セキュリティ脅威情報

N-able N-centralに静的コードインジェクションの脆弱性が含まれており、認証なしでのリモートコード実行（RCE）を引き起こす可能性がある。本脆弱性はCISAのKEV（Known Exploited Vulnerabilities）カタログに追加されており、悪用の事実が確認されている。CISAは2026年09月11日までの対応を推奨している。

Python の自然言語処理ライブラリ NLTK において、pickle 形式のデータをロードする際の制限を回避し、任意コード実行（RCE）が可能になる脆弱性が報告された。NLTK には安全な読み込みのためにモジュールの許可リスト（allowlist）機能が存在するが、特定の関数だけでなくモジュールの名前空間全体を信頼する設定になっていたため、攻撃者は細工した pickle ファイルを通じて許可範囲内の危険な関数を呼び出せる状態であった。この問題により、本来制限されているはずの OS コマンド実行などが可能となっており、開発者は以前の保護メカニズムが不十分であったことを認めている。報告には PoC（概念実証）が含まれており、攻撃の実現性が示されている。

Gitea の `diffpatch` エンドポイントにおいて、Git フックを不正にインストールし実行できる脆弱性が存在する。攻撃者がリポジトリへの書き込み権限を持つ場合、Gitea を実行している OS ユーザーの権限で任意のシェルコマンドを実行できる。デフォルトで新規ユーザー登録が許可されている環境では、認証のない第三者がアカウントを作成してリポジトリを用意することで、この権限を容易に取得できてしまう。この問題は、パッチ適用時の競合を利用して Git ディレクトリ内に実行可能なフックファイルを生成させることで発生する。

Adobe ColdFusionにおいて、EvalインジェクションやSQLインジェクション、クロスサイトスクリプティング（XSS）など合計9件の脆弱性が発見されました。特にCVE-2026-48273はCVSSベーススコア9.9と非常に高く評価されています。

インパクトフィールドは、吸収合併により消滅した旧cabic株式会社の旧ドメイン「cabic.jp」が悪用され、社名やサービス内容を模した偽のウェブサイトが公開されていると発表しました。当該サイトには問い合わせフォームが設置されており、同社は警察に相談の上で対応を進めるとともに、関係者へ注意を呼びかけています。

エヌ・イー ケムキャットは、社内システムへの不正アクセスにより個人情報が流出した可能性があると発表しました。従業員のアカウントが不正利用されたほか、端末上でマルウェアが実行されたことが原因であると報じられています。

日本大学理工学部は、教職員1名のメールアカウントがフィッシング攻撃により不正利用され、外部へ不審メールが送信されたと公表しました。メールボックス内の個人情報が閲覧された可能性があり、二次被害への注意を呼びかけています。

ジェックス株式会社は、2月に発生したランサムウェア攻撃によるサーバー被害について調査結果を発表しました。外部専門機関による調査の結果、顧客の個人情報が一時的に侵入者から閲覧可能な状態にあったことが判明したものの、外部へのデータ流出は確認されていないとしています。

東邦通信システムズは、利用している外部ホスティングサーバ環境において不正アクセスを受けたことを発表しました。7月下旬から8月上旬にかけてサーバ管理アカウントへ不審な接続が行われ、一部メールアカウントの設定情報が書き換えられたとしています。