Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-09-19

2026-09-19（土）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
Google、Chromeにクリティカル脆弱性含む16件の修正
Googleは、ブラウザ「Chrome」のセキュリティアップデートをリリースしました。グラフィックス関連やWebGLにおけるクリティカルな脆弱性2件を含む計16件の脆弱性が解消されています。
なぜご自身の組織で確認すべきか広く利用されているブラウザにおいて複数のクリティカル脆弱性が修正されており、全社的な速やかなアップデート適用が必要なため。
出典：https://www.security-next.com/190534
WeaselBiscuit スティーラー、13個のnpmパッケージ経由で拡散
セキュリティ研究者が、新種のJavaScript情報窃取マルウェア「WeaselBiscuit」を配信する13個の悪意あるnpmパッケージを発見しました。このマルウェアは、北朝鮮関連とされる過去のマルウェア「BeaverTail」や「OtterCookie」の機能を一部引き継ぎつつ、Chrome拡張機能のストレージ情報を窃取することに特化しています。
なぜご自身の組織で確認すべきか開発環境を標的とした悪意あるnpmパッケージによる情報窃取攻撃が確認されており、サプライチェーン汚染への即時点検・対処が必要なため。
出典：https://thehackernews.com/2026/09/weaselbiscuit-stealer-spreads-via-13.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
KEVLinux Kernelのebtablesにおける範囲外書き込み脆弱性
Linux Kernelのebtables SNATターゲットに範囲外書き込みの脆弱性が存在する。ARP送信元ハードウェアアドレスの書き換え処理において、スプライスインポートされたファイルページに裏付けられた非線形ソケットバッファフラグメントへ直接書き込みを行うことが可能である。これにより、システムの中核に深刻な影響を及ぼす恐れがある。CISAは2026年9月21日までの対応を推奨している。
対象ソフト
Linux Kernelは、オペレーティングシステムの根幹を成すコアコンポーネントであり、サーバー、クラウド基盤、組み込み機器など幅広いシステムや製品の基盤として利用されている。
影響
攻撃者によって任意のメモリ領域への書き込みやシステムの乗っ取り、任意のコード実行などが行われる可能性がある。
対応策
ベンダーの指示に従って適切な緩和策を適用すること。また、CISAのBOD 26-04および関連するフォレンジックトリアージ要件に準拠し、必要に応じてサポートされているバージョンへの移行や利用の停止を行うこと。
出典：https://nvd.nist.gov/vuln/detail/CVE-2026-53266
脆弱性RabbitMQ amqp091-go におけるプロトコル同期ずれとフレーム注入の脆弱性
AMQPプロトコルパーサーの readLongstr 関数における境界チェックの不備により、ストリーム同期ずれの脆弱性が存在する。テーブルフィールド内の長い文字列を解析する際、符号付き32ビット整数の最大値（約2.1 GiB）を超える長さが指定されると、不適切なエラーハンドリングが発生する。パーサーはネットワークバッファからデータを読み取らずに解析成功（空文字列）を返すため、バッファ内のポインタと実際のプロトコル構造がずれる。これにより、攻撃者が細工したペイロードの一部が正規のAMQPフレームとして誤認される危険がある。
対象ソフト
RabbitMQは、アプリケーション間でメッセージをやり取りするための広く利用されているメッセージブローカーであり、amqp091-goはそのGo言語向けクライアントライブラリである。
影響
パーサーの同期が崩れることで、攻撃者はメッセージペイロード内に偽造されたAMQPフレーム（接続の切断、チャネルの開放、メッセージの公開など）を埋め込み、クライアントやサーバーに意図しない操作を実行させることができる。その結果、リモートコード実行（RCE）、不正なデータの注入、または通信セッションの完全なハイジャックを招く恐れがある。
対応策
1.13.0 以降にアップグレードすること。
出典：https://github.com/advisories/GHSA-c5pq-fr2g-9jpf
脆弱性Chamilo LMS における認証不要のファイルアップロードによるリモートコード実行の脆弱性
Chamilo LMS の CStudio アップロードフローにおいて、深刻な脆弱性が発見された。この脆弱性は、不適切なパス名の制限（CWE-22）、コードインジェクション（CWE-94）、および危険な種類のファイルの無制限なアップロード（CWE-434）などの要因に起因する。攻撃者は、事前の認証を必要とせずに、遠隔地からサーバー上で任意のプログラムを実行することが可能である。CVSS スコアは 9.8 と極めて高く、攻撃の難易度も低いため、組織のサーバーが完全に乗っ取られる危険性がある。
対象ソフト
Chamilo LMS は、オープンソースの学習管理システム（LMS）である。主に教育機関や企業において、オンラインコースの作成、配信、受講者の進捗管理などを目的として広く利用されている。
影響
認証されていない遠隔の攻撃者が、サーバー上で任意のコードを実行することが可能である。これにより、システム全体の制御権奪取、データの改ざん、または機密情報の漏洩などの重大な被害が生じる恐れがある。
対応策
バージョン 2.0.1 以降にアップグレードすること。
出典：https://github.com/advisories/GHSA-g4c3-4g96-6g4m
脆弱性CakePHP における SQL インジェクションの脆弱性
CakePHP のデータベース操作を担う FunctionsBuilder クラスにおいて、SQL インジェクションの脆弱性が報告された。具体的には、cast、extract、datePart、dateAdd の各メソッドで引数（$dataType、$part、$unit）にユーザーが制御可能なデータが渡された場合に、意図しない SQL コマンドが実行される可能性がある。Web アプリケーションの根幹であるデータベースが攻撃対象となるため、深刻な影響が懸念される。
対象ソフト
CakePHP は PHP で記述されたオープンソースの Web アプリケーションフレームワークであり、迅速な開発を支援するために世界中の多くの Web サービスや企業システムで利用されている。
影響
攻撃者が細工したリクエストを送信することで、データベース内の機密情報の閲覧、データの改ざん、あるいはデータの削除が行われる可能性がある。
対応策
修正済みバージョンである 5.3.7、5.2.14、5.1.9、4.6.5、4.5.12 以降にアップグレードすること。また、暫定的な回避策として、該当する関数やパラメータにユーザー制御のデータを渡さないように実装を修正することが挙げられる。
出典：https://github.com/advisories/GHSA-vjqc-q4mp-2rvf
ISC BINDにおける複数の脆弱性（2026年9月）
DNSサーバーソフト「ISC BIND」において、未認証のリモート攻撃者によるサービス運用妨害（DoS）、不正なゾーンデータの追加、およびDNSキャッシュポイズニング等を引き起こす複数の脆弱性が複数発見されました。
対象となる組織・利用者
ISC BINDを運用しているすべての組織、特にキャッシュDNSサーバーや権威DNSサーバーを公開しているシステム管理者。
推奨される防御アクション
ISCが提供する情報に基づき、対象製品のバージョンアップを早急に実施する
DNS64やDNSSECなどの特定機能を有効にしている場合は、各脆弱性の影響を確認して適切な対策を適用する
出典：https://jvn.jp/vu/JVNVU97703430/
AIコーディングエージェントのプラグイン脆弱性Plugin4Shell
4つの主要なAIコーディングエージェント（Claude Code、OpenAI Codex、GitHub Copilot、Gemini CLI）において、プラグインのバージョン固定機構がバイパスされ、悪意あるコードにすり替えられるサプライチェーン上の脆弱性です。Gitがコミットハッシュ形式の名称をブランチ名として解釈してしまう挙動を悪用し、エージェントが不正なコードをインストールして実行する危険性があります。
主要なTTP
コミットハッシュ形式に偽装したブランチ名を利用したバージョン固定のバイパス
Gitの挙動を利用したプラグインコードの不正なすり替え
対象となる組織・利用者
組織内でAnthropic Claude Code、OpenAI Codex、GitHub Copilot、Gemini CLIなどのAIコーディングエージェントを導入・運用している開発部門および情報システム部門。
推奨される防御アクション
Claude Codeをバージョン2.1.179以降にアップデートする
OpenAI Codexをバージョン0.146.0以降にアップデートする
信頼できる公式マーケットプレイス（GitHubベースなど）のプラグインのみを利用し、外部ホストのカスタムプラグインの導入を制限する
各AIコーディングエージェントのプラグイン自動アップデート機能を適切に管理・監視する
出典：https://thehackernews.com/2026/09/plugin4shell-lets-repository-owners.html
Transparent Tribe、Rust製新バックドアなどで攻撃
パキスタン関連の攻撃グループ「Transparent Tribe（APT36）」が、政府・防衛組織を標的に、Rust製の新規バックドア「RUSTYSHADE」やUSB経由の伝播ツール「RUSTYMOVE」、ファイル窃取スクリプト（PSNATCH、BASHNATCH）を用いて攻撃を行っているという脅威インテリジェンスです。C2通信にGitHubのプライベートリポジトリを悪用している点が特徴です。
主要なTTP
GitHubのプライベートリポジトリおよびGitHub REST APIを悪用した暗号化C2通信
タイポスクワッティングドメイン（theprints[.]org、indiatodays[.]org）を用いた悪意あるスクリプトやペイロードのホスティング
RUSTYMOVEによるUSBメモリ等の外部リムーバブルメディアを介したマルウェアの自動伝播
PSNATCHおよびBASHNATCHによる指定拡張子のファイル探索とローカルからのデータ窃取
平日特定の時間帯（UTC 4時〜11時）に限定したC2コマンドの発行
対象となる組織・利用者
政府機関、防衛関連組織、および地政学的なリスクにさらされる重要インフラや関連サプライチェーン企業。
推奨される防御アクション
社内ネットワークからの不正なGitHubリポジトリ（プライベートリポジトリおよびGist）への不審なAPIアクセスの監視
USBメモリなどのリムーバブルメディアの自動実行機能の無効化および接続制限
タイポスクワッティングドメインへのアクセス試行の検視とブロック
エンドポイントでの不審なRust製バイナリやPowerShell・Bashスクリプトの実行検知
出典：https://thehackernews.com/2026/09/transparent-tribe-deploy-new-rust.html
WordPressに強制テーマインストールとRCEの脆弱性
WordPressコアにおける「Click2Shell」と呼ばれる脆弱性により、ログイン中の管理者が細工されたリンクを踏むことで、未インストールのテーマがWordPress.orgディレクトリから勝手にインストールされるおそれがあります。さらに、インストールされたテーマ側の脆弱性と組み合わせることで、サーバー上でリモートから任意のコードが実行される危険性があります。
主要なTTP
細工されたウェブリンクを利用した強制的なテーマインストール
管理者のセッション権限を利用した自動インストールスクリプトの実行
テーマのプレビュー機能や背景ハンドラーを悪用したコード実行
対象となる組織・利用者
WordPressサイトを運用しているすべての組織、特に管理者アカウントを利用するウェブ担当者や情シス部門。
推奨される防御アクション
WordPressコアを最新のバージョン（7.1.1以降、またはサポート対象の各修正版）にただちにアップデートする
管理画面へのアクセス制限や多要素認証（MFA）を導入し、セッションの不正利用を防ぐ
信頼性の低い古いテーマや不要なテーマをサイトから削除する
出典：https://thehackernews.com/2026/09/new-wordpress-click2shell-flaw-forces.html
■ 注目事例
ニチレイ、7月のサイバー攻撃で計5万件超の個人情報漏えい
ニチレイは、7月に発生したシステム障害につながるサイバー攻撃を巡り、攻撃を受けたサーバーの一部に保管されていた個人情報の漏えいを確認したと発表しました。対象は配送先顧客、取引先役職員、グループ従業員やその家族、求職者など計5万3866件に及びます。同社は個人情報保護委員会へ報告を行い、該当者へ順次個別に連絡を進めています。
攻撃手法（確認済み）
公表文ではサイバー攻撃を受けたサーバーの一部に保管していた個人情報の漏えいと記載されており、具体的な侵入経路や攻撃手法は非公開です。
攻撃手法（推測）
近年のサプライチェーン攻撃や標的型ランサムウェア事案の傾向から、公開サーバーやVPN機器等の脆弱性を突いた侵入、あるいは従業員の認証情報窃取を起点とした不正アクセスの可能性があります。
自組織チェックポイント
外部からアクセス可能な公開サーバーやVPN機器の脆弱性対策とパッチ適用状況を確認しているか
重要な個人情報や人事情報が保管されているサーバーへのアクセス権限が最小限に制限されているか
サーバーの不審な外部通信や大量データ持ち出しを検知・遮断できる仕組みがあるか
従業員の認証情報に対する多要素認証（MFA）が徹底されているか
出典：https://www.itmedia.co.jp/news/article/2609/18/2000001648/
🔄 [続報] 日本大学理工学部、教職員のフィッシング被害で不審メール
📰 過去報告：9/15
日本大学は、理工学部の教職員がフィッシング攻撃に遭い、メールアカウント情報が窃取されたと発表しました。アカウントが不正利用されて学内外の連絡先50件に不審メールが送信されたほか、メールボックス内の情報閲覧により個人情報が流出した可能性があります。
9/15報告に続く日本大学での事案です。今回は理工学部の教職員がフィッシング攻撃に遭い、アカウント不正利用による不審メール送信や個人情報流出の可能性が公表されました。
攻撃手法（確認済み）
教職員がフィッシング攻撃に遭い、メールアカウント情報が窃取されたこと、および第三者によって同アカウントが不正利用され不審なメールが送信されたこと。
攻撃手法（推測）
巧妙な偽装メールや偽のログイン画面を用いて認証情報を詐取する一般的なフィッシング手法に加え、多要素認証（MFA）が未導入であったか、あるいはセッションハイジャック等の手口によって継続的な不正アクセスが行われた可能性があります。
自組織チェックポイント
全従業員のメールアカウントに多要素認証（MFA）を強制しているか
不審なログイン試行や異常な場所・端末からのアクセスを検知する仕組みがあるか
外部への一斉メール送信や急激な送信量増加を検知・ブロックするルールがあるか
職員に対して最新のフィッシング手口に関する教育や訓練を実施しているか
出典：https://www.security-next.com/190198
🔄 [続報] シンカ、サービス紹介サイトへの不正アクセス調査結果
📰 過去報告：9/18
株式会社シンカは、サービス紹介サイトへの不正アクセスに関する外部専門調査機関の調査結果を公表しました。CMSプラグインの脆弱性を悪用されて不正プログラムが設置されましたが、外部への個人情報の持ち出しや漏えいは確認されなかったとしています。
9/18 報告分の続報です。CMSプラグインの脆弱性悪用が判明した一方、個人情報の漏えいは確認されなかったとしています。
攻撃手法（確認済み）
サービス紹介サイトで使用していたCMSのプラグインの脆弱性を悪用され、第三者がサーバーへ侵入し不正プログラムが設置された。
自組織チェックポイント
Webサイトで使用しているCMSやプラグインに既知の脆弱性が存在しないか定期的に確認しているか
Webサーバーや管理画面へのアクセス認証に多要素認証が導入されているか
Webサイトの改ざんを検知する仕組みやセキュリティソフトが導入されているか
Webサイトのサーバー環境と主要な業務システム・クラウド環境が適切にネットワーク分離されているか
出典：https://www.nikkei.com/markets/ir/irftp/data/tdnr/tdnetg3/20260917/g4vawp/140120260917537753.pdf
PFU、ショップサーブ不正アクセスで個人情報漏えい
📰 過去報告：9/18
株式会社PFUは、過去に利用していたECサイト管理システム「ショップサーブ」（株式会社Eストアー運営）への不正アクセスにより、通販サイト「PFUダイレクト本店」の顧客情報が最大169,355件漏えいした可能性があると公表しました。氏名、住所、電話番号などが対象ですが、クレジットカード情報やパスワードの漏えいは確認されていません。
9/18 報告の他社事例と同様、EC関連システムへの不正アクセスによる顧客情報の漏洩が発生しています。利用システムのアカウント管理やセキュリティ対策の再確認が推奨されます。
攻撃手法（確認済み）
外部のECサイト管理システム「ショップサーブ」のサーバーに対する外部からの不正アクセスによるものとされていますが、具体的な侵入手法の詳細は公表文に記載されていません。
攻撃手法（推測）
システム提供元のサーバーに対する不正アクセスであることから、公開サーバーの脆弱性悪用や管理認証情報の不正取得などが用いられた可能性があります。
自組織チェックポイント
自社で利用している外部SaaSやECプラットフォームのセキュリティアップデート状況を把握しているか
サプライチェーン経由のインシデント発生時に備え、委託先との連絡体制や情報共有のフローが確立されているか
委託先システムの変更・移行履歴を適切に管理しているか
出典：https://www.pfu.ricoh.com/news/2026/news260918-2.html
マネジメントサービスセンター、不正アクセスでサイト改ざん
📰 過去報告：9/18
マネジメントサービスセンターは、ウェブサイトが第三者による不正アクセスを受けて改ざんされたと発表しました。管理者権限が取得されたほか、フォームから送信された個人情報データがシステム内部に保存されており、最大297人に影響があるおそれとしています。
9/18 報告の他社事例と同様、Webサイトへの不正アクセスに伴うフォーム個人情報の漏洩懸念が発生しています。管理者アカウントの管理徹底が求められます。
攻撃手法（確認済み）
管理者権限が取得され、ウェブサイトが改ざんされたこと、およびフォームから送信された個人情報データがシステム内部に保存されアクセス可能な状態だったことが確認されていますが、具体的な侵入経路や脆弱性の詳細は公表されていません。
攻撃手法（推測）
CMS（コンテンツ管理システム）やプラグイン等の脆弱性の突く不正アクセス、あるいは管理者アカウントの認証情報漏洩や推測されやすいパスワードの悪用により管理者権限が奪取された可能性があります。
自組織チェックポイント
自社ウェブサイトやCMS、プラグインに未適用の脆弱性がないか
管理画面へのアクセス制限や多要素認証（MFA）が適切に導入されているか
管理者アカウントのパスワードが強固に管理されているか
問い合わせフォーム等から取得した個人情報がシステム内部に長期間不要に保存されていないか
出典：https://www.security-next.com/189792
■ レポート・解説
廃止されたCDNドメインの再取得とサードパーティ製スクリプトのリスク
かつてコンテンツ配信ネットワーク（CDN）が使用していたドメインが期限切れ後に第三者に再取得され、ハードコードされた参照を持つ多数のWebサイトに影響を及ぼしている問題について報じられています。サードパーティ製スクリプトの管理不備やサプライチェーンリスク、およびContent Security Policy（CSP）による対策の重要性が解説されています。
出典：https://thehackernews.com/2026/09/an-abandoned-cdn-domain-was-re.html
Microsoft、CVSS 10.0のAzure AI Foundry脆弱性などを修正
Microsoft社は、Azure AI FoundryにおけるCVSSスコア10.0の重大な権限昇格の脆弱性（CVE-2026-85889）など複数の脆弱性に対する修正をリリースしました。クラウド環境で動作するサービスのため顧客側の対応は不要とされています。
出典：https://thehackernews.com/2026/09/microsoft-patches-cvss-100-azure-ai.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-09-19 に配信されました。