セキュリティ脅威情報

Node.js 用ライブラリ vm2 の NodeVM において、サンドボックスを脱出可能になる脆弱性が発見された。この脆弱性は、ホストシステムへのアクセスを制限するための拒否リスト（DANGEROUS_BUILTINS）に、コマンド実行を可能にする `child_process` モジュールが含まれていなかったことに起因する。これにより、すべての組み込みモジュールを許可する設定（builtin:['*']）などを使用している場合、サンドボックス内からホストの権限で任意のコマンドを実行できる。概念実証コード（PoC）も公開されており、悪用が極めて容易である。

Payload CMS のプラグインである @payloadcms/plugin-form-builder において、リモートコード実行（RCE）が可能な極めて深刻な脆弱性が発見された。この脆弱性は、プロトタイプ汚染やコードインジェクションの問題に起因しており、攻撃者が細工したフォームの送信データを通じて、サーバー上で任意のコードを実行することを可能にする。CVSS スコアは最高値の 10.0 と評価されており、認証を必要とせずリモートから悪用が可能であるため、極めて危険な状態である。

Langflow の MCP (Model Context Protocol) stdio サーバ設定における OS コマンドインジェクションの脆弱性が報告された。MCP サーバの設定時に指定するコマンドや引数に対して適切な検証や許可リストの制限が行われていなかったため、攻撃者が悪意ある OS コマンド（リバースシェルの実行など）を注入できる状態であった。特にデフォルト設定の `LANGFLOW_AUTO_LOGIN=true` では、認証なしで API を介した攻撃が可能となる。この問題は、1.10.3 以降のバージョンで許可リストの導入とシェルを介さない実行形式への変更により解決された。

WordPress開発チームは、セキュリティアップデートとなる「WordPress 7.1.3」をリリースしました。格納型クロスサイトスクリプティング（XSS）やSQLインジェクションなど、複数の脆弱性に対処しており、早急なアップデートを呼びかけています。

ノーガホテル 秋葉原 東京は、利用している予約管理システム「TEMAIRAZU」（手間いらず株式会社提供）において、第三者による不正アクセスが発生し、宿泊予約者の個人情報が外部に漏洩した可能性があると公表しました。2026年9月21日に不正アクセスがあり、氏名、住所、電話番号、メールアドレス、宿泊予約情報が閲覧およびデータ取得された可能性があります。システム側でクレジットカード情報は保有していません。

大阪公立大学は、全キャンパスの基盤システムが停止した大規模な障害について、ランサムウェアによるサイバー攻撃と判断していると発表しました。約500台のサーバーが停止し、在学生や卒業生らの個人情報約13万人分が保管されていたシステムで流出の有無を調査しています。

IDCフロンティアが提供する「IDCFクラウド」の東日本リージョン1が第三者からのランサムウェア攻撃を受け、障害が発生しました。契約する495の企業や自治体へ影響が及んでおり、複数の組織でホームページの閲覧不能やサービス停止が相次いで確認されています。

東洋紡せんいの従業員メールアカウントが不正アクセスを受け、約1,500件の不審メールが送信されました。さらに、そのメールを受信した東洋紡エムシーの従業員2名もフィッシング被害による不正アクセスを受けたことが確認されています。

損害保険ジャパンは、ドライブレコーダーの問い合わせ対応で利用している外部委託先のシステムが不正アクセスを受け、導入企業の従業員からの問い合わせ情報など延べ約6万件が漏えいした可能性があると発表しました。