セキュリティ脅威情報

WatchGuard Fireware OSに関して、合計14件の脆弱性が公表された。主な問題として、WireGuard設定処理におけるスタックベースのバッファオーバーフローや、FireCluster Sync処理における認証不備、Active Directory連携時におけるヒープベースのバッファオーバーフローなどが含まれる。最も深刻度の高い脆弱性では、CVSS v4.0基本値9.5（Critical）と評価されており、悪用された場合にサービス妨害（DoS）状態の発生や任意のコード実行につながるおそれがある。

Adobe製品において、SQLインジェクションやコードインジェクション、OSコマンドインジェクション、不適切な認可、クロスサイトスクリプティング（XSS）など、合計9件の重大な脆弱性が確認された。もっとも深刻な脆弱性ではCVSS基本値10.0を記録しており、認証なしで任意のSQLコマンドが実行されるおそれがある。他の脆弱性においても任意のコード実行やセキュリティ機能のバイパスにつながる危険性がある。

MLflow のサードパーティスコアラー登録およびデシリアライズ処理において、認証なしの遠隔から任意の Python コードを実行される脆弱性が存在する。攻撃者は実験の作成、ランの作成、アーティファクトのアップロード、およびスコアラーの呼び出しエンドポイントを組み合わせることで、許可されたパッケージプレフィックス配下に配置された任意のモジュールをインポートさせ、サーバープロセスの権限でコードを実行させることが可能である。公式のデフォルト設定（認証が無効な状態）では、資格情報やユーザーの対話を必要とせずに攻撃が成立するため極めて重大である。

Authlib には、JWS JSON デシリアライズ処理における署名の検証不備に関する脆弱性が存在する。問題は、JsonWebSignature.deserialize_json() メソッドにおいて、signatures 配列が空である場合にループが実行されず、初期値である検証成功フラグがそのまま維持されることに起因する。これにより、暗号鍵や有効な署名が存在しない改ざんされたペイロードであっても、署名済みとして正常に処理されてしまう。認証や権限のクレームを含むトークンを検証するシステムにおいて、認証のバイパスにつながるおそれがある。

better-auth において、OAuthのサインイン状態値がマジックリンクのトークンとして誤って受け付けられる不適切な認証の脆弱性が存在する。マジックリンクプラグインとソーシャルログインまたは汎用OAuthサインインが有効な環境において、攻撃者は任意のメールアドレスでOAuthサインインを開始し、その結果得られる状態値を使用して、メールアドレスの所有権を証明することなく、該当するユーザーとしてマジックリンクサインインを完了させることが可能である。

Microsoftは、Android版Authenticatorアプリに存在する、権限を持たない悪意あるアプリが管理者やTeamsなどの正規アプリを騙り仕事用アカウントのサインイン用トークンを取得できる脆弱性（CVE-2026-80097）を修正しました。現在修正版へのアップデートが呼びかけられています。

ユミルリンクは、メール配信サービス等に対する不正アクセスに関する第二報を公開しました。プログラムの脆弱性を突いた侵入により不正プログラムが設置され、Cuenote FCなど計49システムで情報漏洩が発生したほか、Cuenote BASEの契約者情報が閲覧可能な状態となっていたことが確認されています。

山形県戸沢村は、株式会社トラストバンクが運営する「ふるさとチョイス」に対する第三者の不正アクセスにより、会員の個人情報4,454,097件が外部に流出したと公表しました。流出した情報には氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワードなどが含まれており、同社はサービスを停止し原因究明と再発防止策を進めています。

株式会社マネーフォワードおよびグループ会社は、Webサイトの運営に利用している外部サービス「Studio」への不正アクセスに伴い、お問い合わせフォームに入力された個人データが外部へ流出した可能性があると公表しました。サービス提供元の報告によると、一部機能の脆弱性を突いた不正アクセスによりデータが外部から取得できる状態となっていたもので、マネーフォワードグループでは計8,109件のお問い合わせに関する氏名や企業名、メールアドレスなどが影響を受けた可能性があります。現時点で不正取得や二次被害は確認されていません。

株式会社トイポは、開発・運営する行動データプラットフォーム「トイポアプリ」が不正アクセスを受け、69万7,209名のユーザー登録情報が外部に漏えいした可能性があると発表しました。10月4日にシステムへの不正アクセスを確認し、調査の結果、一部システムに権限のない第三者が他のユーザー情報を取得できる脆弱性が判明したとしています。

株式会社アイラッシュガレージは、同社ECサイトへの不正アクセスにより、サーバーへの不正侵入が発生し顧客情報が外部に流出したと発表しました。10月10日から12日にかけて発生し、10月13日に検知して遮断を完了しています。会社名、顧客名、電話番号、メールアドレスなど4万9,191件の情報が含まれています。