2026-08-26（水）配信
セキュリティ脅威情報
■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
SKYSEA等に複数脆弱性、SYSTEM権限コード実行等
IPAおよびJPCERT/CCは、SKYSEA Client ViewおよびSKYMEC IT Managerにおける複数の脆弱性についてJVNで公表しました。認可処理の欠如やパストラバーサル、バッファオーバーフローなどの脆弱性が存在し、SYSTEM権限での任意コード実行などの恐れがあります。
なぜご自身の組織で確認すべきかIT資産管理ツール「SKYSEA Client View」等にSYSTEM権限でのコード実行が可能な深刻な脆弱性が確認されたため、対象バージョンの確認と速やかなパッチ適用が必要です。
Veeam ONE、クリティカル含む複数脆弱性を修正
Veeam Softwareは、バックアップ環境の監視ツール「Veeam ONE」の複数バージョンについてセキュリティアドバイザリを公開しました。サービスアカウントにSMB認証を行わせることが可能な脆弱性（CVE-2026-65641、CVSSv4.0スコア9.3）をはじめとする、複数の脆弱性に対する修正プログラムを提供しています。
なぜご自身の組織で確認すべきかバックアップ監視ツール「Veeam ONE」においてCVSS 10.0を含む複数の深刻な脆弱性が修正されたため、最新パッチの即時適用が必要です。
■ 脅威動向
KEVGiteaにおけるコードインジェクション脆弱性
📰 過去報告：8/19, 8/21
Giteaにコードインジェクションの脆弱性が存在し、CISAのKnown Exploited Vulnerabilities（KEV）カタログに追加された。リポジトリへの書き込み権限を持つ攻撃者が悪意あるパッチをdiffpatch APIエンドポイントへ送信することで、実行可能なGitフックを設置し、Giteaサービスアカウント権限で任意のシェルコマンドを実行されるおそれがある。CISAは2026年08月28日までの対応を推奨している。
KEVカタログへの追加が相次ぐ深刻な脆弱性事案の一つです。該当するGitea環境を運用している組織は、早急なパッチ適用や対策の確認を推奨します。
対象ソフト
Giteaは、Go言語で記述されたオープンソースのセルフホスト型Gitサービス（コードホスティング・リポジトリ管理プラットフォーム）である。企業の開発環境や個人開発者によって広く利用されている。
影響
攻撃者によって任意のシェルコマンドが実行され、影響を受けるサーバーの乗っ取りや機密情報の漏えい、不正アクセスの踏み台などに悪用される可能性がある。
対応策
ベンダーの指示に従い緩和策を適用すること。CISAのBOD 26-04および関連するフォレンジックトリアージ要件に従い、クラウドサービスへの対応や必要に応じた利用停止を検討すること。
脆弱性アドビの Adobe Campaign における不適切な認可によるコード実行の脆弱性
📰 過去報告：8/25
Adobe Campaign Classic（ACC）において、不適切な認可（Improper Authorization）の脆弱性が確認された。この脆弱性は、ネットワーク経由で攻撃者が特別な権限を必要とせず、またユーザーの操作を介さずに悪用することが可能である。脆弱性が悪用されると、現在実行中のユーザーコンテキストにおいて、攻撃者によって任意のコードが実行される恐れがある。CVSS 基本値は最大値の 10.0 を記録しており、極めて深刻な影響を及ぼす可能性がある。
8/25 報告の事例と同様、ネットワーク経由で悪用可能な極めて深刻な脆弱性が公表されています。利用環境の確認と対応を急いでください。
対象ソフト
Adobe Campaign は、企業がパーソナライズされたマーケティングキャンペーンを統合管理・配信するためのプラットフォームである。BtoCビジネスにおける大規模な顧客エンゲージメント管理に広く利用されている。
影響
現在のユーザーのコンテキストで任意のコードが実行され、システムの制御権を奪われたり、機密情報が窃取されたりする可能性がある。
脆弱性Oracle Hyperion Financial Management におけるシステム乗っ取りの脆弱性
📰 過去報告：8/25
Oracle Hyperion Financial Management のセキュリティコンポーネントにおいて、極めて深刻な脆弱性が確認された。この脆弱性は、HTTP 経由でネットワークアクセスが可能な認証されていない攻撃者によって、特別な権限なしに容易に悪用される可能性がある。攻撃が成功すると、対象製品が完全に侵害され、システム全体の乗っ取りが行われる恐れがある。CVSS 基本スコアは 9.8 と算出されており、情報の機密性、完全性、可用性のすべてに重大な影響を及ぼす。
8/25 報告のオラクル製品（Helidon）の事例と同様、深刻度の高い脆弱性が公表されています。利用環境の確認と適切な対応を推奨します。
対象ソフト
Oracle Hyperion Financial Management は、大企業の財務報告、連結、および分析を管理するためのソフトウェアであり、企業の重要な財務情報を扱うシーンで使用される。
影響
認証されていない攻撃者によって、システムが完全に乗っ取られる可能性がある。これにより、財務データの漏洩や改ざん、システムの停止といった深刻な被害が発生する恐れがある。
脆弱性Chainlit におけるコマンド注入によるリモートコード実行の脆弱性
📰 過去報告：8/22
Chainlit の MCP (Model Context Protocol) 機能が有効な場合、`POST /mcp` エンドポイントにおいて、ユーザーが入力したコマンド文字列が適切に検証されずに実行される脆弱性が存在する。実行ファイル名自体は許可リストと照合されるが、引数の制限が行われていないため、`npx` 等のコマンドを介して任意のシェルコマンドを注入することが可能である。この脆弱性は認証なしでリモートから悪用可能であり、攻撃者がサーバー上で Chainlit プロセスの権限を用いて任意の OS コマンドを実行し、システムを完全に制御する恐れがある。なお、デフォルトでは MCP 機能は無効化されている。
8/22 報告の他ツール事例と同様、連携機能を通じたリモートコード実行の脆弱性が報告されています。対象機能の有効化状況を確認してください。
対象ソフト
Chainlit は、Python を用いて LLM（大規模言語モデル）のチャットアプリケーションを迅速に構築するためのオープンソースフレームワークである。
影響
認証されていないリモートの攻撃者が、サーバー上で任意の OS コマンドを実行できる。これにより、機密データの窃取、システムの完全な侵害、ネットワーク内での横展開、および持続的なバックドアの設置を招く可能性がある。
対応策
バージョン 2.12.0 以降にアップグレードすること。即時の更新が困難な場合は、設定ファイル `.chainlit/config.toml` で `features.mcp.enabled = false` に設定するか、認証機能を有効化して `/mcp` への匿名アクセスを制限する回避策がある。
脆弱性AshAuthentication における OAuth2/OIDC 連携時のアカウント乗っ取りの脆弱性
AshAuthentication の OAuth2 および OIDC 戦略において、ユーザーの識別にメールアドレスを使用していることに起因する脆弱性が存在する。本来、OpenID Connect 仕様では一意識別のために iss (発行者) と sub (被認証者) の組み合わせを使用すべきだが、本パッケージはメールアドレスでローカルアカウントとの紐付けを行っていた。このため、メールアドレスの所有確認が不十分な OAuth プロバイダーを攻撃者が利用することで、被害者のメールアドレスを騙って被害者のアカウントにログインし、フルアクセス権限を奪取することが可能となる。この問題はデフォルト設定で発生し、アプリケーション側の特別な設定不備を必要としない。
対象ソフト
AshAuthentication は、Elixir 言語の Ash フレームワーク向け認証拡張パッケージである。Web アプリケーションに OAuth2 や OIDC による外部認証機能を統合するために利用される。
影響
認証されていない遠隔の攻撃者が、被害者のアカウントを完全に乗っ取ることが可能である。これにより、被害者の権限でデータの閲覧、書き換え、削除などの操作が行われる恐れがある。
対応策
ash_authentication をバージョン 4.14.0 または 5.0.0-rc.10 以降にアップグレードすること。
脆弱性PraisonAI における WebSocket オリジン検証回避の脆弱性
PraisonAI の Browser Server において、WebSocket 接続時のオリジン（Origin）検証を回避される脆弱性が存在する。検証に使用されている正規表現が文字列の末尾を固定（アンカー）していないため、特定のパターンで始まる不正なヘッダーが検証を通過してしまう。これは過去の脆弱性 (CVE-2026-40289) に対するパッチの不備であり、攻撃者は認証なしでサーバーへの接続を確立できる。
対象ソフト
PraisonAI は、AI によるブラウザ操作の自動化エージェントを構築するためのフレームワークである。AI がユーザーの代わりにウェブサイト上での複雑なタスクを自律的に実行するシーンで利用される。
影響
攻撃者が接続に成功すると、接続されている Chrome 拡張機能に対して任意のブラウザ操作コマンドを送信できる。これにより、すべてのタブからのセッションクッキーの窃取、スクリーンショットの撮影、ログイン中のウェブサービス（メールや銀行など）における不正操作が行われる危険性がある。
対応策
PraisonAI をバージョン 4.6.58 以降にアップグレードすること。
VoiceTraに接続先制限不備の脆弱性、アップデートを推奨
音声翻訳アプリ「VoiceTrra」のAndroid/iOSアプリにおいて、接続先の制限が不適切である脆弱性（CVE-2026-72506）が存在します。攻撃者が制御するサーバーへ強制的に接続させられることで、入力データの窃取や偽りの翻訳結果を提示されるリスクがあります。
主要なTTP
不適切な接続先制限による通信先誘導
外部サーバーへの意図しないデータ送信
翻訳結果の偽装・詐認
対象となる組織・利用者
脆弱性の影響を受ける対象バージョン（Android/iOSアプリ「VoiceTra」バージョン 9.1.3、9.2.0）を利用している組織および個人。
推奨される防御アクション
開発者が提供する情報をもとに、対象アプリを速やかに最新版へアップデートする
■ 注目事例
虫退治ドットコム、決済プラグイン脆弱性で情報流出の疑い
📰 過去報告：8/20
環境機器株式会社が運営する通販サイト「虫退治ドットコム」が不正アクセスを受けました。EC-CUBE用プラグインの脆弱性を悪用され決済ページに不正プログラムが設置され、顧客の個人情報やクレジットカード情報が漏洩した可能性があります。
8/20 報告の他社事例と同様、Webサイト関連の脆弱性を悪用した不正アクセスが発生しています。利用中のプラグインやソフトウェアの更新状況を再確認してください。
攻撃手法（確認済み）
EC-CUBE用Amazon Pay決済プラグインの脆弱性が悪用され、管理者権限が不正に取得されたこと、および決済ページに不正プログラムが設置されたこと。
攻撃手法（推測）
決済プラグインの未パッチ脆弱性や管理画面の認証不備をついて管理者権限が奪取され、ショッピングカートや決済処理のソースコードが直接改ざんされたものと考えられます。
自組織チェックポイント
自社で利用しているECサイト構築プラットフォームやプラグインのバージョンは最新か
プラグインやCMSの脆弱性情報（JVNやベンダーからの注意喚起）を定期的に確認しているか
管理画面へのアクセス制限（IP制限やMFAの導入）が適切に実施されているか
決済ページ周辺のソースコードやスクリプトに改ざんがないか定期的に点検しているか
日本大学法学部、フィッシングで教職員アカ乗っ取り
📰 過去報告：8/25
日本大学法学部は、教職員1名のメールアカウントがフィッシング攻撃により不正利用され、不審メール約3,100件が送信されたと公表しました。メールボックス内の個人情報が閲覧された可能性があり、なりすましメールへの注意を呼びかけています。
8/25 報告の他社事例と同様、メールアカウントの不正利用に伴う被害が発生しています。フィッシング対策やアカウント管理の再確認が重要です。
攻撃手法（確認済み）
教職員がフィッシングメールのリンクをクリックしてアカウント情報を入力したことにより、認証情報が窃取され、第三者に不正ログインおよびメール送信に悪用されました。
自組織チェックポイント
クラウドメールサービスへのアクセスに多要素認証（MFA）が強制されているか
標的型メールやフィッシング詐欺に関する従業員・教職員向けの訓練が定期的に実施されているか
メールの大量送信や不審なログインを検知するアラート機能が有効になっているか
メールの連絡先や過去のメールボックス内に過剰な個人情報や机上の機密情報が長期間放置されていないか
庄内町、退職手当組合の委託先サイバー攻撃
庄内町は、職員が加入する山形県市町村職員退職手当組合から連絡を受け、同組合のシステム開発・保守を委託しているYCC情報システムのファイルサーバーがサイバー攻撃を受けたことを公表しました。攻撃を受けたサーバー内には退職者を含む同町職員の個人情報データが保管されていましたが、現時点で情報の流出は確認されていません。
攻撃手法（確認済み）
委託先である株式会社YCC情報システムのファイルサーバーが外部からのサイバー攻撃を受けたことが確認されていますが、具体的な侵入経路や手口（ランサムウェア感染や不正アクセス等）の詳細については公表文に明記されていません。
攻撃手法（推測）
システム開発・保守を担う外部事業者のファイルサーバーが狙われていることから、VPN等のリモート接続機器の脆弱性悪用や、認証情報の不正利用、あるいはランサムウェア等による攻撃の可能性があります。
自組織チェックポイント
外部の委託先やサプライチェーン接続におけるアクセス権限が最小限に制限されているか
委託先システムのセキュリティ対策状況やインシデント時の連絡体制が確認されているか
自社サーバーやファイルサーバーへのアクセスログが適切に監視・保存されているか
多要素認証（MFA）や脆弱性管理が徹底されているか
名鉄協商にランサムウェア攻撃、「カリテコ」顧客情報流出か
名鉄協商は、ランサムウェアによるシステム障害に関連し、カーシェアサービス「カリテコ」の顧客情報が外部に漏えいした可能性を公表しました。入会申込書の記載情報や、一部顧客のクレジットカード情報が含まれるおそれがあります。
攻撃手法（確認済み）
公表文ではランサムウェアによるシステム障害および不正アクセスと記載されていますが、詳細な侵入経路や手口は非公開です。
攻撃手法（推測）
ランサムウェア攻撃における近年の傾向から、VPN機器などの境界防御における脆弱性の悪用、あるいは窃取された認証情報を用いたリモートデスクトップ（RDP）経由での侵入の可能性があります。
自組織チェックポイント
自社で利用しているVPN機器や外部公開サーバーのファームウェアは最新状態か
多要素認証（MFA）が適切に導入されているか
顧客情報などの機密データが保存されているサーバーへのアクセス権限が最小限に制限されているか
外部からの不審な接続や異常なトラフィックがないかログの監視を行っているか
ブロードリーフ、連携SMSサービスの不正アクセスで影響
株式会社ブロードリーフは、同社サービスと連携する株式会社メディア4uのSMS配信サービスに対する不正アクセスの影響を発表しました。「.cシリーズ」および「.NSシリーズ」に関連し、アカウント情報や担当者名などの情報が閲覧または取得された可能性があるとしています。
攻撃手法（確認済み）
公表文では外部のSMS配信サービスに対する第三者からの不正アクセスと記載されており、具体的な侵入経路等の詳細な手口は非公開です。
攻撃手法（推測）
クラウドサービスや管理コンソールへの不正アクセス事案であることから、管理者アカウントの認証情報漏えいや、脆弱性を突いた不正侵入の可能性があります。
自組織チェックポイント
自社で外部のクラウドサービスやAPI連携サービスを利用しているか
連携サービスにおけるアカウント管理や権限設定が適切か
パスワードの使い回しをしていないか、多要素認証（MFA）が有効化されているか
サプライチェーン経由のリスクに対する社内確認体制はあるか
■ レポート・解説
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-08-26 に配信されました。
