セキュリティ脅威情報

Dell Container Storage Modules (CSM) の csm-authorization-storage gRPC サーバーにおいて、重要な機能に対する認証が欠如している脆弱性が判明した。本脆弱性は、ネットワーク経由で認証を必要とせずに悪用が可能であり、CVSS v3 スコアは最高値の 10.0（Critical）と評価されている。攻撃者がバックエンドの管理者資格情報を取得することで、ストレージ基盤全体に対して不正な操作を行うことが可能になるため、極めて重大なセキュリティリスクをもたらす。組織のデータ基盤に直結するコンポーネントであるため、極めて高い警戒が必要である。

IBM Langflow OSSにおいて、OSコマンドとして解釈される特殊な文字や要素のサニタイズが不適切に行われていることに起因するコードインジェクションの脆弱性が発見された。本脆弱性はバージョン1.0.0から1.12.2までに影響を及ぼす。リモートの攻撃者がこの脆弱性を悪用した場合、アプリケーションを実行しているサーバー上で任意のOSコマンドを実行される危険性がある。CVSSスコアは9.8と非常に高く、認証不要で攻撃が可能であるため警戒が必要である。

Oracle E-Business Suite に含まれる Oracle Document Management and Collaboration の Internal Operations コンポーネントにおいて、極めて深刻な脆弱性が確認された。この脆弱性は、ネットワーク経由で HTTP アクセスが可能な環境であれば、認証を受けていない第三者が容易に悪用できる性質を持つ。CVSS v3.1 スコアは 9.8 と極めて高く評価されており、組織の機密情報やシステムの完全な制御に重大な脅威をもたらすものである。

LinuxカーネルのHSR（High-availability Seamless Redundancy）プロトコルにおいて、監視フレームの処理に関する境界外読み取り（OOB）の脆弱性が報告された。原因は、監視フレームの処理中にTLVヘッダー全体がメモリ上で連続していることを確認する処理が不十分であったことにある。これにより、意図的に切り詰められた不正なフレームを受信した場合、カーネルが管理外のメモリ領域にアクセスする可能性がある。CVSS v3スコアは最高の9.8と評価されており、リモートからの攻撃が可能であるため、影響を受けるシステムにおいては重大なリスクとなる。

Mozilla Firefox のファイル処理コンポーネントにおいて、セキュリティ緩和策を回避される脆弱性が発見された。この脆弱性はリモートからネットワーク経由で認証なしに悪用される可能性があり、CVSS v3 スコアは 9.8 の「緊急（Critical）」と極めて高く評価されている。本来システムを保護するために設けられた緩和策を無効化されることで、他の脆弱性と組み合わされるなどして深刻な被害を招く恐れがある。

Node.js用のGit操作ライブラリ「simple-git」において、危険なGitオプションの検証を回避される脆弱性が存在する。バージョン4.0.0未満に搭載されている保護プラグインは、オプション名を完全一致で比較していたが、Git自体が略称（例：--receive-packの省略形）を許容する仕様であるため、この検証をすり抜けることが可能である。これにより、攻撃者が操作した引数を通じて、Gitが任意のコマンドを呼び出す原因となる。

バックアップユーティリティ「AhsayCBS」の2つの脆弱性を悪用し、不正アクセスやウェブシェル設置、仮想通貨マイニングツールの配備を行う攻撃が確認されました。攻撃者は認証バイパスとOSコマンドインジェクションを組み合わせてリモートコード実行を行っています。

セキュリティ研究者が、iOS向けエクスプロイトキット「DarkSword」の新しい派生版「P7 DarkSword」の詳細を公表しました。デバイス上のフットプリントを削減し、キーチェーンや暗号資産ウォレットの窃取機能、C2サーバーとの双方向通信が追加されています。

米CISAは、「Apache Struts」や「BIND」など5件の脆弱性が実際に悪用されているとして、悪用が確認された脆弱性カタログ（KEV）に追加しました。米行政機関に対し、期限までの対応と侵害状況の調査を求めています。

CrowdStrikeは、韓国の金融機関を狙ったサイバー攻撃に関するサーバの分析結果を公表しました。攻撃者が中国発のAI侵入テストツール「ARTEX」や複数のLLMを悪用し、香港などを経由して活動していた痕跡が見つかったとしています。

コミューン株式会社は、運営する「Commune」および「Commune for Work」が外部からの不正アクセスを受け、一部のコミュニティにおいて会員情報が外部に漏えいしたと公表しました。同社はサービスを一時停止し、不備の修正やログイン用署名鍵の更新などの対応を行っています。

警視庁は、光回線販売代理店「オフィシャル」の営業担当2人を、競合するインターネットプロバイダ「hi-ho」の顧客マイページに不正アクセスした疑いで逮捕しました。担当者は電話で顧客から生年月日や郵便番号などを聞き出し、本人になりすましてログインして契約情報を確認し、自社サービスへの乗り換え勧誘に悪用していたとされています。

米国防総省の国防人事データセンター（DMDC）のファイル共有システムに脆弱性が発見され、権限のないユーザーが不正アクセスできる状態になっていました。調査の結果、2025年10月から2026年7月にかけて、暗号化されていない個人情報にアクセスされ、軍人や元軍人など約300万人分の社会保障番号や氏名などが閲覧されていたことが判明しました。発覚まで約9カ月間かかっています。

ユーザベースは、経済メディア「NewsPicks」の管理ツールに対する不正アクセスにより、ユーザーの個人情報などが漏えいした可能性があると発表しました。メールアドレス約32万3000件や、クレジットカード情報の名義や下3桁・下4桁など約36万2000件などが対象に含まれており、同社は管理ツールのアクセス遮断やアカウント削除などの対応を実施しています。

ローソンは、アカウントサービス「ローソンID」と「ローソンアプリ予約」がサイバー攻撃を受け、顧客の個人情報が流出したと発表しました。アプリ上で利用者本人に情報を表示するセキュリティ機構が不正アクセスを受けたとしており、ローソンIDに関する約215万件や、予約サービスの個人情報などが流出しています。