セキュリティ脅威情報

Sangoma SwitchvoxにSQLインジェクションの脆弱性が存在する。認証されていない遠隔の攻撃者が、細工された単一のリクエストを送信することにより、バックエンドのPostgreSQLデータベースに対して任意のSQL文を実行することが可能となる。これにはデータベース操作やリモートコード実行が含まれる。CISAは2026年9月5日までの対応を推奨している。

Kestra OSSにOSコマンドインジェクションの脆弱性が存在し、認証されていない遠隔の攻撃者が認証情報なしで任意のワークフローを作成および実行できる恐れがある。CISAはこの脆弱性をKnown Exploited Vulnerabilitiesカタログに追加しており、迅速な対応を求めている。CISAは2026年9月5日までの対応を推奨している。

BerriAI LiteLLMのMCP Streamable HTTPエンドポイントにおいて、不適切な認証に関する脆弱性が存在する。この脆弱性により、認証されていない攻撃者が任意のBearerトークンを使用して、認証済みのMCPセッションを確立することが可能となる。CISAはこの脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加しており、組織に対するリスクが極めて高い。CISAは2026年09月16日までの対応を推奨している。

Python ライブラリ「unstructured」の URL パーティショニング機能において、深刻な SSRF（サーバサイドリクエストフォージェリ）の脆弱性が発見された。`partition()` 等の関数に渡される URL のホスト検証が不十分なため、攻撃者は任意の内部 IP アドレスやクラウドのメタデータエンドポイントに対してリクエストを送信させることができる。取得されたレスポンスはテキストとしてそのまま返されるため、内部ネットワーク上の機密データの完全な読み取りが可能である。本ライブラリは主要な AI エージェントフレームワークの基盤として広く普及しており、波及効果が非常に大きい。

Hugging Face製Transformersライブラリにおいて、ユーザーによる同意確認が行われる前にリモートコードがディスクへ不正にキャッシュされる脆弱性が存在することが報告されています。

東京都管工事工業協同組合のウェブサイトが不正アクセスを受け、運用しているCMSの脆弱性を突かれてサーバ内に不正プログラムが設置されました。これによりJavaScriptファイルが書き換えられ、スマートフォンからの閲覧時に不審な広告やウイルス感染を装う画面へ自動で遷移する状態が発生しました。現時点で情報流出は確認されていません。

株式会社RBW JAPANが運営する公式ファンクラブ「MOOMOO JAPAN」は、システム管理委託会社のサーバーに対して第三者からの不正アクセスが確認され、会員のメールアドレスおよびパスワードが外部へ漏洩した可能性があると公表しました。クレジットカード情報は含まれていません。

丸八製茶場は、利用するECサイト構築サービス「ショップサーブ」（Eストアー運営）への不正アクセスにより、オンラインショップを利用した顧客の個人情報が漏洩したことを公表しました。詳細や対象範囲はサービス提供元であるEストアーより案内されるとしています。

名鉄協商株式会社は、7月に公表したサーバーへの不正アクセスに関する調査の過程で、顧客情報システムに登録されていた顧客情報が外部に漏えいしたおそれがあることを判明させたと発表しました。現時点で流出や不正利用の事実は確認されていませんが、対象となる可能性のある顧客へ個別に案内を行っています。

セントラルコンサルタントは、コーポレートサイトが不正アクセスを受けたと発表しました。システム上の脆弱性を悪用され、データベース内の問い合わせ情報や採用応募情報が閲覧・取得可能な状態になっていたほか、メール送信用認証情報が取得された可能性が高いとしています。