Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-08-10

2026-08-10（月）配信

セキュリティ脅威情報

■ 脅威動向
Veeam Service Provider Consoleに複数の脆弱性
Veeam Service Provider Consoleにおいて、認証情報の不正取得、任意ファイル書き込みによるリモートコード実行、メモリ枯渇によるサービス拒否（DoS）、管理者としてのAPIアクセスを許す複数の脆弱性が確認されました。
主要なTTP
管理対象エージェントのなりすましと認証情報の取得（CVE-2026-58073）
管理サーバ上での任意ファイル書き込みおよびリモートコード実行（CVE-2026-58072）
ホストのメモリ枯渇によるサービス拒否（CVE-2026-58067）
管理者セッション開始直後の脆弱な期間を利用したポータル管理者としてのAPIアクセス（CVE-2026-58071）
対象となる組織・利用者
Veeam Service Provider Consoleのバージョン9.2.1.33875およびそれ以前のバージョン9を使用している組織。
推奨される防御アクション
対象システムを「Veeam Service Provider Console 9.3.0.35057」へ速やかにアップデートする
ベンダーからの公式情報（KB4893）を確認し、推奨される対策を講じる
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55894.html
OpenSSLのOCSP検証にメモリリークの脆弱性
OpenSSLのクライアント側におけるOCSPレスポンス検証処理において、メモリリークが発生する脆弱性（CVE-2026-54876）が確認されました。
主要なTTP
OpenSSLを利用したクライアント側でのOCSPレスポンス検証処理の悪用
不正なOCSPレスポンス等に起因するメモリリークの発生
対象となる組織・利用者
OpenSSLを利用しているソフトウェアやシステム、または独自にOpenSSLを組み込んだ環境を運用している組織。
推奨される防御アクション
OpenSSL Projectが公開しているセキュリティアドバイザリを確認する
必要に応じて提供されるパッチやアップデートを適用する
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55898.html
freo2、アップロードファイルの検証不備の脆弱性
PHP製CMS「freo2」のVer 2.0.0-alpha-14より前のバージョンにおいて、アップロードファイルの検証が不十分な脆弱性が存在します。最上位の管理権限を持つユーザーが悪用することで、実行可能ファイルのアップロードおよび任意のOSコマンドの実行につながるおそれがあります。
主要なTTP
アップロード機能における不十分なファイル形式の検証
最上位管理権限を利用した実行可能ファイルのアップロード
アップロードされたスクリプト等を介した任意のOSコマンド実行
対象となる組織・利用者
freo2を利用している組織、および当該CMSを運用・管理しているウェブマスターや情シス担当者。
推奨される防御アクション
開発者が提供する情報をもとに、最新版へ速やかにアップデートを実施する
CMSの管理権限を持つアカウントの管理・監査を厳格に行う
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55893.html
NetKids iMarkに複数の脆弱性、JVNで公表
株式会社アイ・エス・ティが提供するNetKids iMark V5.2.5.0およびそれ以前のバージョンにおいて、ファイル検索パスの制御不備（CVE-2026-66344）および引用符で囲まれていないファイルパス（CVE-2026-66839）の複数の脆弱性が存在します。悪用された場合、ローカルの攻撃者や書き込み権限を持つ者によってSYSTEM権限で任意のコードが実行されるおそれがあります。
主要なTTP
ファイル検索パスの制御不備による任意のコード実行（CVE-2026-66344）
引用符で囲まれていないファイルパスの悪用による任意のコード実行（CVE-2026-66839）
SYSTEM権限の奪取
対象となる組織・利用者
NetKids iMark V5.2.5.0およびそれ以前のバージョンを社内で運用している組織。
推奨される防御アクション
該当製品のバージョンを確認する
開発者から提供される修正済みアップデート版を適用する
アップデート提供までは開発者が示す回避策を適用する
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55895.html
総務省のmiCheckerにXXE脆弱性、要アップデート
ウェブアクセシビリティ評価ツール「miChecker」におけるXML外部実体参照（XXE）の脆弱性です。悪用されると、ツールが稼働する端末を起点として内部ネットワークやローカルリソースへの不正アクセスが行われる恐れがあります。
主要なTTP
XML外部実体参照（XXE）の悪用
ローカルリソースおよび内部ネットワークリソースへの不正アクセス
対象となる組織・利用者
「miChecker」（バージョン3.1.0以前）を端末に導入し、ウェブアクセシビリティの評価業務等で利用している組織。
推奨される防御アクション
miCheckerをバージョン3.1.1以降へアップデートする（一度アンインストールした上での再インストールが必要）
アップデートが困難な場合は、「字幕（SMIL形式）を開く」機能の利用を停止する
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55896.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 注目事例
シミックヘルスケア受託サービスに不正アクセス、個人情報流出
📰 過去報告：8/8
シミックヘルスケア・インスティテュートは、運営を受託している患者支援サービス用のシステムが第三者からの不正アクセスを受けたと発表しました。調査の結果、Web公開領域に配置されていた一部ファイル内の個人情報が取得されたことが確認されています。
8/8 報告の他社事例と同様、受託サービスや外部システムへの不正アクセスによる個人情報流出が発生しています。アクセス制御や公開領域の設定管理の再確認が求められます。
攻撃手法（確認済み）
Web公開領域に配置されていた一部ファイルが第三者に取得されたと記載されています。詳細な侵入手段や原因は公表情報からは不明です。
攻撃手法（推測）
Web公開領域のアクセス権限の設定不備（パーミッションの誤りなど）、あるいは不要になったファイルや機微情報を含むファイルの置き忘れ・不適切な配置が原因となった可能性が考えられます。
自組織チェックポイント
自社で運用・管理するWebサーバーの公開領域に、機微情報や不要なファイルが放置されていないか
Web公開領域のディレクトリやファイルに対するアクセス権限（パーミッション）が適切に設定されているか
Webアプリケーションや公開ファイルに対する定期的な点検・監視体制が構築されているか
外部委託しているシステムやサービスにおいて、情報管理やアクセス権の管理ルールが遵守されているか
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55901.html
KDDIメールシステム不正アクセスで総務省が行政指導
総務省は7月29日、KDDIに対し文書による行政指導を行ったと発表しました。KDDIが提供するISP向けメールシステムへの不正アクセスにより約762万人の情報が閲覧可能となった事案において、安全管理措置の不徹底や初動の遅れが問題視されています。
攻撃手法（確認済み）
外部からの不正アクセスにより、ユーザーのメールアドレスやログインパスワード等の情報が漏えいし、メールボックス内の情報が閲覧可能な状態となっていた。またパスワードが暗号化等の安全管理措置が講じられない状態で保存されていた。
攻撃手法（推測）
関連する過去の報道（ゼロデイ脆弱性の悪用等の指摘）を踏まえると、システム上の脆弱性を突いた侵入に加え、不十分な認証管理や暗号化の欠如が被害を拡大させた可能性があります。
自組織チェックポイント
自社で運用・管理するメールシステムやアカウント情報の保存方式が暗号化されているか確認する
外部向けシステムの脆弱性管理やパッチ適用が迅速に行われる体制になっているか点検する
インシデント発生時の社内報告から公表までの初動フローが適切に機能するか見直す
多層防御の観点からアクセス制御や監視体制が十分か確認する
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55902.html
ジェイアール東海高島屋、スタッフ管理システム不正アクセス
📰 過去報告：8/4
ジェイアール東海高島屋は、アルバイトスタッフ管理システムに対する不正アクセスの追加調査結果を発表しました。詳細調査により、応募受付サーバに残されていたログデータから、過去のアルバイトスタッフら最大7,582人分の個人情報が含まれていたことが判明しています。
8/4 報告の他社事例と同様、利用システムへの不正アクセスによる個人情報漏洩事案です。自社で利用する各種管理システムのアクセス制御やログ保管状況の点検を推奨します。
攻撃手法（確認済み）
外部システムであるアルバイト応募受付用サーバへの不正アクセス。詳細な手口は調査中。
攻撃手法（推測）
サーバ管理用ソフトウェアのセキュリティ上の脆弱性を悪用された可能性があります。
自組織チェックポイント
自社で運用する公開サーバや応募受付システム等の管理ソフトに未適用の脆弱性がないか
サーバ管理画面がインターネットから直接アクセスできないよう制限されているか
古いログデータや不要になった個人情報データが長期間放置されていないか
外部公開システムに対する定期的な脆弱性診断やログ監視が実施されているか
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55899.html
ナカバヤシ製品紹介サイトに不正アクセス、個人情報流出の恐れ
📰 過去報告：8/4
ナカバヤシは、製品紹介サイト「REVEX」において不正アクセスの痕跡を確認したと発表しました。当初は個人情報の保有はないとしていましたが、その後の調査で問い合わせフォームに保管されていた最大3,631件の個人情報が流出した可能性があることが判明しています。
8/4 報告の他社事例と同様、問い合わせフォームやWebサイトを対象とした不正アクセスによる情報漏洩が発生しています。自社で管理するフォームの入力データ管理やアクセス制御の再確認を推奨します。
攻撃手法（確認済み）
公表文では「意図しない不審な画面が表示される事象」および「不正アクセスの痕跡」が確認されたとのみ記載されており、具体的な侵入経路は不明です。
攻撃手法（推測）
サイト上に不審な画面が表示された点や問い合わせフォームのデータが保持されていたことから、Webアプリケーションの脆弱性（SQLインジェクションやOSコマンドインジェクション等）を突いた改ざん、または管理権限の不正取得によるWebサイトの乗っ取りの可能性があります。
自組織チェックポイント
自社が保有するWebサイトやフォームの脆弱性診断を実施しているか
不要になった古い問い合わせデータや個人情報がサーバー上に残存していないか
CMSや関連プラグイン、フレームワークのパッチ管理が適切に行われているか
Webサーバーや管理画面へのアクセスログを定期的に監視しているか
出典：https://scan.netsecurity.ne.jp/article/2026/08/10/55900.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-08-10 に配信されました。