2026-10-24（土）配信
セキュリティ脅威情報
本日の内容（全21件）
■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEV Collabora Online CODE サーバーにおける OS コマンドインジェクションの脆弱性
NextCloud プラットフォームに組み込まれた Collabora Online CODE サーバーにおいて、OS コマンドインジェクションの脆弱性が確認された。この脆弱性は、CODE サーバーが実行されていない状態において悪用が可能であり、リモートから任意のコードを実行される恐れがある。CISA の既知の脆弱性カタログ（KEV）に追加されており、実環境での悪用が確認されているため、極めて重大な脅威である。CISA は米国の連邦政府機関に、2026年10月26日までの対応を求めている。
なぜご自身の組織で確認すべきか 悪用が確認された脆弱性であり、NextCloud等で本機能を利用している場合は速やかなバージョン更新が必要なため。
影響
遠隔の第三者によってサーバー上で任意の OS コマンドを実行され、システムの完全な制御を奪われたり、機密データが窃取されたりする可能性がある。
対応策
NextCloud 上の Collabora Online アプリを、ベンダーが提供する修正済みの最新バージョンへ速やかにアップデートすること。
ベンダーの公開情報: https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516
ベンダーの公開情報: https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh
KEV 🔄 [続報] Arista VeloCloud Orchestrator における SQL インジェクションの脆弱性
📰 過去報告：10/23
Arista VeloCloud Orchestrator のオンプレミス版において、深刻な SQL インジェクションの脆弱性が確認された。リモートの攻撃者がこの脆弱性を悪用することで、特権が必要な内部機能への不正アクセスや、オーケストレーター・ホストへの直接的な攻撃が可能となる。CISAは本脆弱性が実際に悪用されていることを確認し、既知の悪用された脆弱性カタログ（KEV）に追加した。管理下にあるネットワーク全体の制御権が奪われるリスクがあり、極めて重大な脅威である。CISA は米国の連邦政府機関に、2026年10月26日までの対応を求めている。
10/23 に報告した脆弱性（CVE-2026-114625）が、実際の悪用の確認により CISA の KEV カタログに追加されました。
なぜご自身の組織で確認すべきか 悪用が確認された深刻な脆弱性であり、オンプレミス環境で当該製品を運用している場合は早急な修正対応が必要なため。
影響
オーケストレーターおよび管理下にあるデータの機密性、完全性、可用性が侵害される。具体的には、機密情報の漏洩、設定データの改ざん、システムの完全な制御権奪取などを招く恐れがある。
対応策
ベンダーの公開情報: https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199
🔄 [続報] LiteLLM正規配布パッケージに不正プログラム混入
📰 過去報告：10/22
生成AI向けOSS『LiteLLM』のリリース工程が侵害され、PyPIやコンテナレジストリで配布されたパッケージに不正プログラムが混入しました。認証情報の窃取やコード実行につながるおそれがあると報じられています。
10/22 報告分の続報です。
なぜご自身の組織で確認すべきか 正規配布パッケージへの不正プログラム混入が確認されており、自組織の開発環境や運用環境で該当バージョンが導入されていないかの確認が必要なため。
🔄 [続報] ファイアウォールやVPNの侵害で7万件超の認証情報が露呈
📰 過去報告：10/21
Group-IBとNyxLabの調査により、FortinetやPalo Alto Networksなどの境界型デバイスを標的とした大規模なキャンペーンが明らかにされました。脅威アクター「k0t」が既知の脆弱性や総当たり攻撃で侵入し、7万件を超える認証情報やデータが流出しています。
10/21 に報告した脆弱性（CVE-2026-0257）に関する続報です。
なぜご自身の組織で確認すべきか FortinetやPalo Alto Networks等の境界機器を狙う攻撃が観測されており、自組織の機器におけるパッチ適用状況や不審な通信の確認が必要なため。
🔄 [続報] HPE無線LAN用OS「AOS」に多数の脆弱性、クリティカル33件
📰 過去報告：10/23
Hewlett Packard Enterpriseは、無線LAN関連機器向けOS「AOS-10」および「AOS-8」に関する72件の脆弱性を公開しました。このうち33件がクリティカルと評価されており、アドバイザリ公開時点での悪用報告は確認されていません。
10/23 に報告した脆弱性（CVE-2026-79847）に関する続報です。
なぜご自身の組織で確認すべきか 無線LAN関連機器向けOSにおいて認証不要のリモートコード実行が可能な深刻な脆弱性が多数確認されており、修正版の適用が必要なため。
■ 脅威動向
脆弱性 LaravelのTokenGuardにおける認証バイパスの脆弱性
Laravelの組み込み機能であるTokenGuardにおいて、特定のデータベース設定（MySQL/MariaDB）を利用している場合、非文字列のAPI認証情報を用いることで認証バイパスが発生する。攻撃者は、有効なAPIトークンを持たない状態でも、任意の既存ユーザーとして認証を突破することが可能であり、アカウント乗っ取りにつながる恐れがある。
対象ソフト
Laravelは、Webアプリケーション開発のためのオープンソースのPHPフレームワークであり、API構築やユーザー認証など多くの機能を提供する。
影響
認証されていない攻撃者が有効なAPIトークンなしに任意のユーザーとして認証され、アカウントの乗っ取りや不正アクセスが行われる。
対応策
laravel/framework 12.68.0 または 13.29.0 以降にアップグレードすること。
脆弱性 Wasmtime の Cranelift コンパイラにおける数値切り捨てによるサンドボックス逃れの脆弱性
Wasmtime の v43 未満の Cranelift コンパイラバックエンドにおいて、SSA 値インデックスのビットパッキング処理に起因するサイレントオーバーフローが発生する。リリースビルドでは誤った値参照や任意の誤コンパイルを引き起こし、非常に大きな Wasm 関数や多数の SSA 値を使用するよう特別に構築された Wasm モジュールによって、型混乱などの任意の副作用を引き起こしてサンドボックスからの逃れが可能となる。
対象ソフト
Wasmtime は、WebAssembly (Wasm) モジュールを実行するための独立したランタイムおよびコンパイラエンジンであり、安全なサンドボックス環境を提供するために広く利用されている。
影響
攻撃者によって特別に構築された WebAssembly モジュールを処理させた場合、サンドボックスからの逃れ、機密情報の窃取、完全性の侵害、および可用性の低下が発生する可能性がある。
対応策
Wasmtime v36.0.19 以降、または v43.0.0 以降にアップグレードすること。
露系Sandworm、新メッシュ型バックドアで攻撃
ロシアの国家支援型ハッキンググループSandwormが、別の脅威アクターと協力し、ウクライナの物流企業に対して破壊的なワイパー攻撃を実施しました。ESETの調査によると、攻撃は2025年7月にスピアフィッシングメールを起点として開始され、新種のバックドア「MythicRatatoskr」などが展開された後、9月にSandwormへとアクセスが引き渡されてデータ消去攻撃に至りました。
攻撃手法（確認済み）
UAC-0099がスピアフィッシングメールに添付されたマルウェアを通じて初期アクセスを取得し、MATCHBOILダウンローダーとMATCHWOKバックドアを展開しました。その後、新種のMythicRatatoskrバックドアを用いてYggdrasilメッシュネットワーク上のC2サーバーと通信を行い、最終的にSandwormへアクセスが引き渡されてActive Directoryのグループポリシー経由でSDeleteユーティリティを用いたデータ消去攻撃が行われました。
INC・The Gentlemen、AI駆動の侵入エコシステム
セキュリティ研究者により、ランサムウェアグループINCおよびThe Gentlemenの系列が運営する、AIを活用した侵入エコシステムが発見されました。Phantomと呼ばれる自律型レッドチームフレームワークやOpenCodeなどを悪用し、エッジ・リモートアクセス機器の脆弱性を狙った大規模な攻撃が行われています。
脅威の概要
INCおよびThe Gentlemenの系列が、AI駆動の自律型レッドチームフレームワーク「Phantom」を用いて、エッジおよびリモートアクセス機器の脆弱性（FortiClient EMS、SimpleHelp、cPanelなど）を悪用する侵入エコシステムを構築しています。攻撃者は人間の承認のもとでAIエージェントにタスクを実行させ、認証情報の窃取や内部ネットワークの探索、データ窃取を行っています。
主要なTTP
パブリックなエッジ機器やリモートアクセスシステムの悪用による初期アクセスの獲得
RevSocksを用いたリバースSOCKS5トンネルによるネットワーク内でのピボットとデータ収集
Ghost C2やMythicエージェントを用いた永続化とコマンド＆コントロール通信
BYOVD攻撃によるEDR製品等のセキュリティ機能の無効化・停止
対象となる組織・利用者
インターネットに公開されたエッジデバイス、VPN、リモートアクセスシステム、管理用サーバーを運用している組織。
推奨される防御アクション
FortiClient EMS、SimpleHelp、cPanelなどの公開エッジ機器やリモートアクセスシステムに適用可能な修正パッチを適用する
ネットワーク内でRevSocksなどによる不正なリバースSOCKS接続や予期せぬ外部通信が発生していないか監視する
BYOVD攻撃に悪用される脆弱なドライバ（Zemanaドライバ等）のロードや実行を制御・検知する
中亜の外交機関を狙うUEFIブートキット「BlackX」
中央アジアの外交機関を狙う新しいUEFIブートキット「BlackX」が確認されました。BlackLotusの発展版とみられ、Secure Bootの取り消し措置が未適用のWindows環境でCVE-2022-21894を悪用してOS起動前の防御を迂回し、長期的な不正アクセスを維持します。
脅威の概要
BlackXは、UEFIブートキット「BlackLotus」の発展版とみられるマルウェアです。Secure Bootの取り消し措置（証明書のブロックリスト登録など）が未適用のシステムにおいて、CVE-2022-21894を悪用してOS起動前にコードを読み込みます。感染端末ではエンドポイントセキュリティ製品の妨害や、クラウドストレージを用いた遠隔操作・情報窃取が行われます。
主要なTTP
CVE-2022-21894 を悪用した Secure Boot の迂回とOS起動前でのコード実行
管理者権限を利用したインストーラー（inst.exe）および暗号化拡張子の展開
Machine Owner Keys（MOK）のインストールによる任意のEFIファイルの読み込み
証明書を取り消されたドライバを用いたBYOVD攻撃によるエンドポイントセキュリティ製品の妨害
Google Drive、OneDrive、Yandex.Diskを用いたクラウドストレージベースのC2通信
対象となる組織・利用者
Windows端末を運用しており、Secure Bootの取り消し措置（DBX更新など）の適用状況を管理している組織。
推奨される防御アクション
Microsoftが提供するSecure Bootの取り消し措置（Windows Production PCA 2011証明書のSecure Boot UEFI Forbidden List (DBX) への追加など）を手動手順も含めて適用する
CVE-2022-21894 に対するパッチ適用後も取り消し措置が未適用の端末がないか確認する
見覚えのない管理者アカウントの作成や不審なドライバのロードがないか監視する
🔄 [続報] Node.jsのBrotliデコーダにRCE脆弱性「Node2Shell」
📰 過去報告：10/23
Impervaの研究者が、Node.jsに同梱されているBrotliデコーダの脆弱性（CVE-2026-111497）を悪用し、公式ビルドでリモートコード実行（RCE）を行う実証コード「Node2Shell」を公開しました。Node.jsは10月21日に修正版をリリースしており、該当する環境ではアップデートが推奨されます。
10/23 に報告した脆弱性（CVE-2026-111497）に関する続報です。
脅威の概要
Node.jsにバンドルされているBrotliデコーダの処理不備（CVE-2026-111497）により、細工されたBrotli圧縮データを処理させるとバッファ境界外書き込みが発生し、公式ビルド環境においてリモートコード実行（RCE）につながるおそれがあります。Node.js 22.x、24.x、26.xの各ラインが影響を受けます。
主要なTTP
細工されたBrotli圧縮データの送信によるデコーダの不正状態への誘導
バッファ境界外書き込みを通じたリモートコード実行
対象となる組織・利用者
Node.js 22.x、24.x、26.xを使用しており、信頼性の低いBrotli圧縮データ（HTTPリクエストボディや外部からのレスポンス等）をデコードするアプリケーションを運用している組織。
推奨される防御アクション
Node.jsを修正版（24.x等）にアップデートする
コンテナイメージやNodeバイナリを同梱する成果物のバージョンを確認し更新する
サポートが終了したNode.js 20.x以前のラインからサポート対象のラインへ移行する
Apache Tomcatに8件の脆弱性判明
Apache Software Foundationは、ウェブアプリケーションサーバー「Apache Tomcat」に関する8件の脆弱性を公表しました。重要度が「重要」とされる脆弱性には、認証回避のおそれがあるCVE-2026-101296や、HTTP/2の処理に起因するCVE-2026-101356などが含まれています。
脅威の概要
Apache Tomcatにおいて、ユーザー認証機能における認証バイパスのほか、HTTP/2による非同期処理の問題や、AJP通信における応答データの混入など、合計8件の脆弱性が公表されました。
対象となる組織・利用者
Apache Tomcatを運用している組織。
推奨される防御アクション
Apache Software Foundationが提供する修正版へアップデートを適用する
■ 注目事例
🔄 [続報] アルカディア、不正アクセスで情報漏えいの可能性
📰 過去報告：10/18
株式会社アルカディアは、提供するメディアサーバーが不正アクセスを受け、内部情報が取得され個人情報が漏えいした可能性があると公表しました。ディレクトリパストラバーサル脆弱性から設定ファイルが取得され、アカウントへの総当たり攻撃を経て侵入されたとしています。バックドアを通じて約142万通の不正メールが配信されたほか、一部サービスの緊急停止やデータ改ざんが発生しましたが、現在は全サービスが復旧しています。
10/18 報告の土佐市の件の事業者公表。ディレクトリパストラバーサル脆弱性による設定ファイル取得と総当たり攻撃で侵入され、不正メール送信や改ざんが発生した手口が明らかになりました。
攻撃手法（確認済み）
メディアサーバーのディレクトリパストラバーサル脆弱性を悪用されて設定ファイルを取得され、サービス間ログイン用シークレットキーが流出した。その後、アカウントIDへの総当たり攻撃によってログインされ、内部情報が取得された。
自組織チェックポイント
Webサーバーやメディアサーバーにディレクトリパストラバーサルなどの脆弱性が存在しないか
アカウントIDやパスワードに対する総当たり攻撃（ブルートフォース攻撃）を検知・ブロックする仕組みがあるか
サービス間で利用するシークレットキーや認証情報が適切に保護されているか
🔄 [続報] 佐川急便、問い合わせサービスの再開と個人情報流出の調査状況（第5報）を公表
📰 過去報告：10/19
佐川急便は、「お荷物問い合わせサービス」への第三者による不正アクセスに関する第5報を公表しました。必要なセキュリティ対策と安全性の確認が完了したため、停止していた同サービスの再開を発表しています。また、送り状データや顧客リスト、会員情報などにおいて流出した可能性のある個人情報の最大件数が現時点で約5,323万件（重複含む）であると明らかにしました。
10/19 報告分の続報。停止していた「お荷物問い合わせサービス」の再開と、流出の可能性がある個人情報の最大件数が約5,323万件と判明したことが公表されました。
攻撃手法（確認済み）
公表文では「お荷物問い合わせサービス」への第三者による不正アクセスとされていますが、具体的な侵入経路や手口については明記されていません。
攻撃手法（推測）
システムへの不正アクセスにおいて、外部公開されているWebアプリケーションの脆弱性や認証不備などが悪用された可能性があります。（根拠：インターネット貨物システムにおいて外部からのアクセスを遮断する対応が取られていたことや、Webサービス経由での不正アクセスとされていることから推測されます。）
自組織チェックポイント
外部公開しているWebサービスやAPIに対して、不正なアクセスを防ぐための監視やセキュリティ対策が実施されているか
フューチャーショップ、不正アクセスで会員情報漏えい
株式会社フューチャーショップは、同社が提供するSaaS型ECプラットフォーム「futureshop」のサーバーに対する外部からの不正アクセスにより、利用している1店舗において、会員情報が外部に漏えいしたことを確認したと公表しました。ソフトウェアの脆弱性を悪用されたもので、3,147,469件の会員情報が取得されました。クレジットカード情報は含まれていないとしています。
攻撃手法（確認済み）
サーバーで使用していたソフトウェアの脆弱性を悪用された、外部からの不正アクセス。第三者がサーバーに不正アクセスし、対象店舗の会員情報を取得した。
自組織チェックポイント
自組織で利用しているサーバーやソフトウェアに既知の脆弱性が放置されていないか
外部からアクセスされるシステムの脆弱性管理や不正アクセスの検知体制が適切に機能しているか
タイムズカーWeb、不正アクセスで情報漏えい第5報
タイムズカーのWebシステムに対する不正アクセス事案について、パーク24グループのタイムズモビリティが第5報を公表しました。外部専門機関によるフォレンジック調査が終了し、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などの外部送信が確認されたアカウントが約662万件に上ることが判明しています。また、暗号化された本人確認書類の画像データ約146万件についても外部送信の痕跡が確認されました。
攻撃手法（確認済み）
Webシステムに存在した脆弱性が悪用され、システムへ侵入された後、システム内の情報を探索されてデータベースおよびファイル領域へアクセスされたこと。
自組織チェックポイント
Webシステム等の公開サーバーや関連アプリケーションに既知の脆弱性が放置されていないか定期的に点検しているか
サーバー内の情報探索や不正なデータベース・ファイル領域へのアクセスを早期に検知・遮断できる監視体制となっているか
🔄 [続報] デジタルアーツ、運用環境への不正侵入で情報流出の可能性
📰 過去報告：10/22
デジタルアーツは、クラウドおよび社内環境が第三者による不正アクセスを受け、一部利用者に関する情報が流出した可能性があることを明らかにしました。同社によれば、2025年7月頃からの侵入痕跡が確認されており、「i-FILTER@Cloud」などの6サービスにおいて顧客情報が参照された可能性があるとしています。
10/22 報告分の続報。2025年7月頃からの侵入痕跡が確認され、「i-FILTER@Cloud」など6サービスで顧客情報が参照された可能性があることが判明しました。
攻撃手法（確認済み）
クラウドサービスの運用に用いる認証情報が第三者に取得され、それらを用いてサービス運用環境に侵入していたことを確認。2025年7月頃からの侵入痕跡が含まれている。
攻撃手法（推測）
認証情報の窃取は、マルウェア感染による端末からのクレデンシャル盗難や、フィッシング攻撃、あるいは漏えいした認証情報の使い回しが背景にあったことが考えられます。（根拠：クラウドサービスの運用用認証情報が第三者に取得されて侵入に悪用されたという事実から、運用管理者の端末やアカウントが何らかの経路で侵害されていたことが想起されます。）
自組織チェックポイント
クラウドサービスの運用管理に用いる認証情報が適切に管理され、定期的に変更されているか
運用環境へのアクセスにおいて多要素認証（MFA）が必須化されているか
運用管理端末やクラウドサービスのログに、不審なアクセスや長期間にわたる異常な活動記録がないか
GMO「デスクトップクラウド」侵害、不正プログラム確認
GMOインターネットが提供する「お名前.com デスクトップクラウド」が第三者による侵害を受けました。一部利用者のサーバ環境で不正なプログラムが確認され、金融機関の取引口座に対する身に覚えのない操作や、内部データの窃取による不正利用のおそれが報告されています。最大2万6739件のサーバに影響が出た可能性があり、同社はサーバを順次停止して調査を進めています。
攻撃手法（確認済み）
一部利用者のサーバ環境に不正なプログラムが設置されていたこと、およびサーバ内部に保存されていた情報が窃取され金融機関の取引口座のログインなどに不正利用されたおそれがあることが判明している。侵入経路などの詳細は調査中。
攻撃手法（推測）
仮想デスクトップ環境への不正アクセスやサーバ内部での不正プログラムの設置状況から、クラウド上の管理機能や認証情報の不備、あるいは利用者環境を踏み台とした不正侵入の可能性があります。（根拠：一部利用者のサーバ環境に不正プログラムが設置され、内部データが窃取されて金融口座の不正操作に悪用されたという事実に基づきます。）
自組織チェックポイント
クラウド上の仮想デスクトップ環境やリモート接続サービスを利用している場合、接続に用いるアカウントの認証情報が強固に管理されているか
仮想デスクトップ環境内で取引ツールなどの機密情報を扱う際、不要なデータが内部に保存されないよう運用上の制限がかけられているか
クラウド環境の運用保守において、不審なプログラムの設置や異常なアクセスがないかログ等の監視体制が確保されているか
新潟日報、不正アクセスで会員情報漏洩の可能性
新潟日報社は、メール配信サービスで利用している「ブラストメール」（運営：株式会社ラクスライトクラウド）への第三者による不正アクセスにより、「新潟日報パスポート」会員の個人情報が漏えいしたと公表しました。最大約25万3000人分の氏名やメールアドレスなどが影響を受けたほか、一部別サービス会員についても漏えいの可能性があるとして調査が進められています。
10/23 報告の紀宝町の事例と同じく、「ブラストメール」（運営：株式会社ラクスライトクラウド）への不正アクセスに起因する公表です。同サービスを利用中の組織は影響の確認を推奨します。
攻撃手法（確認済み）
利用しているメール配信サービス「ブラストメール」（運営：株式会社ラクスライトクラウド）において第三者による不正アクセスが発生したとされていますが、具体的な侵入経路等の詳細については明記されていません。
デジタル庁、Web制作ツール不正アクセスで情報漏えいか
デジタル庁は10月22日、Webサイトの運営に一部利用していたノーコードWeb制作サービス「Studio」が不正アクセスを受けた影響で、問い合わせフォームに入力された最大1万3323件の個人情報が漏えいした可能性があると発表しました。第三者がクラウド環境に不正アクセスし、データを外部から取得できる状態にしていたとしています。
10/21 報告の TVer の事例と同様、Web制作サービス「Studio」への不正アクセスに起因する公表です。同サービスを利用中の組織は影響の確認を推奨します。
攻撃手法（確認済み）
利用していたWeb制作サービス「Studio」のクラウド環境が第三者による不正アクセスを受け、データを外部から取得できる状態にされていた。
攻撃手法（推測）
サードパーティ製SaaSやクラウドサービスの認証情報管理の不備、あるいはプラットフォーム側の脆弱性を突いた攻撃が背景にあったことが想起されます。（根拠：運営元からの報告において『第三者がクラウド環境に不正アクセスし、データを外部から取得できる状態にしていた』とされているためです。）
自組織チェックポイント
自組織で利用している外部のSaaSやノーコードツールにおいて、不要になったデータや古い問い合わせ履歴が長期間放置されていないか
外部サービスと連携しているアカウントの権限管理やアクセス制御が適切に行われているか
■ レポート・解説
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-10-24 に配信されました。
