セキュリティ脅威情報

vm2 の NodeVM において、require.external オプションが有効かつ require.root が適切に設定されていない場合に、サンドボックスを完全に回避できる重大な脆弱性が存在する。公式ドキュメントの「クイックスタート」に従った標準的な構成でも影響を受ける。サンドボックス内のコードからホスト側の require() を呼び出し、制限のない新しい NodeVM インスタンスを生成することで、本来禁止されているホスト OS のコマンド実行やファイルシステムへのフルアクセスが可能になる。

Dell PowerStore SDNAS において、重要な機能に対する認証が適切に実装されていない脆弱性が存在する。この脆弱性は CVSS スコアで最大値の 10.0 を記録しており、極めて危険な状態である。ネットワーク経由でリモートからアクセス可能な攻撃者が、認証を経ることなくこの脆弱性を悪用できるため、システム内のファイルシステムに対して直接的な不正アクセスを許す可能性がある。機密性の高いデータ資産が格納されるストレージ製品における認証の欠如は、組織全体のデータセキュリティを根本から脅かす重大な問題である。

Dell OpenManage Server Administrator (OMSA) のバージョン 11.1.0.3 以前には、OSコマンドインジェクションの脆弱性が存在する。本脆弱性は、OSコマンドに使用される特殊な要素を不適切に無害化していることに起因する。この欠陥を突くことで、認証されていないリモートの攻撃者がネットワーク経由で任意のOSコマンドを挿入・実行し、結果としてリモートからコードを実行される恐れがある。CVSS 3.0 の基本値は 9.8 と評価されており、攻撃の容易性と影響の大きさが際立つ深刻な脆弱性である。

FreeRDPのTLS証明書検証処理において、複数の重大な欠陥が判明した。独自の検証ロジックに起因し、DNS SAN（サブジェクト代替名）内のNUL文字による値の切り捨てや、DNS SANが一致しない場合の不適切な共通名（CN）照合、およびIPアドレスターゲットの検証不備などが存在する。これにより、信頼済みまたは不正に発行された証明書を提示する攻撃者が、サーバーのアイデンティティ検証を回避することが可能となる。

Linux カーネルのネットワークスタックにおける VXLAN ドライバに、解放済みメモリ使用（Use-After-Free）の脆弱性が存在する。具体的には、skb_tunnel_check_pmtu() 関数を実行した際にネットワークバッファ（skb->head）が変更される可能性があるにもかかわらず、以前にキャッシュされた IP ヘッダ（ip_hdr）のポインタを再利用していることが原因である。この不適切なメモリアクセスにより、解放されたメモリ領域への参照が発生し、システムの安定性に重大な影響を及ぼす。ソースコードレベルでは、他のネットワークドライバと同様にポインタを再取得する実装への修正が必要である旨が示されている。

JetBrainsが提供するプロジェクト管理ツール「YouTrack」において、重大な脆弱性が報告された。本脆弱性はスクリプトデバッガーにおける不適切な認証に起因するものであり、バージョン 2026.2.19197 より前のバージョンが影響を受ける。攻撃者はこの脆弱性を悪用することで、本来必要な認証をバイパスし、システム上で任意のコードを実行することが可能となる。CVSS v3スコアは9.8の「Critical」と評価されており、ネットワーク経由で特別な権限を必要とせず攻撃が成立する極めて危険な状態である。

Realtek Jungle SDKなどの複数製品の脆弱性を狙い、STUNトラフィックを利用してC2通信を行う Linux向けバックドア・ボットネット「ClingSTUN（Cling）」の活動が報じられました。悪用されたトラフィックは通常のNAT走査に見せかけ、コマンドやプロキシ機能等を実行します。

IPAおよびJPCERT/CCは、Apache HTTP Server 2.4系における複数の脆弱性についてJVNで発表しました。開発元であるThe Apache Software Foundationは、これらの脆弱性に対処した修正版「Apache HTTP Server 2.4.69」を公開しています。

マサチューセッツ大学アマースト校の研究者らが、有効期限が切れた一部の非接触型クレジットカードを決済端末で有効なカードに見せかけ、支払いを成立させる攻撃手法を発見したとUSENIX Security 2026で発表しました。

ジェリービーンズグループは、役員を装ったメールとLINEをきっかけとする不正な送金指示により、4,500万円の資金が流出した事案について調査報告書の要約版を公表しました。会長を騙るメールに総務部部長が個人LINEの情報を返信したことで偽のLINEグループに誘導され、経理規程所定の手続を経ないまま送金が実行されたとしています。

信濃毎日新聞株式会社は、「信濃毎日新聞デジタル」のポイント交換システムが外部からの不正アクセスを受けたと発表しました。この影響で一部の履歴データが一時的に消去されましたが、現時点で個人情報の流出や保有ポイント数への影響は確認されておらず、修正措置とデータの復旧が完了しています。

日本経済新聞社は、社員のMicrosoft 365およびGoogle Workspaceのアカウントが不正アクセスを受け、なりすましメールが約9,000件送信されたと公表しました。また、日経BPでも従業員のメールアカウントへの不正アクセスが確認され、それぞれ個人情報が漏えいした可能性や疑いがあるとされています。

物語コーポレーションは、「焼肉きんぐ」の公式アプリ会員管理システムが第三者による不正アクセスを受け、会員情報約1078万8963件が漏えいしたと発表しました。漏えいした情報は会員番号、氏名、メールアドレス、電話番号などで、パスワードや決済情報は対象外としています。

株式会社ムラウチドットコムは、運用するWebシステムへの不正アクセスにより、顧客の個人情報771万6,811件が外部に持ち出されたと第二報を発表しました。同社は対象顧客への個別通知や、アクセス権限の見直し、監視体制の強化を進めています。