Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-08-12

2026-08-12（水）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEVMetabaseにおけるSQLインジェクションの脆弱性 (CVE-2026-72898)
📰 過去報告：8/9
Metabaseに未認証のリモート攻撃者がアプリケーションデータベースへ任意のSQLをインジェクションできるSQLインジェクションの脆弱性が存在する。この脆弱性の悪用により、攻撃者はインスタンスの管理者アクセス権を取得する可能性がある。さらに、アプリケーション設定の変更、接続されたデータベースの保存済み認証情報の窃取、それらの接続を通じてアクセス可能なあらゆるデータの読み取りやエクスポートが可能となる。CISAは2026年08月14日までの対応を推奨している。
8/9 報告と同じ Metabase について、新たな SQL インジェクションの脆弱性が公表されました。Metabase 利用環境では早急に対応状況の確認を推奨します。
なぜご自身の組織で確認すべきかCISA KEV登録。BIツール「Metabase」における未認証SQLインジェクション（CVE-2026-72898）で悪用が確認されているため。
攻撃手法（確認済み）
攻撃者による管理者アクセス権の奪取、データベース内の全データの窃取
改ざん
流出、および接続されている他のデータベースへの不正アクセスが発生するおそれがある。
自組織チェックポイント
ベンダーの指示に従って適切な緩和策を適用すること。CISAのBOD 26-04およびフォレンジックトリアージ要件に準拠し、インターネットへの露出状況を評価して迅速にパッチ適用や対策を実施すること。緩和策が利用できない場合は製品の使用を中止すること。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-72898
KEVMicrosoft Windows Ancillary Function Driver における権限昇格の脆弱性
Microsoft Windows Ancillary Function Driver for WinSockに解放済みメモリ使用（Use-After-Free）の脆弱性が存在し、認証された攻撃者がローカル環境において権限を昇格させることが可能である。CISAは本脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加しており、組織に対して2026年08月25日までの対応を推奨している。
なぜご自身の組織で確認すべきかCISA KEV登録。Windowsカーネルドライバにおけるゼロデイ脆弱性（CVE-2026-68820）で悪用が確認されているため。
攻撃手法（確認済み）
攻撃者がローカル環境からシステム権限などの特権を奪取し、任意のコード実行やシステム全体の制御権を掌握するおそれがある。
自組織チェックポイント
ベンダーの指示に従って適切な緩和策または修正プログラムを適用すること。また、CISAのBOD 26-04ガイドラインおよびフォレンジックトリアージ要件に準拠して対応を実施すること。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-68820
KEVCisco Secure Firewall ASAおよびFTDにおけるサービス拒否の脆弱性
Cisco Secure Firewall ASAおよびFTDにおいて、ヒープインスペクションに関する脆弱性が確認された。認証を受けていないリモートの攻撃者が細工されたリクエストを送信することで、デバイスの予期せぬ再起動を引き起こし、サービス拒否（DoS）状態に陥らせる可能性がある。CISAは本脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加しており、2026年08月14日までの対応を推奨している。
なぜご自身の組織で確認すべきかCISA KEV登録。ネットワーク機器「Cisco Secure Firewall ASA/FTD」における未認証DoS脆弱性（CVE-2026-20349）で悪用が確認されているため。
攻撃手法（確認済み）
攻撃が成功した場合、影響を受けるデバイスが予期せぬ再起動を引き起こし、ネットワーク接続やVPNサービスが停止するサービス拒否（DoS）状態が発生する。
自組織チェックポイント
ベンダーの指示に従い、CISAのBOD 26-04ガイダンス（リスクに基づくセキュリティ更新の優先順位付け）およびフォレンジックトリアージ要件に準拠した上で、適切な緩和策または修正を適用すること。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-20349

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
Microsoft、悪用確認済みのカーネルゼロデイ等398件修正
Microsoftが公開した月例セキュリティ更新には、すでに悪用が確認されているWindowsカーネルドライバのゼロデイ脆弱性（CVE-2026-68820）や、認証や操作を必要としない高深刻度のリモートコード実行（RCE）脆弱性などが含まれています。
主要なTTP
AFD.sys（WinSock用補助機能ドライバ）のuse-after-free脆弱性を利用した権限昇格（CVE-2026-68820）
Windows DNS Server、Windows Deployment Services、Microsoft QUIC、HPC Packにおける認証不要のリモートコード実行
SharePointの認証バイパスとRCEを組み合わせた攻撃チェーン
対象となる組織・利用者
Windowsクライアントおよびサーバー製品、特にオンプレミス環境のWindows Server、SharePointファーム、および各種ネットワークサービスを運用している組織。
推奨される防御アクション
悪用が確認されているカーネルドライバの脆弱性（CVE-2026-68820）に対するセキュリティ更新プログラムを最優先で適用する
Windows DNS、WDS、QUIC、HPC Packなどの公開サービスの露出状況を確認し、必要なパッチを適用する
オンプレミスSharePoint環境について、7月の認証バイパス修正（CVE-2026-55040）と8月のRCE修正（CVE-2026-63520）の両方が適用されているか確認する
出典：https://thehackernews.com/2026/08/microsoft-patches-398-flaws-including.html
Adobe ColdFusionに深刻な脆弱性、迅速な更新を推奨
Adobe ColdFusionにおいて、任意のコード実行やサービス拒否につながる複数の深刻な脆弱性が公表されました。特にCVSS最高値のOSコマンドインジェクション脆弱性（CVE-2026-48362）が含まれており、注意が必要です。
主要なTTP
CVE-2026-48362による任意のコード実行（OSコマンドインジェクション、CVSS 10.0）
CVE-2026-48273による動的コード処理の不備（CVSS 9.9）
CVE-2026-71384による認可処理の不備を通じたサービス拒否（CVSS 9.6）
対象となる組織・利用者
Adobe ColdFusionを導入している組織・システム管理者。
推奨される防御アクション
アドバイザリを確認し、速やかに公式のセキュリティアップデートを適用する
必要に応じて関連する設定や影響範囲を確認する
出典：https://www.security-next.com/188665
日米韓など各国、北朝鮮IT労働者の手口に関する注意喚起を公表
北朝鮮IT労働者が身分を偽って海外の企業からリモート業務や雇用を獲得し、報酬を親元へ送金して資金源とする手口に関する解説です。AIの統合など高度な手法を用いて身分を隠蔽し、内部不正や機密情報の窃取を引き起こすリスクが指摘されています。
主要なTTP
他国籍者へのなりすましとオンラインプラットフォームの悪用
AIなどの高度な技術を活用した身分の隠蔽と活動拡大
組織内への潜入を通じたデータ流出や暗号資産・機微情報の窃取
対象となる組織・利用者
リモートワーカーや外部委託のエンジニア、デザイナーを募集・採用しているすべての企業、特にオンラインプラットフォームを通じて受発注を行う組織。
推奨される防御アクション
採用時の本人確認（身元証明書やビデオ面接など）の厳格化
業務委託先やリモートワーカーに対するアクセス権限の最小化と監視強化
不自然な経歴の矛盾やアカウント共有の兆候がないかの確認
出典：https://scan.netsecurity.ne.jp/article/2026/08/12/55907.html
Androidボットネット「Kimwolf v7」登場
Kimwolf v7は、Android TVなどのIoT機器を感染させてボットネットを構築するマルウェアです。HTTP/2プロトコルを利用して完全なブラウザフィンガープリントを構築し、正規のブラウジング通信に偽装した高度なDDoS攻撃を行います。また、スキャンや初期侵入機能を外部ローダーへ切り離し、マルウェア本体はDDoSとプロキシ中継に特化する構造へと進化しています。
主要なTTP
HTTP/2とnghttp2ライブラリを用いた、正規ブラウザに偽装するDDoSフラッド攻撃
Ethereum Name Service（ENS）やTor隠しサービス、ローカルプロキシを組み合わせた多層的なC2インフラ
Android Debug Bridge（ADB）ポート（5555）が有効な端末を標的とした感染拡大
正規のAndroidシステムプロセス（「netd_service」など）への偽装による隠蔽
対象となる組織・利用者
Android TVボックスや各種IoTデバイスを企業ネットワーク内で利用、あるいは社内ネットワークに混在させている組織。
推奨される防御アクション
社内ネットワークにおけるAndroid TVボックス等の端末を信頼できないものとして扱い、エンタープライズネットワークから厳格にセグメント化する
不要なAndroid Debug Bridge（ADB）機能を無効化するか、アクセスをUSB接続のみに制限する
出典：https://thehackernews.com/2026/08/kimwolf-v7-android-botnet-makes-http2.html
Google Chrome、脆弱性5件を修正するアップデート
📰 過去報告：8/7
Google Chromeにおいて、V8やTabStripなどのコンポーネントに重要度「高（High）」とされる5件の脆弱性が発見され、修正版がリリースされました。いずれも解放後のメモリを使用する「Use After Free」の脆弱性です。
8/7 報告と同じ Chrome について、新たな脆弱性を修正するアップデートが公開されました。利用環境での適用状況の確認を推奨します。
主要なTTP
スクリプトエンジン「V8」等のコンポーネントにおけるUse After Free（解放後メモリ使用）脆弱性
細工されたコンテンツや拡張機能を通じた不正なメモリ操作のおそれ
対象となる組織・利用者
業務端末でGoogle Chromeを利用しているすべての組織およびユーザー。
推奨される防御アクション
Chromeを速やかに最新バージョン（Windows/macOS: 151.0.7922.138 または 151.0.7922.137、Linux: 151.0.7922.137）にアップデートする
ブラウザの自動更新機能が有効になっていることを確認する
出典：https://www.security-next.com/188670
■ 注目事例
🔄 [続報] RIZAP、オンラインストアで情報流出の可能性
📰 過去報告：8/11
RIZAP株式会社は、運営する「APORITOオンラインストア」において、第三者による不正スクリプトの設置により顧客の個人情報およびクレジットカード情報が外部へ流出した可能性があると公表しました。システム内に不審な外部送信プログラムを発見したため、サイトを一時閉鎖して調査を進めています。
8/11 報告の同件に関する続報です。
攻撃手法（確認済み）
第三者による悪意ある不正スクリプトのシステム内への設置（不正アクセス）。
攻撃手法（推測）
ECサイトの脆弱性（CMSやプラグインの未パッチ、サプライチェーン攻撃等）を悪用され、決済画面等に不正なJavaScript等のスキミングスクリプトが挿入された可能性があります。
自組織チェックポイント
自社で運用するECサイトやWebアプリケーションにおいて、定期的な脆弱性診断やソースコード監査を実施しているか
サードパーティ製プラグインやライブラリの脆弱性管理・アップデート体制が確立されているか
不正な外部送信やスクリプトの改ざんを検知するセキュリティ製品（WAFや改ざん検知ツール等）を導入しているか
CSP（Content Security Policy）等のヘッダー設定により、不正な外部ドメインへのデータ送信を制限しているか
出典：https://rizap.co.jp/news/vNh1nMuA
🔄 [続報] Eストアー「ショップサーブ」不正アクセスで情報流出
📰 過去報告：8/8
株式会社Eストアーは、運営するECサイト構築サービス「ショップサーブ」のサーバーが外部からの不正アクセスを受けたと公表しました。第2報によると、延べ885万件余りの購入者情報や暗号化されたパスワード、クレジットカード情報、店舗の管理画面情報などが漏えいした可能性があります。利用店舗の間では影響の有無を確認する動きが相次いでいます。
8/8報告のショップサーブ不正アクセスの第2報です。被害件数は延べ885万件余りに上り、暗号化パスワードやカード情報などの漏えい可能性が公表されました。
攻撃手法（確認済み）
外部の第三者が同社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信したとされています。具体的な脆弱性の内容や侵入経路の詳細は公表されていません。
攻撃手法（推測）
利用店舗や関連企業の発表において「原因となった脆弱性への対策が完了した」と言及されていることから、Webアプリケーションやサーバー製品の既知または未知の脆弱性を悪用したサーバーへの不正侵入であった可能性があります。
自組織チェックポイント
自社で利用しているECシステムやWebサーバーの脆弱性管理は徹底されているか
管理画面へのアクセス制限や二段階認証・多要素認証が適切に導入されているか
外部ベンダーが管理するクラウド・ホスティング環境のセキュリティ体制を定期的に確認しているか
顧客情報の漏えいが発生した際の社内エスカレーション手順や利用者向け通知体制は整備されているか
出典：https://piyolog.hatenadiary.jp/entry/2026/08/12/072307
日産財団、Webサイト不正アクセスの調査結果公表
公益財団法人日産財団は、同財団のWebサイトに対する不正アクセスについて、調査結果および対応状況をまとめたお知らせとお詫びを公開しました。詳細な事実関係や対応については、掲載されているPDFファイルを通じて案内しています。
攻撃手法（確認済み）
Webサイトに対する不正アクセスが発生したことが公表されていますが、具体的な侵入経路や攻撃手法についての詳細はWebページ上のテキストからは不明です（詳細はPDFファイルに記載されている可能性があります）。
攻撃手法（推測）
Webサイトや関連するCMS（コンテンツ管理システム）等の公開サーバーに対する脆弱性の悪用、あるいは管理アカウントの認証情報突破による侵入の可能性があります。
自組織チェックポイント
自社で運用するWebサイトやCMS、プラグインに最新のセキュリティパッチが適用されているか
Web管理画面へのアクセス制限（IP制限やMFAの導入）が適切に実施されているか
不正なアクセスや改ざんを検知するモニタリング体制が整っているか
万が一のサイト改ざんや情報流出に備えたインシデントレスポンス手順が策定されているか
出典：https://www.nissan-zaidan.or.jp/topics/1324422/
扶桑電通、クラウドストレージに不正アクセス
📰 過去報告：8/10
扶桑電通は、社外関係者との情報共有に利用していたクラウドストレージの共有フォルダにおいて、第三者による不正アクセスを確認したと発表しました。一部のフォルダに個人情報が保管されており、漏えいの可能性があるとして個人情報保護委員会に報告しています。
8/10 報告の他社事例と同様、システムやサービスへの不正アクセスによる個人情報漏洩の可能性が公表されています。利用中のクラウド環境等のセキュリティ管理やアクセス設定の再確認をお勧めします。
攻撃手法（確認済み）
公表文では社外関係者との情報共有に利用していたクラウドストレージの共有フォルダへの不正アクセスと記載されており、具体的な侵入経路や手口は非公開です。
攻撃手法（推測）
共有アカウントの流出や、適切に管理されていなかった共有リンクの権限設定を悪用された可能性があります。
自組織チェックポイント
社外共有しているクラウドストレージの権限設定が適切に管理されているか
不要になった共有リンクやアカウントが放置されていないか
クラウドストレージのアクセスログを定期的に確認しているか
共有フォルダに機密情報や個人情報が不要に置かれていないか
出典：https://scan.netsecurity.ne.jp/article/2026/08/12/55909.html
■ レポート・解説
DNSセキュリティがNIST CSF 2.0の評価対象に
NISTは、安全なDNS展開ガイド「SP 800-81r3」をOLIRプログラムを通じてサイバーセキュリティフレームワーク2.0（CSF 2.0）へ正式に対応付けたとInfobloxが発表しました。これにより、これまで見過ごされがちだったDNSセキュリティが、NIST CSF 2.0の中で正式な評価対象として位置づけられることになります。
発行元：Infoblox株式会社（米国国立標準技術研究所 NIST の発表に基づく）
注目理由：国際的なセキュリティフレームワークであるNIST CSF 2.0においてDNSセキュリティが正式な評価対象となったことで、今後のセキュリティ方針や監査対応におけるDNS対策の重要性を見直す契機となるため。
入手方法：原典記事URL（https://scan.netsecurity.ne.jp/article/2026/08/12/55905.html）およびInfoblox Japan公式note（https://note.com/infoblox/n/n50d76e3051e9）を参照。
出典：https://scan.netsecurity.ne.jp/article/2026/08/12/55905.html
IPA、企業向け「メール攻撃の手口と対策」マニュアル公開
独立行政法人情報処理推進機構（IPA）は、企業組織を狙うメール攻撃に焦点を当てた解説レポートを公開しました。フィッシングやBEC、標的型攻撃などの手口や被害、事前の対策、事後の対応について実務マニュアルとしてまとめています。
発行元：独立行政法人情報処理推進機構（IPA）
注目理由：中小企業などのシステム担当者が、メールを悪用した各種攻撃の手口や、事前の対策、インシデント発生時の事後対応を体系的に学ぶための実務マニュアルとして活用できるためです。
入手方法：https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf
出典：https://scan.netsecurity.ne.jp/article/2026/08/12/55906.html
SBOM最小要素の国際ガイダンス発表、データ項目の変更点
経済産業省や内閣官房国家サイバー統括室を含む14ヶ国の当局が、ソフトウェア部品表（SBOM）の最小要素に関する国際ガイダンスに共同署名しました。最新のIT環境を反映してデータ項目が新設・更新・削除されています。
出典：https://scan.netsecurity.ne.jp/article/2026/08/12/55904.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-08-12 に配信されました。