2026-08-23（日）配信
セキュリティ脅威情報
■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
🔄 [続報] Rustパッケージ改ざん、ビルド時実行の脅威
📰 過去報告：8/21
Rustのパッケージレジストリcrates.ioで、広く使われる3つのクレートが改ざんされ、依存関係に追加されたタイポスクワットパッケージのビルドスクリプトを通じて、ビルドしただけでペイロードが実行される事案が発生しました。Rust Security Response Teamや複数のセキュリティ企業が手口や影響範囲を公表しています。
8/21 報告のcrates.ioにおけるパッケージ改ざん事案について、手口や影響範囲の詳細が公表されました。
なぜご自身の組織で確認すべきかRustのクレート改ざんによるサプライチェーン攻撃が確認されており、依存関係やビルド環境の緊急点検が必要なため。
■ 脅威動向
KEVTrueConf Serverの認証不備の脆弱性 (CVE-2026-72529)
📰 過去報告：8/21
TrueConf Serverに重要機能に対する認証の欠如（CWE-306）の脆弱性が存在する。ネットワーク経由でポート4307/TCPにアクセス可能な遠隔の未認証攻撃者が、任意のスクリプトを実行するおそれがある。CISAは本脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加し、2026年08月23日までの対応を推奨している。
8/21 報告と同じ TrueConf Server について、別の脆弱性が公表されました。同製品を利用中の方は対応状況をご確認ください。
対象ソフト
TrueConf Serverは、企業や組織内でビデオ会議やセキュアなコミュニケーション環境を構築するために使用されるサーバー製品である。
影響
ネットワーク経由で接続可能な攻撃者によって任意のスクリプトが実行され、システムが不正に制御されるおそれがある。
対応策
ベンダーの指示に従って緩和策を適用すること。BOD 26-04のガイダンスおよびCISAのフォレンジックトリアージ要件に準拠し、緩和策が利用できない場合は製品の使用を中止すること。
脆弱性JSONata における巧妙に細工された式による任意コード実行の脆弱性
📰 過去報告：8/22
JSONata において、巧妙に細工された式を評価することで、任意のコードが実行可能となる脆弱性が発見された。原因は environment.lookup における hasOwnProperty チェックを回避できる不備にあり、攻撃者はプロトタイプ汚染のような手法を組み合わせてセキュリティ制限を突破できる。アドバイザリには child_process を介してシェルコマンドを実行する概念実証コード（PoC）も公開されており、攻撃の実現性が極めて高い。本脆弱性はバージョン 2.2.1 および 1.8.8 で修正された。
8/22 報告と同じ JSONata について、別の任意コード実行の脆弱性が公表されました。同ライブラリを利用中の方はバージョン確認とアップデートをご検討ください。
対象ソフト
JSONata は JSON データの照会や変換を行うための軽量なクエリ・変換言語である。Node.js やブラウザなどの JavaScript 環境において、複雑なデータ構造を効率的に操作するライブラリとして広く利用されている。
影響
攻撃者が細工した JSONata 式をアプリケーションに処理させることで、サーバー上での任意のコマンド実行や、システム内の機密情報の奪取、プロセスの完全な制御を許す可能性がある。
対応策
jsonata を 2.2.1 または 1.8.8 以降にアップグレードすること。
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-08-23 に配信されました。
