セキュリティ脅威情報

Progress LoadMasterにコマンドインジェクションの脆弱性が存在する。認証されていない攻撃者が、複数のコマンドエンドポイントにおいてサニタイズされていない入力を悪用することにより、LoadMasterアプライアンス上で任意のコマンドを実行することが可能である。CISAは本脆弱性について悪用を確認しており、2026年08月10日までの対応を推奨している。

CodeIgniterのアップロードファイル検証機能において、`is_image`および`mime_in`ルールにおけるファイル拡張子の検証バイパスの脆弱性が存在する。脆弱な設定のアプリケーションにおいて、クライアント提供のファイル名をそのまま保存し、PHPスクリプトが実行可能なWebアクセス可能なディレクトリにアップロードファイルを配置している場合、リモートコード実行につながるおそれがある。

Cisco Systemsが公開した12件のセキュリティアドバイザリにおいて、Catalyst SD-WANやIOS XEなどの複数製品に合計23件の脆弱性が報告されました。入力検証不備やアクセス制御不備などにより、CVSSv3.1で最高「9.9」に達する深刻な脆弱性が含まれています。

データ恐喝グループ「UNC6671」が、企業の従業員の個人携帯電話に対して音声フィッシング（ビッシング）を仕掛け、偽のITヘルプデスクを名乗る手口が報じられています。AitM（Adversary-in-the-Middle）インフラを用いて認証情報やMFAトークンをリアルタイムで窃取し、Microsoft 365やOktaなどのSaaS・クラウド環境へ不正アクセスしてデータを窃取します。

WordPressのログイン画面における認証不要の反映型クロスサイトスクリプティング（XSS）脆弱性です。ログイン失敗時のユーザー名処理の不備に起因し、悪意ある操作や管理者セッションとの連鎖により、最終的にサーバー上での遠隔コード実行（RCE）につながる危険性があります。

ウェブアプリケーションフレームワーク「Django」に、ファイル書き込みやリモートコード実行につながるおそれのある高重要度の脆弱性（CVE-2026-15307）を含む4件の脆弱性が判明しました。

偽のエラー画面や検証ページを介してユーザーに悪意あるコマンドをターミナルやファイル名を指定して実行させる「ClickFix」手法を利用し、macOS端末を標的に認証情報や暗号資産を窃取するマルウェアの配布が確認されています。

埼玉県歯科医師国民健康保険組合は、システムを委託している株式会社YCC情報システムのサーバーが不正アクセスを受けた件について、個人情報が漏洩した可能性のある組合員へ文書を送付したと公表しました。

名鉄協商株式会社は、7月に公表した不正アクセス事案に関連し、情報漏洩のおそれがある顧客に対する個別案内の実施状況（8月6日時点）を公開しました。現時点で情報の外部流出は確認されていないものの、カーシェア会員や月ぎめ駐車場利用者等に対して順次案内を実施しています。

ECサイト構築サービス「ショップサーブ」が外部からの不正アクセスを受け、購入者や利用店舗の各種情報が流出したことが報じられています。サーバ上で不正なプログラムが実行され、のべ800万件を超えるデータが対象となっている模様です。