セキュリティ脅威情報

OpenAMの遠隔認証エンドポイント（/authservice）において、任意のJavaクラス名を指定するXML要素を受け入れ、サーバー側で検証なしにロードおよびインスタンス化する脆弱性が存在する。デフォルト設定では未認証でアクセス可能であり、攻撃者はリモートからサーバー上で任意のコードを実行することができる。本脆弱性により、影響を受けるサーバーの完全な乗っ取りにつながる危険性がある。

Microsoft Kiotaの `kiota info` コマンドにおいて、信頼できないOpenAPI定義に含まれる `x-ms-kiota-info` 拡張から `dependencyInstallCommand` を読み込み、ツールの推奨インストールコマンドとしてそのまま表示・実行してしまう脆弱性が存在する。攻撃者によって細工されたOpenAPI定義を使用した場合、開発者が推奨コマンドを手動で実行するか、VS Code拡張機能の自動処理を介して任意のシェルコマンドが実行され、リモートコード実行（RCE）につながるおそれがある。

serovalの `seroval.fromJSON()` メソッドにおいて、型混同の脆弱性が存在する。攻撃者によって制御されたJSON入力を処理する際、Promiseの制御ノードが内部のプロミスリゾルバレコードを適切に検証しないまま、一般的なデシリアライゼーション参照テーブルの値に対して処理を実行してしまう。プラグインが有効な状態で信頼できないJSONをデシリアライズするアプリケーションにおいて、意図しない副作用を引き起こす可能性がある。下流のサーバーフレームワークと組み合わせて使用された場合、リモートコード実行やサーバーの侵害につながるおそれがある。

RubyのJSONパーサー「Oj」に含まれる2つのメモリ破壊の脆弱性と、GitLabのノートブックレンダラーの処理を組み合わせることで、プロジェクトへプッシュ可能な認証済みユーザーがサーバー上で任意のコードを実行できる問題です。GitLab側は以前パッチを公開していましたが、通常のバグ修正として扱われていました。

Java向けJSONライブラリ「Fastjson 1.2.68から1.2.83」に、Spring Boot環境下で悪用可能なリモートコード実行（RCE）の脆弱性（CVE-2026-16723）が確認されました。AutoTypeの有効化やクラスパスガジェットを必要とせず、認証なしでコードが実行される恐れがあります。

ランサムウェアグループ「Cl0p」の関連組織が、インターネットに露出しているPTC WindchillおよびFlexPLMの脆弱性を悪用し、認証なしのリモートコード実行（RCE）とJSPウェブシェルの配置を行っていると報じられています。

攻撃者は、被害者のログイン情報やOTP（ワンタイムパスワード）をリアルタイムで中継し、正規のサービスポータルへ同時に認証を試みることで、セッション中にアカウントを乗っ取る高度なフィッシング手法（InsureOTP Kitなどを使用）を展開しています。従来の蓄積型から即時型への移行が見られます。

不正広告（マルバタイジング）を通じて、被害者のブラウザ上で実行ファイルを動的に組み立てさせる攻撃手法。単一の不正ファイルをダウンロードさせるのではなく、正規のBunランタイム環境や設定情報、疑似乱数ストリームをブラウザ側で組み合わせることで、従来のハッシュ値ベースの検知を回避します。

株式会社ムラウチドットコムは、同社が運用する一部システムが第三者からの不正アクセスを受け、顧客の個人情報が漏洩した痕跡が確認されたと公表しました。決済情報やID・パスワードは別システムで管理しており影響はないとしています。

ニデックが運営するWebサイトに対して、第三者による不正アクセスの痕跡が確認されました。同社は外部専門機関と協力して影響範囲や情報漏洩の有無を調査中であり、一部の会員情報にアクセスされた可能性があることを確認しています。

ジェイアール東海髙島屋は、アルバイトスタッフ管理システムに対する不正アクセスについて追加調査結果を公表しました。詳細調査により影響範囲が7,582人分に拡大した一方、現時点では個人情報の外部流出を示す痕跡は確認されていないとしています。

ナカバヤシは、運営する製品紹介サイト「REVEX」に対する不正アクセス及び改ざんに関する第2報を公開しました。当初は個人情報を保有していないとしていましたが、その後の調査で問い合わせフォームに寄せられた個人情報約3,600件が保管されていたことが判明し、漏えいの可能性を否定できないとしています。

株式会社CRCCメディア（くーみんテレビ＆はっぴとすビジョン）は、利用しているJCOMおよびKDDIのメールシステムに対する不正アクセスにより、お客様のメールアドレスが第三者に取得されたと公表しました。パスワード等の漏洩は確認されていないとしています。