セキュリティ脅威情報

サンドボックスライブラリ vm2 において、例外処理のサニタイズ不足に起因する深刻な脆弱性が発見された。ES2022 で導入された Error.cause プロパティのチェックが欠落しており、ホスト側から投げられたエラーが .cause にホストオブジェクト（process など）を参照している場合、サンドボックス内のコードからそのオブジェクトへ直接アクセスが可能となる。この不備により、サンドボックスを完全に脱出し、ホスト環境で任意の OS コマンドを実行できる。公式ドキュメントではサニタイズ済みと謳われていたが、実際には実装が漏れていたことが判明した。

MLflow Tracking Server において、モデルレジストリ Webhook API のテスト用エンドポイント（/api/2.0/mlflow/webhooks/{id}/test）に深刻な SSRF（サーバー側リクエスト偽造）の脆弱性が存在する。デフォルト設定では認証なしでアクセス可能であり、送信先からのレスポンス内容をそのまま呼び出し元に返す仕様となっている。以前の修正で導入された検証処理は、HTTP リダイレクト発生時に再検証を行わないため、攻撃者が公開サーバーを経由して内部 IP アドレス（AWS メタデータエンドポイント等）へリダイレクトさせることで回避できる。この結果、認証なしでクラウドの認証情報や内部ネットワーク上の機密データを完全に読み取ることが可能である。また、DNS リバインディング攻撃に対しても脆弱であることが確認されている。

New API のクォータ計算ロジックに整数オーバーフローの脆弱性が存在する。ユーザーが制御可能な数量パラメータが、上限チェックや安全な型変換なしに計算に使用されている。攻撃者が巧妙に細工した極端な数値を送信することで、精算時の利用量を負の値（マイナス請求）にし、自身の残高を不正に増やすことが可能である。この脆弱性は既に野生での悪用が確認されており、2026年7月6日に実際の被害報告を受けて緊急修正が行われた。特に新規登録時に無料枠を付与している環境では、未認証の攻撃者による大量のアカウント作成と残高増殖が行われる危険性が極めて高い。

conflibot の 1.2.1 未満のバージョンにおいて、OS コマンド注入の脆弱性が存在する。git コマンドの生成時にブランチ名などの外部入力を文字列補間によって直接シェルに渡しているため、悪意のあるブランチ名を含むプルリクエストを作成することで任意のコマンドを実行される恐れがある。特に pull_request_target イベントを使用している場合、攻撃者はランナー上で書き込み権限を持つ GITHUB_TOKEN やリポジトリのシークレットを窃取できる可能性があり、極めて重大である。攻撃に際してメンテナーの介入は不要であり、プルリクエストが作成された時点で自動的に実行される。

GitLabのセルフマネージド環境におけるGraphQLディレクティブの脆弱性（CVE-2026-19478）で、認証を持たない遠隔の攻撃者がパブリックプロジェクトやユーザーデータを不正に改変・削除する恐れがある問題です。

WordPressのフォーム作成プラグイン「Forminator Forms」において、ファイルアップロード機能の不十分な検証に起因する任意のファイルアップロードおよび遠隔コード実行（RCE）の脆弱性です。

AppleがiOS、iPadOS、macOS向けに複数のセキュリティアップデートをリリースし、WebKitやカーネル等における計108件の脆弱性を修正しました。特にiOS 18向けに多くの修正が含まれており、広範なコンポーネントが影響を受けています。

GitHub Actionsのワークフロー内において、検証されていないIssueのタイトルや本文などの入力値をシェルスクリプトのブロック内で直接展開していたことに起因するコマンドインジェクションの脆弱性です。これにより、攻撃者が細工したIssueを投稿することでワークフロー内で任意のコマンドを実行できる危険性がありました。

Langflowのfiles API（/api/v2/files）におけるパストラバーサル脆弱性（CVE-2026-5027）です。ファイル名の検証不備により、認証済みの攻撃者がサーバー内の任意の場所に任意のファイルを作成し、遠隔からのシステム侵入につながるおそれがあります。

丸高興業株式会社は、同年3月に発生したサーバへの不正アクセスに関するフォレンジック調査結果を発表しました。VPN機器を経由して侵入した第三者によりシステムが暗号化され、少なくとも1.5GBのデータが漏えいした可能性があるとしています。

RIZAP株式会社は、運営する「APORITOオンラインストア」が第三者による不正アクセスを受け、顧客の個人情報およびクレジットカード情報が外部流出した可能性があると発表しました。システム内で不審な外部送信プログラムが発見されたため、該当サイトは一時非公開化されています。

株式会社タカラトミーは、「デュエル・マスターズ サポートアプリ」において開発段階のユーザー認証機能の設計・実装に脆弱性があったと発表しました。これにより、約155,000名分の個人情報が第三者に閲覧可能であったとしています。なお、現時点で情報の不正利用や閲覧された事実は確認されておらず、すでに脆弱性の改修は完了しています。

中電不動産は、駐車場管理業務を委託している名鉄協商のサーバがランサムウェアによる不正アクセスを受けたと発表しました。現時点で具体的な情報漏えいの事実は確認されていませんが、約4,000件の顧客の個人情報が漏えいした可能性があるとしています。

株式会社シー・コネクトは、同社が運営する「インク革命」への不正アクセスについて発表しました。システムの一部脆弱性を突いた不正アクセスによりペイメントアプリケーションが改ざんされ、最大24,166名分のクレジットカード情報および顧客の個人情報が漏えいした可能性があるとしています。