2026-10-31（土）配信
セキュリティ脅威情報
■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEVIvanti Connect Secure における認証欠如による権限昇格の脆弱性
Ivanti Connect Secure において、重要な機能に対する認証処理が欠如している脆弱性が確認された。ローカルで認証を受けた攻撃者が、この脆弱性を利用してシステム上の権限を昇格させることが可能となる。特筆すべき点として、本脆弱性は他の脆弱性（CVE-2026-104935 および CVE-2026-118527）と組み合わせて一連の攻撃（攻撃チェーン）に利用される可能性が指摘されている。CISAは実環境での悪用を確認しており、迅速な対応が求められる。CISA は米国の連邦政府機関に、2026年11月2日までの対応を求めている。
なぜご自身の組織で確認すべきか自組織でIvanti Connect Secureを運用している場合、複数の脆弱性を連鎖させた悪用が確認されKEVにも追加されているため、修正版の適用が必要となるため。
影響
ローカルの認証済み攻撃者によって、管理者権限などの高い権限を奪取される恐れがある。
対応策
ベンダーの公開情報: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
CursorマーケットプレイスでClaude Code拡張機能の偽装版が配信
Cursorのマーケットプレイスにおいて、Anthropicの公式Claude Code拡張機能の偽装版（バージョン2.1.313）が配信されました。この偽装版にはSSHバックドアを仕込むコードが含まれており、約5,000人のユーザーに影響を与えたと報じられています。現在は削除され、修正版が公開されています。
なぜご自身の組織で確認すべきか自組織の開発環境においてCursor上で偽装されたClaude Code拡張機能（バージョン2.1.313）を導入していた場合、SSHバックドアが設置されているおそれがあるため。
WordPressのRCE脆弱性、24時間で6万件超の攻撃試行
WordPress Coreのバージョン4.7から7.1.3に存在する、リモートコード実行の脆弱性を狙った攻撃が急増しています。パッチ公開後の24時間で約6万3千件の攻撃試行がブロックされたと報告されています。
なぜご自身の組織で確認すべきか自組織でWordPressを運用している場合、パッチ公開後に本脆弱性を狙った攻撃の試みが急増しているため、最新版へのアップデートが必要となるため。
■ 脅威動向
脆弱性JetBrains製品群における中間証明書の信頼に伴う重大な脆弱性
JetBrains Toolbox AppおよびIntelliJ IDEAにおいて、jetbrainsdデーモンが侵害された中間証明書を信頼してしまう脆弱性が存在する。攻撃者がこの問題を悪用した場合、機密情報の窃取やシステムの改ざん、サービス停止など、極めて深刻な影響を受ける恐れがある。CVSSスコアは9.0と評価されており、迅速な対応が求められる重大な問題である。
対象ソフト
JetBrains社が提供する統合開発環境（IDE）や開発者向けツールであり、多くのソフトウェア開発組織やエンジニアに広く利用されている。
影響
攻撃が成功した場合、機密情報の漏洩、システムの完全な制御権の奪取、およびサービスの可用性低下を引き起こす可能性がある。
中国の脅威グループVapor Panda、AI搭載フレームワークで攻撃拡大
CrowdStrikeの分析によると、中国を拠点とする国家支援型脅威グループVapor Pandaが、AIを活用したペネトレーションテストフレームワーク「ARTEX」を使用し、世界中の200を超える組織を同時に標的とした大規模なキャンペーンを展開していることが判明しました。外務省や防衛、製薬、通信事業者などが標的とされ、一部の組織では初期侵入や権限昇格などのポスト・エクスプロイト活動が確認されています。
脅威の概要
国家支援型の脅威グループVapor Pandaが、DeepSeekや商用LLMをバックエンドに利用したGo言語ベースのAI搭載ペネトレーションテストフレームワーク「ARTEX」を使用し、世界中で大規模かつ並行的な侵入活動を行っていると報告されています。攻撃者は、プランナーおよびワーカーエージェントを自律的に連携させ、クラウド、コンテナ環境、Active Directory、VPNインフラなどに対して複数の攻撃パスを同時に追求しています。
主要なTTP
AI搭載ペネトレーションテストフレームワーク「ARTEX」を用いた自律的な偵察・脆弱性特定・悪用
未署名のSAMLアサーションとXXE脆弱性を連鎖させたクラウドサービスへのクエリおよび管理者権限への昇格
ウェブシェルの配備、未認証のオーケストレーションサービスの悪用によるコンテナ環境でのルート権限取得
LAPSパスワードの読み取りおよびリソースベース制約付き委任を利用した特権アカウントへのなりすまし
未更新の認証キーを使用した管理者トークンの偽造や、過去のメールから回収したVPN設定等を用いたネットワークへの侵入
パスワードスプレーおよびクレデンシャルスキャンによるアカウント探索
対象となる組織・利用者
政府機関、外交使節団、防衛、製薬、半導体、通信事業者などの高価値な組織や、クラウド・Active Directory・VPNインフラを運用している組織。
推奨される防御アクション
クラウド環境におけるSAML認証やXXE関連の脆弱性を修正し、クラウドインスタンスメタデータサービスへの不正アクセスを防止する
コンテナ環境のオーケストレーションサービスに対する認証設定を強化し、未認証アクセスを遮断する
LAPS（Local Administrator Password Solution）の管理を厳格化し、特権アカウントの委任設定を点検する
長期未更新の認証キーや古いVPN設定・クライアントキーの無効化と定期的なローテーションを実施する
Google、Chromeのセキュリティアップデート公開 - 脆弱性21件を修正
Googleは、ウェブブラウザ「Chrome」のセキュリティアップデートを公開し、クリティカルとされる脆弱性を含む21件の脆弱性に対処しました。WindowsおよびmacOS向けに「バージョン 156.0.8078.80」「同 156.0.8078.79」、Linux向けに「同 156.0.8078.79」がリリースされています。
10/29 報告と同じ Chrome について、別のセキュリティアップデートが公開されました。最新バージョンへの更新状況の確認を推奨します。
脅威の概要
Googleのウェブブラウザ「Chrome」において、MediaStreamのメモリ破損に関するクリティカルな脆弱性（CVE-2026-76024）や、FileSystemのUse After Free脆弱性など合計21件の脆弱性が修正されました。
対象となる組織・利用者
Windows、macOS、Linux向けの「Chrome」を運用している組織。
推奨される防御アクション
WindowsおよびmacOS向けに「Chrome 156.0.8078.80」または「同 156.0.8078.79」を適用する
Linux向けに「Chrome 156.0.8078.79」を適用する
⚠️ [継続注意] Linuxカーネルの脆弱性 CVE-2026-98432 について
📰 過去報告：10/30
LinuxカーネルのIPv4 TCP処理におけるuse-after-freeの脆弱性 CVE-2026-98432 が公表されました。Anthropicによるリモートでのroot権限コマンド実行の実証や、各ディストリビューションにおける影響と修正版の提供状況がまとめられています。
10/30 報告の Linuxカーネルの脆弱性（CVE-2026-98432）について、各ディストリビューションにおける影響と修正版の提供状況がまとめられています。
脅威の概要
LinuxカーネルのIPv4のTCP接続処理（Record RouteやTimestampオプション付きSYNの処理、または要求ソケットの移行処理）において、要求ソケットのIPオプションが解放された後も別のCPUが読み続けうるuse-after-freeの脆弱性 CVE-2026-98432 が存在します。認証不要のネットワーク経由で、情報漏えい、メモリ破壊、カーネル停止を引き起こすおそれがあります。また、Anthropicの研究により、MPTCPリスナーを持つ環境で遠隔からのroot権限コマンド実行に至る実証が公表されています。
主要なTTP
IPv4のRecord RouteまたはTimestampオプション付きのTCP SYNパケットの送信
要求ソケットの処理における複数CPU間の競合を利用したuse-after-freeの誘発
レスポンスにカーネルヒープ内容を載せた情報漏えい（KASLR突破への悪用）
バッファあふれとコールバックポインタの書き換えによるroot権限でのコマンド実行
対象となる組織・利用者
4.4以降のLinuxカーネルを使用しており、接続を受け付けるIPv4のTCPサービスやMPTCPリスナーを運用している組織。
推奨される防御アクション
Linuxカーネルを各ディストリビューションの修正版または上流のstable最新版に更新する
個別コミットのcherry-pickではなく、メンテナンス中の安定版への全体更新を行う
Drupal Commerce Coreに高重大度の認証バイパス脆弱性
Drupalは、Commerce Coreコンポーネントに存在する高重大度の認証バイパス脆弱性「CVE-2026-118539」について、すでに悪用が確認されているとして注意を呼びかけました。影響を受けるバージョン向けに修正版が公開されています。
この記事で触れている脆弱性のうち、CVE-2026-109618 は 10/26・10/28・10/29・10/30、CVE-2026-109619 は 10/27 に報告しています。
脅威の概要
DrupalのCommerce Coreコンポーネントに存在する、アクセス制御の不備に起因する高重大度の認証バイパス脆弱性 CVE-2026-118539 について、悪用が確認されています。特定のルートやエンティティフィールドの保護が不十分であるため、アクセスバイパスが発生し金銭的な影響を及ぼすおそれがあります。
主要なTTP
CVE-2026-118539 を悪用した Commerce Core に対する不正なアクセスバイパス
対象となる組織・利用者
Drupalの Commerce Core コンポーネントを使用している組織。
推奨される防御アクション
バージョン 3.x を使用している場合は Commerce Core 3.3.13 にアップデートする
旧バージョンを使用している場合は Commerce Core 8.x-2.41 にアップデートする
TeamViewerに制御側を攻撃される脆弱性、バージョン15.83で修正
TeamViewerは、リモート接続時に制御される側のホストから接続側のビューアを攻撃できる脆弱性 CVE-2026-111585 を修正しました。悪用されるとアプリケーションのクラッシュや、プラットフォームに応じたコード実行を引き起こす可能性があります。同社はバージョン15.83へのアップデートを呼びかけています。
脅威の概要
TeamViewerのリモート接続セッションにおいて、制御される側のホストから制御する側のビューアを攻撃できる脆弱性 CVE-2026-111585 が存在します。ホスト側から送信される画面サイズの計算処理における整数オーバーフローに起因し、ビューア側のセッションクラッシュや、プラットフォームに応じたコード実行を引き起こすおそれがあります。
主要なTTP
リモート接続セッションにおけるホスト側からの画面サイズ情報の送信
制御されるホストから接続側のビューアに対する画面データの送信によるメモリ領域の超過書き込み
Windows環境における組み込みのエクスプロイト防御のバイパスとコード実行
対象となる組織・利用者
TeamViewerのFull Client、Portable版、Androidアプリを運用している組織。
推奨される防御アクション
TeamViewerをバージョン15.83以降にアップデートする
Meta Ray-Banでの撮影によるパスワード盗み見手法
テルアビブ大学の研究者らが、スマートグラスで撮影された指の動きからスマートフォンのパスワードを解読する手法を論文で発表しました。Meta Ray-Banなどの一見して撮影と気付かれにくい機器を用い、公共の場でパスワード入力を盗み見る脅威が実証されています。
脅威の概要
Meta Ray-Banなどのスマートグラスを装着した攻撃者が、向かいの席からスマートフォンのパスワード入力を撮影し、指の動きや打鍵確率、漏えいパスワードの統計データを組み合わせてパスワードを解読する盗み見手法です。
主要なTTP
Meta Ray-Banなどのスマートグラスによる向かいの席からの指の動きの撮影
画像認識AIと手のエンドポイント追跡モデルによる指先のサブピクセル精度での追跡
シフトキーや配列切り替えキーの位置を手がかりにしたキーボード領域の逆算
各キーの打鍵確率と漏えいパスワード統計データの統合によるパスワード候補の絞り込み
対象となる組織・利用者
公共の場やオフィスの共有スペースなどでスマートフォン等の端末を利用する組織や従業員。
推奨される防御アクション
公共の場や周囲に人がいる環境での端末のロック解除やパスワード入力を避ける
パスワード入力時は手元を完全に覆うなどしてスマートグラス等による撮影を防ぐ
■ 注目事例
🔄 [続報] グッドスマイルカンパニー、不正アクセスで情報流出の可能性（第4報）
📰 過去報告：10/25
グッドスマイルカンパニーは、公式ショップへの不正アクセスにより顧客情報が閲覧されたほか、クレジットカード決済ページに不正なプログラムが設置されていたと発表しました。カード名義人名・番号・有効期限・セキュリティコードや、注文情報などが流出した可能性があります。
10/25 報告分の続報。脆弱性悪用で管理者権限を取得され、決済ページに不正プログラムが設置されたことが判明。カード番号やセキュリティコード等の流出の可能性が公表されました。
攻撃手法（確認済み）
使用していたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたものと認識していると公表されています。
自組織チェックポイント
自組織で使用しているWebシステムや管理システムにおいて、脆弱性が放置されていないか
管理者権限へのアクセス制御や監視が適切に行われているか
松屋のアプリに不正アクセス、約238万件の個人情報が漏えい
松屋フーズホールディングスは、公式アプリの管理システムが不正アクセスを受け、約238万件の個人情報が漏えいしたと発表しました。松弁ネット等の利用者向けに会員IDや氏名、住所などが流出し、クレジットカード情報は保有していないとしています。
攻撃手法（推測）
公式アプリの管理システムや関連サービス（松弁ネット等）の脆弱性、あるいは管理権限を持つアカウントの認証情報が何らかの経由で悪用された可能性があります。（根拠：公式アプリの管理システムから大量の個人情報が漏えいしたと発表されていることから、管理システムや連携APIの脆弱性、または認証情報の不備が背景にあったことが想起されます。）
自組織チェックポイント
自組織で運用する公式アプリやWebサービスの管理システムへのアクセス制御が適切に制限されているか
外部公開しているAPIや管理画面に脆弱性が含まれていないか定期的に検証しているか
天地人、外部サービスの不正アクセスで個人情報流出の可能性
株式会社天地人は、ウェブサイト制作・運営に利用している外部サービス「Studio」のクラウド環境が不正アクセスを受けたことに伴い、同社のウェブサイトのフォームから送信された個人情報が閲覧または取得された可能性があると発表しました。「地方自治体インフラAXサミット2026」の参加申込フォームから送信された氏名や連絡先など279件が対象となる可能性があります。
10/28 報告のマネーフォワードの事例などと同様、外部サービス「Studio」への不正アクセスに起因する公表です。同サービスを利用中の組織は影響の確認を推奨します。
攻撃手法（確認済み）
外部サービス「Studio」の一部機能の脆弱性を悪用され、クラウド環境への不正アクセスが発生した。サービスを利用して構築されたWebサイトのフォーム送信データが外部から取得可能な状態になっていた。
自組織チェックポイント
自組織が利用している外部のWeb制作サービスやクラウドプラットフォームにおいて、脆弱性の修正状況や不正アクセスの有無に関する告知を確認しているか
イープラス、FESアプリ管理システムで個人情報漏えい
株式会社イープラスは、音楽フェス専用アプリの管理システムが第三者からの不正アクセスを受け、前方指定観覧エリアの申込者に関する個人情報3,571件が漏えいしたと公表しました。管理画面への総当たり攻撃により侵入されたもので、クレジットカード情報やチケット販売システムのログインパスワードは含まれていません。
攻撃手法（確認済み）
第三者がフェス専用アプリの管理画面に対して総当たり攻撃を行い、システムへ侵入した。
自組織チェックポイント
外部からアクセス可能な管理画面に対して、総当たり攻撃（ブルートフォース攻撃）を防ぐための仕組み（多要素認証やアクセス元IP制限等）が導入されているか
DIRIGIO、「PICKS」不正アクセスで個人情報漏えい
株式会社DIRIGIOが運営するモバイルオーダーサービス「PICKS」が第三者による不正アクセスを受け、お客様情報を管理するシステムから一部の個人情報が外部に漏えいしたことが判明しました。クレジットカード番号の保持はないため漏えいはなく、不正利用等の二次被害も確認されていません。同社はサービスの停止や脆弱性の修正、認証情報の更新等を行い、10月29日より順次サービスを再開しています。
攻撃手法（確認済み）
第三者がAPIを経由して顧客情報を管理するシステムに不正に侵入し、お客様情報を外部に持ち出した。
自組織チェックポイント
外部に公開しているAPIに対して、不正なアクセスや意図しないデータ取得を防ぐための適切な認証・認可およびアクセス制御が実装されているか
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-10-31 に配信されました。
