セキュリティ脅威情報

Oracle WebLogic Server の Web コンテナコンポーネントに、CVSS 基本スコア 10.0 となる極めて深刻な脆弱性が存在する。認証を受けていない攻撃者が HTTP 経由でネットワークから製品を容易に悪用できる状態にある。この脆弱性は単一製品の侵害にとどまらず、攻撃の影響が他の製品やシステムへも波及する可能性がある（スコープの変更）。攻撃が成功した場合、WebLogic Server の機密性、完全性、可用性が完全に損なわれ、システム全体の制御権を攻撃者に奪われる恐れがある。組織にとって最優先で警戒すべき事案である。

シスコシステムズの社内セキュリティレビューにより、Cisco Identity Services Engine (ISE) および ISE-PIC において、特殊な要素の不適切な無害化（インジェクション）に関する重大な脆弱性が発見された。この脆弱性は CVE-2026-20130 として追跡されており、CWE-74 に分類される。シスコは、継続的なセキュリティ改善活動の一環として本問題を特定し、これに対処するためのソフトウェア強化リリースを公開した。ネットワーク経由で認証なしに悪用可能な可能性があり、CVSS 基本値は最高値の 10.0 と評価されているため、極めて警戒が必要である。

GitLab CE/EE の複数のバージョンにおいて、整数オーバーフローの脆弱性が確認された。この脆弱性は、認証済みのユーザーが CI/CD の構成設定（CI/CD configuration）において、特定の細工が施された正規表現をコンパイルする際に発生する。CVSS スコアは 9.9 と極めて高く設定されており、攻撃者がこの脆弱性を悪用することで、GitLab サーバー上で任意のコードを実行できる可能性がある。広範な開発環境で利用されているプラットフォームであるため、組織のコード資産やビルドプロセス全体が危険にさらされる重大なリスクがある。

HPE Networking EdgeConnect SD-WAN ゲートウェイの基盤となるオペレーティングシステムにおいて、古典的なバッファオーバーフローの脆弱性が確認された。この脆弱性は、認証されていないリモートの攻撃者が細工したデータを送信することで悪用可能である。深刻度は CVSS v3 で 9.8 (Critical) と極めて高く評価されている。攻撃が成功すると、攻撃者は基盤となる OS 上で任意のコマンドを最高権限で実行できる可能性があり、システム全体が完全に侵害されるリスクがある。

Google Chromeにおいて、グラフィックス処理コンポーネント「ANGLE」のバッファオーバーフロー（CVE-2026-102331）をはじめ、スクリプトエンジン「V8」における型の取り違えやバッファオーバーフローなど、合計32件の脆弱性が修正されました。

伊勢崎市は、学習者用タブレット端末の保守を委託している株式会社両毛システムズの社内システムがランサムウェアによる不正アクセスを受け、児童生徒のアカウント情報が流出した可能性があると公表しました。対象は3,789件で、学校名、氏名、アカウント名、パスワード等が含まれており、同社はパスワードの変更や保護者への通知を実施しました。

タイムズモビリティが運営する「タイムズカーWebサイト」への不正アクセスにより、運転免許証画像や現住所確認書類画像などの本人確認書類が、約160万件分漏えいしたことが判明しました。同社は該当する会員への個別メール案内を開始し、偽装メール等への注意を呼びかけています。

長野県大町市は、市デジタルアーカイブサイト「デジまち」がシステムの脆弱性を悪用した不正アクセスを受け、オンラインカジノサイトへの誘導ページに改ざんされたと発表しました。現在はネットワークから遮断され、行政サービスが停止しています。なお、個人情報の保存はなく、現時点で流出や二次被害は確認されていません。

株式会社ハルメクホールディングスは、グループのWebサイト「HALMEK up」の管理画面が不正アクセスを受けたことを発表しました。社員1名のIDとパスワードが窃取されたことが原因としており、現時点では顧客管理情報へのアクセスや事業への影響は確認されていないとのことです。

データ窃取・恐喝集団 ShinyHunters が、米連邦捜査局（FBI）の採用ポータルサイト「FBIJobs.gov」を侵害し、現職・元職員および採用応募者を含む数千人分の個人識別情報を窃取したと主張しました。FBI側も侵害の事実を認めており、外部委託業者側と基幹システムのどちらに起因するかを含めて調査を進めています。