
対象ソフト
Oracle PeopleSoftは、企業向けのリソース管理やサプライチェーン管理（SCM）を担う統合基幹業務システム（ERP）であり、主に大規模組織やグローバル企業の業務運営で利用されている。
影響
攻撃が成功した場合、重要なデータまたはシステム内でアクセス可能なすべてのデータに対する無許可の作成、削除、変更、および重要なデータへの無許可アクセスや完全なアクセスが発生するおそれがある。
対応策
JVNDBの情報を参照し、ベンダーから提供されている最新のパッチを適用するか、推奨されるアップデートを実施すること。
脆弱性LMSYS Org製SGLangにおけるリモートコード実行の脆弱性
📰 過去報告：8/5
LMSYS OrgのSGLangには、信頼できないデータのデシリアライゼーションに関する脆弱性が存在する。SafeUnpicklerにおける不完全な拒否リストを回避されることにより、/load_lora_adapter_from_tensorsエンドポイントにおいて認証不要のリモートコード実行（RCE）が可能となる。攻撃者は細工されたBase64エンコードのpickleペイロードを用いることで、対象システム上で任意のコマンドを実行できる。CVSS v3.0の基本値は9.8（Critical）と評価されており、影響範囲および危険性が極めて高い。
8/5 報告の AI 関連フレームワークでの事例と同様、関連ツールにおいて Critical な脆弱性が発見されています。該当環境を利用中の方は至急確認してください。
対象ソフト
SGLangは、大規模言語モデル（LLM）向けの高速サービングおよび推論実行フレームワークであり、AIシステムやチャットボットサービスを構築する基盤として利用される。
影響
認証不要でリモートから任意のコマンドが実行されるため、システム全体の乗っ取り、機密情報の窃取、改ざん、サービス停止などの深刻な被害が生じるおそれがある。
対応策
JVN DBを参照し、提供されているパッチの適用や最新バージョンへのアップデートを実施すること。
Cisco、SD-WAN等の複数脆弱性を修正
Cisco Catalyst SD-WANおよびIOS XEソフトウェアにおいて、CVSSスコアが最大9.9に達する入力値検証不備やアクセス制御不備などの脆弱性が複数発見されました。また、Integrated Management Controller (IMC)の脆弱性（CVE-2026-20200）についてはPoCの存在が確認されています。
主要なTTP
CVSSスコア9.9の高深刻度な入力値検証不備およびパス traversal
IOS XEソフトウェアにおけるコマンドインジェクションおよびアクセス制御不備
IMCの脆弱性を利用したOSコマンド実行によるroot権限昇格とハードウェア層（BIOS/SecureBoot）への永続的足場構築
対象となる組織・利用者
Cisco Catalyst SD-WAN、IOS XEソフトウェア、およびCisco IMCをネットワーク環境やサーバー管理に導入している組織。
推奨される防御アクション
Ciscoが提供するセキュリティアドバイザリに基づき、影響を受けるソフトウェアの修正済みバージョンにただちにアップデートを適用する
管理インターフェースへのアクセスを厳格に制限し、インターネットからの直接露出を避ける
Google、Chromeにクリティカル含む脆弱性修正の更新
📰 過去報告：8/1
Google Chrome において、ANGLE や WebGL、Aura などのコンポーネントに域外メモリ書き込みやUse After Freeなどの複数の脆弱性が確認され、クリティカル6件を含む計41件の脆弱性が修正されました。
8/1 報告の Chrome に関連する脆弱性動向に続き、最新の修正パッチが公開されました。クリティカルな脆弱性も含まれるため、早急なアップデートを推奨します。
主要なTTP
ANGLE における域外メモリへの書き込み（CVE-2026-19157）
WebGLやAura、Skia、ViewsなどにおけるUse After Free脆弱性（CVE-2026-19137、CVE-2026-19149、CVE-2026-19154、CVE-2026-19170、CVE-2026-19172など）
対象となる組織・利用者
Windows、macOS、Linux環境で Google Chrome を利用しているすべての組織・ユーザー。
推奨される防御アクション
WindowsおよびmacOS向け「Chrome 151.0.7922.109」「同151.0.7922.108」、Linux向け「同151.0.7922.108」以降へただちにアップデートを適用する
組織内の端末におけるChromeのバージョン状況を点検し、展開を進める
Linux KVMの仮想化逃がれ脆弱性「Zapscape」（CVE-2026-64561）
LinuxカーネルのKVM（x86）におけるシャドウMMUの処理不備に起因するuse-after-free脆弱性です。L1ゲストVM側でカーネル特権（ルート）を持つ攻撃者が、KVMの仮想化分離を突破してホスト側でコードを実行する危険性があります。
主要なTTP
L1ゲストVM内でのカーネル特権（ルート権限）の取得
KVMのページフォールト処理における古いルートチェックの順序の不備の悪用
シャドウページ管理に起因するuse-after-freeおよび解放済み領域への書き込み
ホストカーネル上での任意コマンド実行・ファイル作成
対象となる組織・利用者
信頼できないゲストに対してネストされた仮想化機能を有効にしているLinux KVMホスト環境を運用している組織。
推奨される防御アクション
Linuxカーネルおよびディストリビューション提供のセキュリティパッチを適用する
信頼できないゲスト環境へのネストされた仮想化機能の提供を見直す
必要に応じて上流修正コミット（2abd5287f083）や各ベンダーの対応状況を確認する
■ 注目事例
Axcelead社員のメールアカ不正アクセス、約7千通に痕跡
📰 過去報告：8/4
Axcelead Drug Discovery Partners社は、社員のメールアカウントに対する不正アクセスについて発表しました。社員がフィッシングメールに認証情報を入力したことが発端となり、約7,000通のメールに対するアクセスの痕跡が確認されています。
8/4 報告の講談社の事例と同様、社員のアカウント情報を狙ったフィッシング経由の不正アクセスが発生しています。多要素認証の徹底や不審メールへの警戒を改めて周知してください。
攻撃手法（確認済み）
社員がフィッシングメールに認証情報を入力したことによる認証情報の窃取と、それを利用した不正ログイン。
攻撃手法（推測）
初動でのパスワード変更実施後も不正アクセスが継続したことから、攻撃者によってセッションハイジャックや追加の認証手段が保持されていた、または偽サイトに入力された有効な認証情報を用いて継続的にアクセスが行われたと考えられます。
自組織チェックポイント
社員がフィッシングサイトへ認証情報を入力するリスクへの対策（FIDO2/WebAuthn等のフィッシング耐性MFAの導入）がされているか
パスワード変更時に既存の有効なセッションやトークンが強制終了される仕組みになっているか
メールアカウントに対する異常なログインや大量閲覧の挙動を検知する監視体制があるか
不正アクセスの形跡が確認された際のアカウント無効化やログ保全の手順が確立されているか
ハリマ化成、子会社ECの不正アクセスで情報漏洩可能性
📰 過去報告：8/6
ハリマ化成グループは、子会社のハリマ食品が利用するECプラットフォームサービス「ショップサーブ」において不正アクセスが発生し、オンラインショップの顧客情報が漏洩した可能性があると公表しました。プラットフォーム側のサーバーが攻撃を受けたもので、現在影響範囲の確認が進められています。
8/6報告の他社事例等と同様、EC構築サービス『ショップサーブ』の不正アクセスに起因する被害です。同サービスを利用中の企業は至急影響の有無をご確認ください。
攻撃手法（確認済み）
利用しているECプラットフォームサービス「ショップサーブ」のサーバーに対し外部から不正アクセスが行われ、購入者情報等が外部へ送信された可能性が確認されています。自社社内システムに対する不正アクセスではないとされています。
攻撃手法（推測）
プラットフォーム側の脆弱性や管理アカウントへの不正アクセスなどのセキュリティ上の不備を突かれた可能性があります。
自組織チェックポイント
自社が利用している外部SaaSやクラウドサービスにおけるセキュリティインシデントの報告体制が確立されているか
外部プラットフォームと連携するシステムにおいて、万が一情報漏洩が発生した場合の影響範囲が把握できているか
委託先やプラットフォーム事業者からのセキュリティに関する通知を迅速に受け取れるフローがあるか
🔄 [続報] EPARKリラク＆エステ侵害、グループ会社も公表
📰 過去報告：8/3
エンパワーヘルスケアは、グループ会社の株式会社EPARKリラク＆エステが加盟店向けに提供する予約管理システム「Peak Manager」において、不正アクセスが発生したことを公表しました。システム内で管理されていた予約者情報等の個人情報が不正アクセスの対象となったとしています。
8/3 報告の EPARKリラク＆エステ「Peak Manager」不正アクセスについて、グループ会社のエンパワーヘルスケアからも公表がありました。同一事案の進展となります。
攻撃手法（確認済み）
公表文では予約管理システム「Peak Manager」に対して不正アクセスが行われたとされていますが、具体的な侵入経路や手口についての詳細は記載されていません。
攻撃手法（推測）
クラウドやWeb経由で提供される予約管理システムが標的となっていることから、Webアプリケーションの脆弱性を突いた攻撃、あるいは管理アカウントへの不正アクセス（認証情報の窃取・総当たり等）が行われた可能性があります。
自組織チェックポイント
自社で外部公開しているWebアプリケーションや管理画面に脆弱性がないか定期的に診断を実施しているか
クラウドサービスや外部システムへのアクセス管理において、多要素認証（MFA）やアクセス元IP制限を導入しているか
特権アカウントや管理者IDの認証情報の強度が適切に管理されているか
不要になった外部向けシステムやテスト環境が放置されていないか確認しているか
ル・アンジェ、ツール不正アクセスで情報漏洩
ル・アンジェは、業務連絡に利用していたコミュニケーションツール「BAND」に対して第三者による不正アクセスが発生したと公表しました。会員や従業員の氏名、生年月日、住所、電話番号、メールアドレス等の情報が漏洩した可能性があります。
攻撃手法（確認済み）
業務連絡に利用していたコミュニケーションツール「BAND」に対する第三者の不正アクセス。具体的な侵入経路の詳細は公表文に記載されていません。
攻撃手法（推測）
推測される手口として、弱いパスワードや漏洩した認証情報を標的としたブルートフォース攻撃やパスワードリスト攻撃等による不正ログインの可能性があります。
自組織チェックポイント
業務で利用する外部SaaSやコミュニケーションツールにおいて、多要素認証（MFA）が全アカウントに強制されているか
推測されやすい単純なパスワードの利用が制限されているか
クラウドサービスへのアクセスログや不審なログイン試行を監視しているか
業務上の連絡やファイル共有において、個人情報や機密情報を取り扱う際のルールが徹底されているか
ナイス、メールアドレス不正アクセスで情報漏洩の恐れ
📰 過去報告：8/4, 8/5
ナイス株式会社は、管理するメールアドレスが第三者による不正アクセスを受け、最大約2,400件の個人情報が漏洩した可能性があると公表しました。パスワード変更やアクセス遮断などの応急措置が講じられています。
8/4〜8/5報告の他社事例と同様、電子メールやアカウント情報を狙った不正アクセスが相次いでいます。多要素認証の導入や不審ログの監視徹底が求められます。
攻撃手法（確認済み）
公表文では「第三者による不正アクセス」および「不審な挙動」と記載されており、具体的な侵入経路（パスワードリスト攻撃、ブルートフォース、フィッシング等）は明記されていません。
攻撃手法（推測）
特定のメールアカウントが標的となり、管理用パスワードが変更されたことから、推測される認証情報の漏洩や、総当たり攻撃等の不正な認証突破によって侵入された可能性があります。
自組織チェックポイント
全てのメールアカウントおよびクラウドサービスに多要素認証（MFA）が導入されているか
パスワードの使い回しを禁止し、定期的な変更や複雑性の要件が徹底されているか
メールボックス内に不要な個人情報が長期間保存されない運用ルールになっているか
異地からのログインや不審な挙動を検知するアラート監視が機能しているか
■ レポート・解説
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-08-07 に配信されました。
