Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-07-31

2026-07-31（金）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
脆弱性Ruby on RailsのActive Storageにおける任意ファイル読み込みの脆弱性
Ruby on RailsのActive Storageにおいて、画像バリアント処理の不備に起因する任意のファイル読み込みおよびリモートコード実行の脆弱性が存在する。libvipsを画像処理プロセッサとして使用し、信頼できないユーザーからの画像アップロードを受け付けるデフォルト設定の環境において、認証されていない攻撃者が細工したファイルをアップロードしてバリアント生成を引き起こすことで、環境変数や機密情報を含むサーバー上の任意のファイルを読み取る恐れがある。これにより、秘匿情報の漏洩やリモートコード実行へ発展する危険性がある。
なぜご自身の組織で確認すべきか広く利用されているRuby on RailsのActive Storageにおける未認証リモートコード実行につながるCritical脆弱性（CVSS 9.5）であり、速やかなアップデート対応が必要なため。
攻撃手法（確認済み）
攻撃者がサーバー上の任意のファイルを読み取ることが可能となり、secret_key_baseや外部サービスの認証情報、データベース資格情報などの機密情報が露出することで、結果としてリモートコード実行や他システムへの横展開へとエスカレートする危険性がある。
自組織チェックポイント
activestorageを修正済みバージョン（7.2.3.2、8.0.5.1、8.1.3.1以降）にアップグレードすること。また、libvipsを8.13以上にアップデートし、影響を受けた可能性がある環境変数やクレデンシャル情報を直ちに変更・失効させる必要がある。
出典：https://github.com/advisories/GHSA-xr9x-r78c-5hrm

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
脆弱性prebid-serverにおけるサーバーサイドリクエスト偽造（SSRF）の脆弱性
Prebid Serverの一部の入札者アダプターにおいて、ユーザーから提供されたパラメータが外部向けのリクエストURLに適切に検証されないまま挿入される問題が存在する。この脆弱性を悪用した攻撃者は、細工した入札リクエストパラメータを送信することで、サーバーに意図しない宛先へのHTTPリクエストを強制させ、内部ネットワークサービスへの不正アクセスや機密性の高いサーバーエンドポイントの情報の暴露を引き起こすおそれがある。CVSSスコアは10.0と極めて重大である。
対象ソフト
Prebid Serverは、ヘッダー入札（Header Bidding）を管理・処理するためのオープンソースの広告オークションサーバーであり、広告技術関連の企業やメディアサイト等で広く利用されている。
影響
攻撃成功時に、内部ネットワークサービスへの不正アクセス、機密データの抽出、およびサーバーエンドポイントの侵害が発生する可能性がある。
対応策
v4など修正済みのバージョン（v4.4.0以降）へアップグレードすること。アップデートが不可能な場合は、影響を受ける入札者アダプターを無効化することが推奨される。
出典：https://github.com/advisories/GHSA-4p3g-4hcj-wpvx
脆弱性Flyto2 Core における任意のファイル書き込みに関する脆弱性
Flyto2 Core の `image.download` およびその他のファイル書き込み関連モジュールにおいて、パスの検証不備に起因する任意のファイル書き込みの脆弱性が存在する。本来ファイル操作は指定されたサンドイッチディレクトリ内に制限されるべきであるが、攻撃者が呼び出し元パラメータとして出力先ディレクトリやパスを任意に制御可能なため、サンドボックスの外側の任意のパスに対して任意のコンテンツを書き込むことが可能となる。
対象ソフト
Flyto2 Core は、LLM（AIエージェント）からの指示やAPIリクエストに応じてファイル操作や画像処理などのモジュールを実行するためのフレームワークである。
影響
攻撃者によってサンドボックス外の任意のパスに任意のファイルが書き込まれることで、設定ファイルの上書き、cron ジョブの配置、SSH 鍵の追加、またはプログラムの改ざん等を通じて、システム上で任意のコード実行や乗っ取りにつながるおそれがある。
対応策
影響を受けるパッケージをバージョン 2.26.7 以降にアップデートするか、すべてのファイル書き込み処理において共通のパス検証関数（validate_path_with_env_config）を使用するように修正を適用すること。
出典：https://github.com/advisories/GHSA-2956-977x-2w3r
脆弱性AWS Amplify Studio におけるコードインジェクションの脆弱性
AWS Amplify Studio のコード生成パッケージである amplify-codegen-ui-react において、入力値検証の不備に起因する脆弱性が存在する。コンポーネントスキーマのプロパティバインド処理において、式変換前の検証が行われないため、認証された攻撃者が不正なコンポーネントスキーマを作成・修正して送信することで、レンダリングおよびビルドの過程で任意の JavaScript コードを実行する恐れがある。
対象ソフト
AWS Amplify Studio は、AWS 上でのフロントエンド開発やコンポーネントのプレビュー、CLI によるコード生成を行うための開発者向けツールおよびパッケージである。
影響
認証された攻撃者によってコンポーネントのレンダリングおよびビルドプロセス中に任意の JavaScript コードが実行され、システム上で不正な操作が行われる可能性がある。
対応策
影響を受けるパッケージをバージョン 2.20.4 以降にアップグレードすること。
出典：https://github.com/advisories/GHSA-hf3j-86p7-mfw8
脆弱性Oracle Identity Manager Connectorにおける権限管理の脆弱性
📰 過去報告：7/29
Oracle Fusion MiddlewareのOracle Identity Manager ConnectorにおけるPeopleSoft Applicationsコンポーネントに、権限管理に関する脆弱性が存在する。ネットワーク経由でHTTPによる認証を必要としない攻撃者によって悪用される可能性があり、製品の制御権を奪われるおそれがある。CVSS v3.1のベーススコアは9.8と評価されており、機密性、完全性、可用性に深刻な影響を及ぼす極めて重大な脆弱性である。
7/29 報告のOracle製品に関する脆弱性に続き、別のOracle製品でもCVSS 9.8の深刻な脆弱性が公表されました。Oracle製品を運用している組織は影響確認を推奨します。
対象ソフト
Oracle Identity Manager Connectorは、OracleのID管理製品と外部の企業向けアプリケーションやディレクトリサービスを連携させるための統合コネクタである。
影響
攻撃者が悪用することに成功した場合、Oracle Identity Manager Connectorの制御権が完全に奪われ、システム内部の機密情報やデータの改ざん、サービス停止などの深刻な被害が発生する恐れがある。
対応策
ベンダーから提供される情報やJVN DBを参照し、適切なパッチの適用や最新バージョンへのアップデートを実施すること。
出典：https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025806.html
■ 注目事例
サカタのタネ、ブラジル子会社でサイバー攻撃被害
サカタのタネのブラジル連結子会社であるSakata Seed Sudamerica LTDA.のサーバーがサイバー攻撃を受けました。不正アクセスにより、一部の情報が閲覧され漏えいした可能性があると報じられています。現時点で業務停止などの大きな影響は確認されていません。
攻撃手法（確認済み）
公表文ではサーバーへの不正アクセス検知と記載されていますが、具体的な侵入経路や手口は調査中とされており不明です。
攻撃手法（推測）
国内外の拠点やグループ会社を標的とする場合、リモートアクセス用公開サーバーやVPN機器の脆弱性悪用、あるいは認証情報の不正利用を起点とした侵入の可能性があります。
自組織チェックポイント
海外拠点やグループ会社を含めたネットワーク全体の資産管理と監視が行われているか
外部からアクセス可能な公開サーバーやVPN機器の脆弱性対策が徹底されているか
多要素認証（MFA）が全社的なリモートアクセスに適用されているか
内部ネットワークへの不正侵入を早期に検知できるログ監視体制が整っているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/31/55833.html
K9ナチュラルジャパンに不正アクセス、顧客情報流出
📰 過去報告：7/30
株式会社K9ナチュラルジャパンは、オンラインサービスを管理するサーバが外部からの不正アクセスを受け、約6万件の顧客および取引先の個人情報が流出したと発表しました。警察からの連絡により発覚したもので、同社ではアクセス遮断や専門機関による調査を進めています。
7/30 報告の事例同様、外部からの不正アクセスによる個人情報流出が発生しています。各種Webサービスや管理サーバにおけるアクセス制御や監視体制の再確認が推奨されます。
攻撃手法（確認済み）
公表文ではオンラインサービスを管理するサーバへの外部からの不正アクセスとのみ記載されており、具体的な侵入経路や手口は不明です。
攻撃手法（推測）
ウェブアプリケーションの脆弱性（SQLインジェクションやOSコマンドインジェクション等）の悪用、あるいは管理権限を持つアカウントの認証情報漏えいやブルートフォース攻撃による不正ログインの可能性があります。
自組織チェックポイント
自社で運用する公開Webサーバや管理サーバに既知の脆弱性が残っていないか
サーバへのアクセス制御（IP制限やMFAの導入）が適切に行われているか
管理アカウントのパスワード管理が強固に行われているか
サーバのアクセスログやネットワーク監視が継続的に行われているか
出典：https://scan.netsecurity.ne.jp/article/2026/07/31/55835.html
シントワールド通販サイトに不正アクセス、機能制限等
📰 過去報告：7/27
シントワールド株式会社は、同社が運営する通販サイトにおいて第三者からの不正アクセスの可能性がある事象を確認したと発表しました。現在、外部専門機関によるフォレンジック調査を実施して事実関係と影響範囲の特定を進めており、安全確保の観点から一部機能の制限等を行っています。
7/27 報告の他社事例と同様、ECサイトを標的とした不正アクセスが発生しています。自社ECサイトの脆弱性管理やアクセス監視体制の再確認を推奨します。
攻撃手法（確認済み）
公表文では第三者からの不正アクセスの可能性がある事象を確認したとのみ記載されており、具体的な侵入経路や手口は非公開です。
攻撃手法（推測）
ECサイトを標的とした不正アクセスであることから、ECプラットフォームやWebアプリケーションの既知の脆弱性を突いた攻撃、または認証情報のリスト型攻撃などが悪用された可能性があります。
自組織チェックポイント
自社で運用するECサイトやWebアプリケーションに既知の脆弱性が残っていないか
Webアプリケーションファイアウォール（WAF）等の防御策が適切に有効化されているか
顧客アカウントに対するパスワード管理やブルートフォース攻撃対策が講じられているか
ログ監視により不審なアクセスや異常なトラフィックが検知できる体制にあるか
出典：https://scan.netsecurity.ne.jp/article/2026/07/31/55832.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-07-31 に配信されました。