セキュリティ脅威情報

Synacor Zimbra Collaboration Suite (ZCS)にはOSコマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が特別に細工したSMTPリクエストを送信することにより、Zimbraユーザーの権限で任意のオペレーティングシステムコマンドを実行される可能性がある。本脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログに追加されており、すでに悪用が確認されている。CISAは2026年08-24までの対応を推奨している。

Xinference において、Llama3 モデルのツール呼び出し（tool-call）の結果を解析する際、Python の `eval()` 関数を安全でない方法で使用している。攻撃者がチャット API (`/v1/chat/completions`) を通じて巧妙に細工したプロンプトを送信することで、モデルに悪意のある Python 式を出力させ、サーバー上でそのコードを直接実行させることが可能である。特にデフォルト設定では認証が有効になっていないため、未認証のリモート攻撃者によって悪用されるリスクが極めて高い。

JSONata において、細工された JSONata 式を処理する際に任意のコードが実行可能となる脆弱性が発見された。この問題は、lookup 関数内での hasOwnProperty チェックが欠如していることに起因する。攻撃者が悪意のある式を evaluate 関数に渡して評価させることで、アプリケーションを実行している Node.js プロセス上で任意のコマンドを実行できる可能性がある。既に概念実証（PoC）コードが公開されており、悪用が容易な状態である。

NEC製UNIVERGE IX-R/IX-VシリーズルータのWebGUIに、認証無しで任意のコマンドが実行される重大な脆弱性（CVE-2026-16876）が存在します。

Cisco Crosswork プラットフォームおよび Secure Workload ソフトウェアにおいて、CVSS最高値の10.0を含む複数の深刻な脆弱性が発見されました。認証不備やSQLインジェクションなど、システム乗っ取りに繋がりかねない不具合が含まれています。

Windowsに標準搭載されているMicrosoft Defenderの修復用ドライバー「BTR.sys」の内部プロトコルを悪用し、管理者権限からカーネルレベルで任意のファイルやレジストリ操作、セキュリティソフトの削除を行う手法（BTR Reforged）。

カレンダー等のユーティリティを装った14個のnpmパッケージに、Linux向けC2フレームワーク「RedC2 4.0」のビーコンが埋め込まれていました。このフレームワークには自然言語での操作を可能にするLLMベースのAIアシスタント「Red Agent」が統合されており、サプライチェーンを介して標的環境への侵入や事後活動を引き起こします。

エリッツホールディングスの子会社において、クラウド環境に保存していた入居申込者とのやり取りに関するファイル等のアクセス制限に不備があり、個人情報が流出した可能性があることが判明しました。外部からの指摘を受けて発覚し、現在は不備の修正と影響範囲の調査が進められています。

エヌ・イー ケムキャットは、社内システムに対する外部からの不正アクセスにより、従業員や関係者の個人情報が漏洩したか、またはそのおそれがあると公表しました。外部専門調査機関の調査により、端末上でマルウェアが実行されたことが原因であると判明しています。

楽天ブックスネットワーク株式会社は、一部のPC端末に対して社外の第三者による不正アクセスがあったと公表しました。端末内に保存されていた顧客や取引先、従業員の個人情報が閲覧された可能性がありますが、現時点で情報の漏えいや二次被害は確認されていません。

セントラルコンサルタントは、コーポレートサイトが第三者に侵害されたおそれがあると公表しました。問い合わせフォームを通じて送信された個人情報が外部に流出した可能性があります。同社は影響範囲の確認を進め、該当サイトはすでに復旧済みとしています。