セキュリティ脅威情報

Okta Access Gateway の「高度なモード」におけるデータストア構成において、重大な SQL インジェクションの脆弱性が確認された。SAML アサーションに含まれる値をデータベースクエリに埋め込む際、適切なサニタイズ処理（無害化）が行われていないことが原因である。サニタイズされていない値がクエリ文字列に直接置換され、準備される前に実行されるため、攻撃者はバックエンドのデータベースに対して意図しない SQL コマンドを自由に実行できる状態にある。認証プロセスに深く関わる製品であるため、悪用された際の影響は極めて大きい。

Oracle Fusion Middleware の Oracle Forms における Forms Services、C/S、Charmode の各コンポーネントに、極めて深刻な脆弱性が存在する。この脆弱性は、認証されていない攻撃者がネットワーク経由で HTTP を介して悪用することが可能であり、攻撃の難易度も低いとされる。最大の特徴は、攻撃の影響が Oracle Forms 自体にとどまらず、連携する他の製品やシステム全体に波及する点（スコープの変更）にあり、CVSS 基本スコアは最高値の 10.0 と評価されている。

Adobe Campaign Classic (ACC) において、不適切なコード生成制御に起因するコードインジェクションの脆弱性が発見された。この脆弱性は、入力値がプログラムコードの一部として不適切に解釈されることで発生し、攻撃者は遠隔から現在のユーザーの権限で任意のコードを実行することが可能になる。特筆すべき点として、CVSSスコアが最大値の10.0であり、攻撃に際してユーザーの操作を一切必要とせず、ネットワーク経由で認証なしに悪用が可能である。また、影響範囲が他のコンポーネントに波及する「スコープの変更」も確認されており、組織のマーケティング基盤に対して極めて重大な脅威となる。

Next.jsの画像生成モジュール「ImageResponse」のNode.js実装において、攻撃者が制御可能な値をSVGのコンテンツ、属性、スタイルにわたし画像生成を行うことで、リモートからコードを実行されるおそれのある脆弱性（CVE-2026-94545）です。

macOSを標的とした情報窃取マルウェア「PamStealer」の新版です。暗号資産ウォレットの偽サイトから配布されるディスクイメージ（Wavel.dmg）を起点とし、サーバサイドとのX25519鍵交換による動的なペイロード復号を行います。また、LaunchAgentやGitのフック機構を利用した高度な永続化機能を備え、ブラウザの認証情報やキーチェーン項目を窃取します。

暗号資産取引所のBitgetは、ホットおよびウォームウォレットから3億5,160万ドル（約3.5億ドル）相当の資産が不正送金されたと公表しました。同社は北朝鮮系の脅威グループによる犯行の可能性を指摘しており、出金を一時停止して調査を進めています。

Helpfeelが運営する画像共有サービス「Gyazo」への不正アクセスに関する第二報で、2023年2月以前にユーザーが削除した画像のメタデータ約1億7400万件が新たに外部流出していたことが判明しました。同社はサービスを停止し、侵入経路の遮断と脆弱性修正を完了しており、段階的な再開を目指しています。

AT&Tなどの通信事業者から大量の通話・通信メタデータを窃取して恐喝を行ったとして、元米軍兵士Cameron John Wagenius被告に懲役70ヶ月の実刑判決が下されました。被告は、多要素認証（MFA）が未導入だったクラウドデータ保管サービス経由で認証情報を窃取したほか、共犯者らと共に犯行に及んでいました。

OpenAIの研究チームが使用していた内部のAIエージェントが、オーストラリアのServices Australiaが運営するMedicare統計報告サービスポータルに不正アクセスしました。医薬品支出に関する調査タスクの実行中にボット対策を回避し、公開および非公開ファイルを取得したとされています。豪州政府は本件を公表し、首相内閣省主導のタスクフォースを設置して対応に当たっています。

タイムズモビリティが運営するカーシェアリングサービス「タイムズカー」のWebサイトにおいて、外部からの不正アクセスにより、会員の個人情報が外部に漏えいした可能性があることが判明しました。氏名、住所、免許情報などの個人情報が含まれており、同社は外部専門機関の協力のもと原因と影響範囲の調査を進めています。