セキュリティ脅威情報

Microsoft Windows の外観テーマを制御する UxTheme ライブラリ（uxtheme.dll）に、重大な脆弱性が存在する。この脆弱性は整数のアンダーフロー（ラップまたはラップアラウンド）に起因しており、攻撃者がネットワーク経由で特殊な操作を行うことで、標的のシステム上で任意のコードを実行できる可能性がある。CVSS v3 の基本値は 9.8 と極めて高く、攻撃の複雑さが低く、認証やユーザーの介入も不要な条件下で悪用が可能であるため、極めて重大な脅威である。

Google Chrome の WindowDialog コンポーネントにおいて、解放済みメモリの使用（Use-after-free）の脆弱性（CVE-2026-95356）が報告された。本脆弱性は、バージョン 154.0.8037.57 より前の Google Chrome に影響を及ぼす。攻撃者がソーシャルエンジニアリングの手法を用いて、ユーザーを特別に細工された HTML ページへ誘導することに成功した場合、ブラウザのサンドボックス保護をバイパスし、ホストシステム上で任意のコードを実行される危険性がある。Chromium セキュリティチームによる評価で重大度が「重大（Critical）」とされており、リモートからの攻撃によってシステムの制御権を完全に奪われる恐れがあるため、極めて深刻な事案である。

Gitea RunnerのDocker実行環境において、特権モード（privileged mode）が無効化されている場合でも、ワークフローの定義ファイルからホストの名前空間や権限フラグをコンテナに渡せてしまう脆弱性が存在する。これは、container.options フィールドの内容が適切に制限されずにDockerホストの設定へ引き継がれることに起因する。これにより、リポジトリにワークフローを投稿できる攻撃者は、コンテナから脱出してホストOS上でroot権限のコマンドを実行できる。

Dell PowerStore には、重要な機能に対する認証が欠如している脆弱性が存在する。制限された管理インターフェースへのネットワークアクセスが可能な攻撃者は、認証なしにアプライアンスのファイルシステムから内部システム情報を読み取ることが可能である。この情報には機密データや資格情報が含まれる場合があり、最終的にストレージアレイに対する完全な管理者権限を奪取される恐れがある。CVSSスコアは9.8と評価されており、極めて深刻な影響を及ぼす可能性がある。

WatchGuard TechnologiesのFireware OSに、コード実行や認可不備、ファイル読み取り、サービス拒否など15件の脆弱性が判明しました。BOVPN Over TLSのクライアント設定処理におけるコードインジェクション脆弱性（CVE-2026-86131）は、接続先VPNサーバ側から接続してきたFirebox上でroot権限による任意コマンド実行につながるおそれがあり、重要度クリティカルと評価されています。

Apache HTTP Serverの最新版「2.4.69」がリリースされ、合計20件の脆弱性に対処しました。モジュール等の不備により、サービス拒否や任意コード実行などのリスクが存在します。

HPE製無線LANアクセスポイント『HPE Networking Instant On AP』に複数件の脆弱性が判明しました。バッファオーバーフローやコマンドインジェクション、認証回避などにより、基盤OSでの特権取得やコード・コマンド実行のリスクが存在します。

第一ライフグループと第一生命保険は、両社で使用する人事システムが不正アクセスを受け、従業員情報約12万人分が漏えいした可能性があると発表しました。対象には退職者やグループ企業からの出向者も含まれており、従業員番号や氏名、住所などが対象となっていますが、顧客情報への被害は確認されていないとしています。

日本エネルギー経済研究所（IEEJ）は、所員6人のMicrosoft 365アカウントが不正アクセスを受けた問題に関する詳細調査結果を公表しました。フィッシング攻撃を起点にアカウントが侵入され、メールアドレスやパスポート情報などの漏えいが確認されたとしています。

佐川急便は、自社Webサイトの「お荷物問い合わせサービス」に対する第三者の不正アクセスおよび個人情報流出の可能性について、第3報を公表しました。本件に関する専用お問い合わせ窓口（コールセンター）の開設が案内されています。

株式会社ジャパンタイムズは、グループ会社が管理するサーバーの一部において不正アクセスを受けたことを公表しました。現在、外部専門業者と連携して情報漏えいの有無や影響範囲、原因を調査中としています。なお、電子版サービスや決済システムなどは独立したインフラ上で運用されており影響はないとしています。