セキュリティ脅威情報

MikroTik RouterOSに、コマンド内の引数区切り文字の不適切な無効化に起因する脆弱性が存在する。攻撃者は信頼されたRouterOSポリシーマスクを変更することが可能となり、特権昇格を引き起こすおそれがある。CISAは本脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加しており、速やかな対応を求めている。CISAは2026-09-13までの対応を推奨

TraefikのHTTP/3実装において、バックエンド接続の管理不備によりNTLMおよびNegotiate（Kerberos）認証が適切に分離されない脆弱性が発見された。HTTP/1.1やHTTP/2の処理パスとは異なり、HTTP/3では接続スコープのトランスポート保持機能が初期化されないため、認証プロセスにおいて共有のトランスポートを誤って使用する。これにより、あるクライアントがバックエンドとの間で確立した認証済み接続を、別の無関係なクライアントが再利用できてしまう。この問題は、HTTP/3が有効で、バックエンドがNTLM/Negotiateを使用し、かつ接続のキープアライブが有効な環境で発生する。概念実証（PoC）コードも公開されており、未認証の攻撃者が犠牲者の権限でデータを読み取り、操作を行うリスクがある。

Adobe AcrobatおよびReaderにおいて、アプリケーションの異常終了やPC制御の乗っ取りを引き起こす可能性のある脆弱性が確認されました。アドビよりセキュリティアップデート（APSB26-141）が公開されています。

立教大学は、学生4名および卒業生2名の計6名のGoogleアカウントが不正アクセスを受け、合計17,668件の迷惑メールが送信されたと発表しました。海外からのアクセスを検知したもので、受信トレイ内の情報閲覧や個人情報流出の可能性があるとしています。

日本ブラインドサッカー協会の公式ウェブサイトが第三者による不正アクセスの被害を受けました。管理画面への不正ログインを通じて記事が書き換えられ、閲覧者に偽のセキュリティ認証画面を表示させる不正な記述が追加されました。

長野県は、委託運営する長野県多文化共生相談センターの相談員が使用するWhatsAppアカウントが第三者に不正利用されたと発表しました。セキュリティ更新を求める偽メッセージに従って端末を操作したことが原因で、登録者情報の閲覧や、相談員になりすまして金銭を要求する偽メッセージが送信され、被害者が現金を振り込む事案が発生しています。

カバー株式会社は、「hololive OFFICIAL CARD GAME」公式サイトが不正アクセスの影響を受けたおそれがあると発表しました。利用しているCMSの脆弱性公表を受けた調査により発覚したもので、問い合わせフォームに入力された個人情報が外部に取得された可能性があります。

美容医療情報プラットフォーム「Unni（カンナムオンニ）」を運営するHealing Paperは、ウェブサイトの相談履歴を照会するAPI（連携機能）に対する不正アクセスが発生し、一部の個人情報が漏洩したと公表しました。なお、口コミ写真やクレジットカード情報等の漏洩はないことを確認しています。