セキュリティ脅威情報

Oracle WebLogic ServerのCoreコンポーネントにおいて、極めて重大な脆弱性が確認された。認証を受けていない攻撃者がネットワーク経由で、T3プロトコルまたはIIOPプロトコルを介して容易に脆弱性を悪用できる状態にある。CVSS基本スコアは9.8（Critical）と評価されており、攻撃が成功した場合、攻撃者はサーバーの機密性、完全性、可用性のすべてを侵害し、システムを完全に乗っ取る可能性がある。広範囲に影響が及ぶため、対象バージョンを使用している組織は即座の警戒が必要である。

Microsoft Windowsに含まれるTelnetクライアントにおいて、ヒープベースのバッファオーバーフローの脆弱性が確認された。本脆弱性は、悪意のある攻撃者がネットワークを介して細工したデータを送信することで悪用される可能性がある。CVSS v3スコアは9.8と極めて高く、認証不要で遠隔からの攻撃が可能である点が非常に重大である。Windows 10から11までの複数のバージョンが影響範囲に含まれる。

Angular のサーバーサイドレンダリング（SSR）機能において、URL 解析処理に不備があり、サーバーサイドリクエストフォージェリ（SSRF）が発生する。URL 解析時に特定の Unicode 空白文字（U+00A0 や U+FEFF）を不適切に削除するため、同一生成元チェックを通過した後に、相対パスが攻撃者の制御する外部 URL へ変換されてしまう。これにより、本来同一オリジンにのみ送信されるべき Authorization ヘッダーなどの機密情報が攻撃者へ漏洩するリスクがある。CVSS スコアが 9.1 と極めて高く、認証なしでリモートから悪用可能なため、重大な脅威である。

中国系とみられる攻撃グループ「UAT-11587」が、アジア各国の政府や政策研究機関を標的にスピアフィッシングメールを用いた攻撃を展開しています。Rust言語で開発された新しいバックドア「Antino」を配信し、Microsoft 365のMicrosoft Graph（OutlookとOneDrive）をコマンド＆コントロール（C2）チャネルとして悪用する特徴があります。

CSuiteフィッシングキャンペーンは、AdobeやDocuSign、Microsoft 365などの著名なサービスを騙ったビジネスルアーを用いて、Microsoft 365のセッション情報や資格情報の窃盗を行うとともに、BATやVBSのドロッパーを介してScreenConnectなどの正規リモート管理ツール（RMM）をエンドポイントに展開し、アカウントと端末の両方への永続的なアクセスを確立します。

攻撃者が正規のRMMソフトウェア（MSP360およびFaronics Deploy Agent）のインストーラーをソーシャルエンジニアリングで配布し、初期足がかりを築いた上でConnectWise ScreenConnectを追加インストールする「デュアルRMM」攻撃の手法です。

Microsoft Malware Protection Engineのファイル検証不備に起因する脆弱性（CVE-2026-41091）について、SYSTEM権限で任意のファイルを書き込み管理者権限を奪取するエクスプロイトコードが公開されています。

SailPoint IdentityIQのウェブサービスAPIにおける入力検証不備の脆弱性（CVE-2026-12342）により、隣接ネットワークから認証なしでコードが実行されるおそれがあります。CVSSv3.1のベーススコアは9.6と評価されています。

Mozillaのウェブブラウザ「Firefox 157」および各延長サポート版において、サンドボックスの回避や権限昇格につながるメモリ安全性に関する問題やJITコンパイルの誤りなど、多数の脆弱性が修正されました。

OpenSSLのDTLSプロトコル処理において、ハンドシェイクメッセージの再送処理に不具合があり、ヒープメモリが暗号化されずに外部へ流出したりプログラムがクラッシュしたりする脆弱性です。

VOISINGは、利用するBIツールの脆弱性を悪用された不正アクセスにより、約17万件の個人情報が流出したと最終調査結果を公表しました。氏名、住所、購買履歴などが漏洩の対象となっており、カード番号やパスワードは含まれていません。同社は侵害環境の廃棄やアクセス経路の限定などの対策を実施しています。

手間いらずは、同社のサイトコントローラー「TEMAIRAZU」シリーズにおいて不正アクセスを確認したと公表しました。宿泊者情報の一部が閲覧または取得された可能性があり、予約者のもとに予約情報を把握した不審なメッセージが届く事案が発生しています。同社は原因となった箇所を特定して対策を完了し、システムは正常に稼働しています。

株式会社セイコーマートは、スマートフォンアプリ「セイコーマートアプリ」への不正アクセスに関する第三報を公開しました。会員572,022人分の情報が閲覧されたことを確認しており、アプリや公式通販サイトの一部サービスを一時停止して対応を進めています。

学校法人修道学園は、管理するサーバーに対する第三者の不正アクセスを確認し、教職員、一部の学生、外部講師、取引先等の個人情報や口座情報が外部に漏えいしたおそれがあると公表しました。現時点で情報の不正利用や被害の報告は確認されておらず、外部専門機関の協力を得て調査が進められています。

タイムズモビリティ株式会社が運営するカーシェアリングサービス「タイムズカー」が不正アクセスを受けました。外部専門機関による調査の結果、会員および退会済み元会員のアカウント約660万件分の情報が第三者に取得されたことが確認されています。