セキュリティ脅威情報

Azure Active Directory（現 Microsoft Entra ID）において、不変と想定されたデータの改変に起因する権限昇格の脆弱性が公表された。CVSS v3.1 のベーススコアは 9.9（Critical）と評価されているが、マイクロソフトは自社のクラウドサービス側で既に修正を完了しており、利用者が取るべきアクションはないと明示している。悪用は確認されていない。

Google ChromeのPaymentsコンポーネントにおいて、解放済みメモリの使用（Use-after-free）に関する脆弱性が存在する。リモートの攻撃者が細工されたHTMLページを介してこの脆弱性を悪用した場合、サンドボックスからの脱出を実行できる可能性があり、CVSS v3の基本値は9.6（Critical）と評価されている。

Linuxカーネルのプロセス監査機能（acctパッケージ）を用いることで、bash_historyでは記録できないプロセス実行履歴を補足し、セキュリティ監査やインシデント調査に活用する手法の解説です。

AI（LLM）のハルシネーション等により生成されたとみられる架空の脆弱性情報が、正規のCVE番号として割り当て・公開され、下流のデータベースやディストリビュータに拡散した事案です。自動化された脆弱性管理システムやチケット起票の運用において、未検証のCVE情報をそのまま信頼することのリスクが浮き彫りになりました。

割引価格でAIサービスを提供する見返りにプロンプトや機密情報を傍受する『Poison Claude』の仕組みや、正規のMicrosoftログイン画面とデバイスコードフローを悪用するフィッシング手法について解説されています。

WordPressにおける特定条件下でのリモートコード実行（RCE）脆弱性（CVE-2026-65640）。画像処理にImagickとGhostscriptを利用する環境において、投稿者権限を持つユーザーが悪意あるPostScriptファイルをアップロードすることでコード実行が可能になります。

ファイン株式会社が運営する「ファインオンラインショップ」において不正アクセスが発生し、顧客のクレジットカード情報912件が流出した可能性があることが発表されました。警視庁からの指摘を受けて調査を行った結果、Webサーバ環境の脆弱性を突かれたファイル改ざんが確認されたとしています。

個人メディア「Pottal-Portal」は、同一サーバで運用する複数サイトが不正アクセスを受けたと発表しました。5月下旬頃からファイルが第三者によって書き換えられ、偽のメンテナンス画面への差し替えや検索エンジン向けの不正な広告リンクの埋め込み、迷惑メールの送信などの被害が発生しています。

株式会社まちあい徳山は、同社が運営するコーポレートサイトとメディアサイトにおいて不正アクセスを確認したと発表しました。不正なファイルが設置され、検索結果のタイトルが一時的に書き換えられたものの、個人情報の流出は確認されていないとしています。