セキュリティ脅威情報

Fortinet社製製品において、複数の脆弱性が確認された。FortiSIEMにおけるパストラバーサル脆弱性（CVE-2026-106173）をはじめとして、FortiAnalyzer、FortiMail、FortiManagerなどにおけるSQLインジェクション脆弱性など合計5件の脆弱性が含まれている。最も深刻度の高い問題では、認証されていない攻撃者が細工されたパケットを用いて不正なコードやコマンドを実行するおそれがある。

SAP製品群において、CVSSスコア9.1から10.0に達する4件の重大な脆弱性が公表されている。最も深刻なSAP Cloud SDK for PythonのOAuth2 Server Side Request Forgery（SSRF）脆弱性では、攻撃者がtenant_subdomainパラメータを操作してトークンリクエストを不正なサーバーへ転送させ、クライアント認証情報を窃取することが可能である。その他、S/4HANAにおける任意のABAPコード実行、Visual ComposerやManufacturing Integration and Intelligenceにおける不十分な認可制御や権限昇格の問題など、システムの完全な乗っ取りや機密情報・完全性・可用性に深刻な影響を与える脆弱性が含まれている。

Adobe製品群において計26件の深刻な脆弱性が公表された。Adobe Commerce、ColdFusion、Adobe Experience Managerなど複数の主要製品が影響を受ける。主な問題として、テンプレートエンジンにおける特殊要素の不適切な無効化、危険なタイプのファイルの無制限アップロード、サーバーサイドリクエストフォージェリ（SSRF）、コードインジェクション、不適切な認可、OSコマンドインジェクションなどが含まれる。CVSSv3.1の基本値は最高10.0（Critical）であり、いずれもユーザーインタラクションを必要とせず悪用されるおそれがある。

情報通信研究機構（NICT）は、スマホアプリを活用した会員サービスでの情報流出事故の原因として、公開されているAndroidアプリを解析し、接続先のバックエンドサーバを特定して攻撃する手法「A2B攻撃」を指摘し、注意を呼びかけました。

低価格なAndroidスマートフォンに、システム権限を持つマルウェアが初期ファームウェアとして組み込まれているのが発見されました。Bitdefenderが「Midnight Mimosa」として追跡しており、広告詐欺やデバイスをレジデンシャルプロキシとして利用するボットネット化などの活動が行われていると報じられています。

株式会社IDAREが運営するキャッシュレスサービス「IDARE」において、外部ソフトウェアの脆弱性を悪用した不正アクセスが発生しました。8月10日から9月27日にかけて複数回データベースが不正に取得され、登録ユーザーの個人情報や取引履歴などの漏えいが判明しています。

東海旅客鉄道は、委託先であるIDCフロンティアで発生した不正アクセスに関連し、運営する「JR東海MARKET」及び「いいもの探訪」のメール配信データに含まれていた顧客のメールアドレスや氏名、住所、電話番号、注文内容などの個人情報が、第三者に閲覧または取得された可能性があると発表しました。個人情報保護委員会への報告が行われており、対象は約15,000件です。

ブックオフグループホールディングスは、同社子会社の会員情報管理システムが第三者からの不正アクセスを受け、最大約643万件の会員データが外部に流出したおそれがあると発表しました。氏名やメールアドレス、パスワードのハッシュ値などが含まれており、同社は対象者に個別連絡を行っています。

第一興商は、業務を委託している日本コロムビアグループ株式会社の従業員端末1台がマルウェアに感染したと発表しました。当該端末に一時保管されていた第一興商の店舗での会員登録や予約に関する顧客情報など、約8,724,000件が外部へ漏えいしたおそれを否定できない状況として調査を進めています。

東日本三菱自動車販売は、社員のマイクロソフト365アカウントが不正アクセスを受け、なりすましメール825件が送信されたと公表しました。送信先のメールアドレスや氏名の漏えい、および過去のメール内容が閲覧可能となった可能性があります。