Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-08-09

2026-08-09（日）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
⚠️ [継続注意] Progress Kemp LoadMasterの脆弱性、CISA KEVに追加
📰 過去報告：8/8
米CISAは、Progress Kemp LoadMasterに影響を与える深刻なコマンドインジェクション脆弱性（CVE-2026-8037）を悪用が確認された脆弱性カタログ（KEV）に追加しました。未認証の攻撃者が任意のコマンドを実行できる危険性があり、活発なスキャンや攻撃試行が観測されています。
8/8 報告の同一 CVE（CVE-2026-8037）について、CISA KEVに追加され活発な攻撃試行が観測されています。未対応の環境は早急に対策を実施してください。
なぜご自身の組織で確認すべきかCISA KEV登録済みで、広く使われるロードバランサーにおいて未認証リモートコード実行の脆弱性が実環境で悪用されているため。
出典：https://thehackernews.com/2026/08/progress-kemp-loadmaster-flaw-hits-cisa.html
⚠️ [継続注意] N-able、N-centralの脆弱性悪用でホットフィックス2を公開
📰 過去報告：8/4
N-able社は、RMM製品「N-central」に確認された脆弱性（CVE-2026-18577）を標的とした悪用事案に対応するため、追加のハードニング措置を含むホットフィックス2を公開しました。攻撃者は認証バイパスを経て管理システムへ侵入し、管理対象デバイスへのアクセスやCloudflare Tunnelを用いた永続化を行っていることが判明しています。
8/4報告の同一CVE（CVE-2026-18577）について、実際の悪用を受け追加対応用のホットフィックス2が公開されました。利用環境では早急な適用を推奨します。
なぜご自身の組織で確認すべきかCISA KEV登録済みのRMMツールにおける認証バイパス脆弱性であり、管理者権限奪取や永続化など実環境での悪用が進行しているため。
出典：https://thehackernews.com/2026/08/n-central-attackers-reach-managed.html
Metabase、認証不要で管理権限を奪うゼロデイ脆弱性を悪用被害
📰 過去報告：8/3
ビジネスインテリジェンスツール「Metabase」において、認証なしで管理者アクセスを許可するゼロデイ脆弱性（CVSSスコア10.0）の悪用が確認されました。攻撃者は接続されたデータベースの認証情報窃取やデータエクスポートが可能となっており、メーカーは即時のパッチ適用とワークアラウンドを呼びかけています。
8/3 報告と同じ Metabase について、新たなゼロデイ脆弱性の悪用が確認されました。同ツールを利用中の環境では対応状況の確認を推奨します。
なぜご自身の組織で確認すべきかBIツールにおけるCVSS 10.0の未認証ゼロデイ脆弱性であり、実環境での悪用および管理者権限の不正奪取が確認されているため。
出典：https://thehackernews.com/2026/08/metabase-zero-day-exploited-in-wild.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
脆弱性crypto-jsにおける暗号学的乱数生成の不十分なエントロピーの脆弱性
crypto-jsの特定のバージョンにおいて、暗号学的に安全ではない乱数生成器（PRNG）が使用されている問題が存在する。これにより、生成される乱数のエントロピーが著しく低下し、攻撃者が探索空間を列挙して秘密鍵やリカバリーフレーズを復元できる危険性がある。すでに暗号資産のウォレットアプリ等で悪用され、多額の資産が盗難に遭う実被害が報告されているため非常に重大である。
対象ソフト
JavaScriptで暗号化アルゴリズムやハッシュ関数を提供する広く利用されているライブラリであり、Webアプリケーションや暗号資産関連のウォレット等で広く採用されている。
影響
攻撃者は削減された探索空間を総当たり等で列挙することにより、脆弱な関数を用いて生成された秘密鍵や復元フレーズを特定し、暗号資産をはじめとする機密情報を窃取することが可能となる。
対応策
crypto-jsをバージョン4.0.0以降にアップグレードすること。また、脆弱な関数によってすでに生成された長期的な秘密情報は危険にさらされているため、直ちに新しい安全な方法で再生成しローテーションを行うこと。
出典：https://github.com/advisories/GHSA-rg76-677x-56q9
脆弱性Apache NiFiにおける認証の欠如に関する脆弱性
Apache Software Foundationが提供するApache NiFiにおいて、パラメータコンテキスト更新用REST APIメソッドに関する認証・認可の欠如に関する脆弱性が存在する。Apache NiFi 1.10.0から2.10.0までのバージョンでは、パラメータ値を参照するコンポーネントに対して認可チェックが強制されない。この問題により、パラメータコンテキストの変更権限を持つ認証済みユーザーが、参照コンポーネントに対する権限を所持していなくても、それらのコンポーネントに影響を与えるパラメータ値を変更することが可能となる。パラメータ値に実行可能なスクリプトコンテンツが含まれる環境では、パラメータの更新によって自動コンポーネント検証中にコードが実行されるおそれがある。
対象ソフト
Apache NiFiは、システム間のデータフローを自動化および管理するためのデータ統合・ストリーミング処理プラットフォームであり、企業のデータパイプライン構築やビッグデータ連携の現場で広く利用されている。
影響
攻撃者や権限を持つユーザーが、本来アクセス権限を持たない参照コンポーネントに影響を与えるパラメータ値を不正に変更し、パラメータ値に含まれるスクリプト等のコードを実行させることで、システム上で任意のコードが実行される可能性がある。
対応策
開発者が提供する情報をもとに、Apache NiFiをバージョン 2.11.0 以降へアップグレードすること。
出典：https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026970.html
新手法のCSS攻撃、主要Webメールの防御を突破し認証情報等を窃取
HTMLメール内の悪意あるCSSやサニタイズ処理の不備を悪用し、メッセージの境界を越えてWebmailインターフェースや接続されたAIツールを操作する新手法です。UIの偽装によるパスワードやトークンの窃取、クリップボードやクリックを介したデータ流出、AIエージェントへの間接的プロンプトインジェクションなどを引き起こします。
主要なTTP
サニタイズ処理とブラウザ・アプリケーション側での解釈の不一致を突いたCSSインジェクション
偽装されたフォームコントロール（セレクトメニューやラベル等）を用いたログイン画面の偽装と認証情報の窃取
CSSを用いたクリックベースのデータ流出（入力されたトークンや数値の外部送信）
メールを読み取るAIツール（Claude Cowork等）に対する間接的プロンプトインジェクションとデータ不正処理
対象となる組織・利用者
Webメールサービスや、AIアシスタント・ブラウザ拡張機能とメールシステムを連携させて業務を行っている組織およびユーザー。
推奨される防御アクション
WebメールのHTMLメール表示におけるサンドボックス化されたiframeによる厳格な分離
CSSの検証における厳格な文字種ホワイトリストの適用と危険なセレクタ・カスタム属性の制限
メール本文を直接処理・閲覧するAIエージェントや連携ツールに対するセキュリティ設定の見直し
従業員に対する不審なメールのリンクやフォーム入力、コピペ操作に関する注意喚起
出典：https://thehackernews.com/2026/08/new-css-attacks-can-break-webmail.html
■ 注目事例
フランスベッド、EC委託先での不正アクセス公表
📰 過去報告：8/6
フランスベッド株式会社は、同社がオンラインショップの運営に利用しているECサイト構築サービス「ショップサーブ」のサーバーが外部から不正アクセスを受けたと公表しました。これにより、運営するECサイトの利用者の個人情報が漏洩した可能性があります。原因や影響範囲の調査はサービス運営元の株式会社Eストアーにて進められています。
8/6 報告の他社事例と同様、EC構築サービス「ショップサーブ」の不正アクセスに起因する情報漏洩の公表が続いています。同サービス利用事業者は注意が必要です。
攻撃手法（確認済み）
ECサイト構築サービス「ショップサーブ」のサーバーが外部から不正アクセスを受けたことによるもの。詳細な侵入経路や手口については、サービス運営元のEストアー社において調査中とされています。
攻撃手法（推測）
ECサイト構築プラットフォームやWebアプリケーションに存在する既知・未公開の脆弱性が悪用された可能性や、管理画面等の認証不備を突かれた可能性があります。
自組織チェックポイント
自社で利用しているクラウドサービスや委託先システムのセキュリティ対策状況を確認しているか
委託先でのインシデント発生時に自社顧客への影響を迅速に把握する体制があるか
インシデントに便乗したフィッシングメール等に対する従業員や顧客への注意喚起の準備があるか
出典：https://www.francebed.co.jp/info_medical/detail.php?id=826
🔄 [続報] イノベーション、GitHub不正アクセスで確定報公表
📰 過去報告：8/6
株式会社イノベーションは、ソフトウェア開発に利用するGitHubへの不正アクセスに関する詳細調査の完了と確定報を公表しました。プログラムの設定ファイル内に直接記載されていた認証情報が第三者に不正取得されたことが原因で、GitHub上のリポジトリに保存されていた氏名、メールアドレスなど約6万2千人分の個人データが流出したことを確認しています。
8/6 報告の件について詳細調査が完了。設定ファイル内の認証情報直接記載が原因と判明し、約6万2千人分の個人データ流出が確定したと発表されました。
攻撃手法（確認済み）
プログラムの設定ファイル内に直接記載されていた外部サービス（GitHub）へのアクセス用認証情報が第三者に不正取得され、悪用されました。
自組織チェックポイント
ソースコードや設定ファイル内にアクセストークンやAPIキーなどの認証情報がハードコードされていないか
秘匿情報の管理に専用のシークレット管理ツール（環境変数や秘密情報管理サービス）を利用しているか
ソースコード管理サービス（GitHub等）へのアップロード前に自動で機密情報をスキャン・検出する仕組み（Secret Scanning等）が導入されているか
テストや開発の過程で実際の個人データや顧客情報がリポジトリ内に誤って混入しない運用ルールとチェック体制が整備されているか
出典：https://www.innovation.co.jp/2026/08/github%E3%81%B8%E3%81%AE%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%AE%E9%96%A2%E3%81%99%E3%82%8B%E8%A9%B3%E7%B4%B0%E8%AA%BF%E6%9F%BB%E3%81%AE%E5%AE%8C%E4%BA%86%E3%81%8A%E3%82%88/

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-08-09 に配信されました。