セキュリティ脅威情報

Metabaseに存在するSQLインジェクションの脆弱性（CVE-2026-72898）です。認証なしで不正なSQLクエリを実行されることで、遠隔から管理者権限を奪取されるおそれがあり、すでにゼロデイ攻撃やPoCの存在が確認されています。

NetScaler ADCおよびNetScaler Gatewayにおけるヒープベースのバッファオーバーフローに起因するリモートコード実行の脆弱性です。SAML SPまたはIdPとして構成されている環境において、認証なしで悪用されるおそれがあります。

「Ransom Busters」と呼ばれる脅威アクターが、ランサムウェア被害を受けた企業に対し、身代金の支払いや窃盗データの削除を持ちかけて2万〜6万ドルを要求する手口が確認されています。自らも犯罪グループの一味である可能性が高く、金銭目的の新たな二重脅迫の手口として警戒されています。

Microsoft Copilot Personalにおける「CoSnitch」脆弱性により、攻撃者が用意した特殊なリンクを踏ませることで、ユーザー操作なしにプロンプトが自動実行され、接続済みアプリ（メールやGoogle Driveなど）のデータが外部へ流出する恐れがあります。また、ウェブページの要約機能を通じたメモリ書き込みにより、永続的な不正指示の混入も可能でした。

Windows DNSにおいて複数の脆弱性が新たに公開されました。多数の脆弱性識別子が提示されており、それぞれ修正プログラムが用意されています。

Google Chromeにおいて、重要度クリティカルのバッファオーバーフロー脆弱性2件を含む計15件の脆弱性が修正されました。

オープンソースのAIプラットフォーム「MLflow」に存在する認証不要のSSRF脆弱性（CVE-2026-64849）を悪用し、クラウドのメタデータエンドポイントにアクセスして機密情報や認証情報を窃取する攻撃が観測されています。

new-api のユーザー一覧取得およびユーザー詳細検索 API において、機密情報であるアクセストークン（access_token）が JSON レスポンスに含まれてしまう脆弱性が発見された。この問題は、API がデータベースから取得したユーザーモデルをシリアライズする際、パスワードフィールドのみを除外し、アクセストークンを除外していなかったことに起因する。認証済みの管理者権限を持つユーザーがこの API を呼び出すことで、root ユーザーを含む全ユーザーのアクセストークンを取得できる。取得したトークンを用いることで、攻撃者は root ユーザーになりすまし、システムの完全な制御権を奪取する可能性がある。CVSS スコアは 9.1 であり、管理者の役割境界をバイパスする極めて重大な脆弱性である。

オートニクスは、利用している外部のメール配信システム「める配くん」（運営：株式会社ディライトフル）において外部からの不正アクセスが発生し、システムに保管されていた顧客の個人情報が流出した可能性があると公表しました。システム側の脆弱性を突いた攻撃とされ、現在はアクセス停止等の対応が講じられています。

生命保険協会が運営する「生命保険契約照会システム」において、外部から特定の操作を行うことで利用者の一部情報が閲覧可能な状態になっていたことが判明しました。外部からの指摘で発覚し、約37,000件の個人情報が対象となる可能性があります。

株式会社晴れる屋は、運営するポケモンカードゲーム専門店「晴れる屋2」の抽選販売において設定の不備があったと発表しました。想定外の操作により、応募した顧客の個人情報が一時的に外部から閲覧可能な状態になっていたとしています。

医療法人豊和会新札幌豊和会病院は、電子カルテ用パソコンの廃棄処分を委託した産業廃棄物業者においてハードディスクが適切に破砕されず、ネットオークションを通じて外部に流出したと発表しました。患者の氏名や診療情報などの要配慮個人情報が含まれていたとして、対象者へ個別の通知と謝罪を行っています。