セキュリティ脅威情報

Acronis BackupのcPanel & WHM用プラグインおよびPlesk用拡張機能において、不適切なデフォルトパーミッションに起因する脆弱性が存在する。CISAはこの脆弱性が実際に悪用されていることを確認し、警告を発している。攻撃者によって権限昇格に悪用されるおそれがあり、組織のインフラストラクチャに対する不正アクセスやさらなる侵害につながる危険性が高い。CISAは2026年09月19日までの対応を推奨している。

npm パッケージ @zereight/mcp-gitlab において、SSE（Server-Sent Events）転送モード使用時の認証欠如と、upload_markdown ツールにおけるパス・トラバーサルの脆弱性が発見された。これらが組み合わさることで、認証を受けていないネットワーク上の攻撃者がサーバー内の任意のファイルを読み取ることが可能となる。特に Docker デフォルト設定では、認証なしでエンドポイントが外部公開され、プロセスが root 権限で動作しているため、攻撃者は環境変数ファイルなどから GitLab のパーソナルアクセストークン（PAT）を容易に窃取できる。この結果、GitLab アカウントが完全に外部から制御される恐れがある。

LMDeploy の RPC 通信を担う AsyncRPCServer において、受信したメッセージを処理する際のデシリアライゼーション処理に問題がある。検証なしに `pickle.loads()` を実行するため、攻撃者が細工したデータを送信することでリモートコード実行（RCE）が可能となる。特に 0.10.2 未満のバージョンでは、RPC サーバがすべてのネットワークインターフェース（tcp://*）で接続を待ち受けており、外部から到達可能なポートをスキャンされることで容易に攻撃を受けるリスクがあった。

宿泊施設向けの管理システムやPBX（構内交換機）関連のアプリケーションを対象とした、特定のIPアドレスからのスキャン活動が観測されています。古いオープンソースの管理システムや管理用パス（/admin/、/hms/、/hotel/等）を探索するリクエストが確認されています。

株式会社Helpfeelが提供する画像共有サービス「Gyazo」が不正アクセスを受けました。画像アップロードサーバーの脆弱性を悪用され、システム上で任意のコマンドが実行されたもので、ユーザー情報約2,362万件と画像に関するメタデータ約4.9億件などが外部に流出したことが判明しています。

株式会社cinraは、運営する求人サービス「CINRA JOB」のクラウド環境において、認証情報が第三者に取得され不正アクセスを受けたと発表しました。会員情報を保管するデータベース等へアクセス可能な状態であったため、個人情報が漏えいしたおそれがあるとして調査を進めています。

山梨大学は、契約しているレンタルサーバ上でWebサイト改ざんなどのセキュリティインシデントが発生したと発表しました。CMS利用サイトでの不正ユーザ作成やWebShellの設置などが確認され、対象サーバ内の54サイトが閲覧不可となっています。

株式会社アップが運営するプロモーションサイト「洛西進学教室」および「進学館」が外部ソフトウェア（プラグイン）の脆弱性を突いた不正アクセスを受けました。サーバ内に不正プログラムが設置され、講師応募者の個人情報や管理者情報が閲覧された可能性があります。

さくらインターネットは、レンタルサーバサービスおよび販売管理システムへの不正アクセスに関する第三報を発表しました。「さくらのレンタルサーバ」の全サーバ再構築などの再発防止策を実施する方針です。