セキュリティ脅威情報

Adobe Campaign Classic（ACC）において、SQLコマンドで使用される特別な要素が適切に無力化されない不備に起因するSQLインジェクションの脆弱性が存在する。遠隔の攻撃者はネットワーク経由でユーザーの操作を必要とせずに対象アプリケーションへアクセスし、任意のSQLコマンドを実行することが可能となる。本脆弱性はCVSS v3.0基本値が10.0（Critical）と極めて深刻であり、アプリケーションに対する特権の昇格や制御権の奪取につながるおそれがある。

Oracle Database ServerのOracle Net Servicesコンポーネントにおいて、重要な機能に対する認証の欠如に関する脆弱性が存在する。影響を受けるサポート対象バージョンは19.3から19.31、21.3から21.22、および23.4.0から23.26.2である。容易に悪用可能な脆弱性であり、認証されていない攻撃者がネットワーク経由でOracle Netを介してアクセスを行い、Oracle Net Servicesを侵害することが可能である。CVSS v3.1の基本スコアは9.1（Critical）と評価されている。

PostCSSのバージョン8.5.11およびそれ以前には、ソースマップの処理に関する不備に起因する複数の脆弱性が存在する。PreviousMapがprocess()に渡された任意のCSS文字列からコメントを解析し、適切な検証を行わずにローカルファイルシステムを参照してしまう。攻撃者がCSS入力を制御できる場合、ホストプロセスがNodeで読み取り可能な任意のファイルを読み込み、その内容の一部をエラーメッセージ経由で漏洩させることが可能である。また、ファイルの存在確認オラクルや大きなファイルをターゲットにしたサービス運用妨害（DoS）攻撃にも悪用されるおそれがある。本件はバージョン8.5.12にて修正されている。

Best Practical Solutionsが提供するRequest Trackerには、REST 2.0 APIに情報漏洩および権限昇格の脆弱性が存在する。管理者ではない権限を持つユーザーが、他のユーザーや管理者権限を持つユーザーの認証情報を不正に取得し、フィードエンドポイント経由で対象ユーザーとしてデータを読み取ることが可能である。また、同一リクエストにより認証情報が露出すると認証情報がローテーションされ、インスタンス全体で以前に配布されたフィードURLが無効化される影響が生じる。この問題はバージョン5.0.10および6.0.3にて修正されている。

クアルコムのAR8035 ファームウェアおよびその他の複数製品において、スタックベースのバッファオーバーフローの脆弱性が存在する。無効な長さの値を持つ特定のNANサービスディスカバリーフレームにおいて、デバイス機能拡張属性の処理時にメモリが破損する問題が発生する。攻撃者によって、機密情報の窃取やシステムの乗っ取り、サービス運用妨害などの深刻な影響を受ける危険性があるため、早急な対策が必要とされる。

Linux 用 Google Chrome の Aura コンポーネントにおいて、解放済みメモリの使用（Use-after-free）に関する脆弱性が存在する。リモートの攻撃者が、ユーザーに細工された HTML ページを閲覧させることで、ブラウザのサンドボックス機能を脱出してシステム上で任意のコードを実行するなどの不正な操作を行うおそれがある。Chromium のセキュリティ評価では「重大」に分類されている。

開発者向けオープンソースエコシステムやIDE拡張機能（VS Codeなど）を標的とした不正な拡張機能・パッケージのキャンペーン事例です。難読化や遅延実行、初期のクリーンなバージョンによる信頼獲得手法を用いて、マーケットプレイスの審査や静的スキャンを回避し、認証情報や暗号資産ウォレットの窃取を行います。

脅威グループ「Head Mare」がTrueConfサーバーの脆弱性チェーン（KLCERT-26-057およびKLCERT-26-058）を悪用し、権限昇格やウェブシェル設置を経て、クライアントインストーラーを改ざんしてマルウェアを配布する手法です。

暗号アルゴリズムそのものを破るのではなく、OSやブラウザ、クラウド認証基盤（Microsoft Entra IDやGoogle Password Manager）の実装上の不備を突くことで、フィッシング耐性のあるパスキーやWindows HelloによるMFA保護を回避・悪用する新しい攻撃手法が複数公開されました。

国家支援型の攻撃グループが、公開のクラウド型AIサービスに依存せず、独自のオフラインサーバー環境にローカルLLM（Ollama、GPT4All、Msty）やRAG（Retrieval-Augmented Generation）ツール、開発ライブラリを組み込んで攻撃ワークフローを効率化しようとしている動向です。

ハリマ化成グループは、子会社が利用するECプラットフォームに対する不正アクセス事案に関し、利用客の個人情報およびクレジットカード情報の漏洩が確認されたと発表しました。これは利用している外部プラットフォームのシステムに対する不正アクセスの影響によるものです。

RIZAP株式会社は、運営する「APORITOオンラインストア」において、第三者による不正スクリプトの設置を確認したと発表しました。これにより、顧客の個人情報およびクレジットカード情報が外部へ流出した可能性があります。同社はサイトを一時閉鎖し、対象者に個別連絡を行うとともに、調査会社および個人情報保護委員会等へ対応を進めています。

京都タワーホテルアネックスは、外部の宿泊予約情報管理システムにおいて同ホテル管理のアカウントが第三者による不正アクセスを受けた可能性があると公表しました。これに伴い、同システムを経由して予約した顧客に対して、フィッシングサイトへ誘導する不審なメッセージが配信されたことが確認されています。

ギグワークス株式会社は、2025年12月に発生したサーバへの不正アクセスに関して第3報を公開しました。外部調査の結果、個人情報の外部持ち出しや不正利用は確認されていないものの、扶養控除申請データベースサーバ内の個人情報が短時間閲覧された可能性を完全に否定できないとして、対象者への連絡を実施する方針を示しています。