Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-08-29

2026-08-29（土）配信

セキュリティ脅威情報

■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
ServiceNow、CVSS 10.0の致命的な脆弱性4件を修正
ServiceNowは、AIプラットフォーム等に影響する4件のセキュリティ脆弱性を修正するパッチを公開しました。このうち3件はCVSS基本値10.0の最高評価であり、特定の条件下では認証なしの攻撃者による悪用が可能です。
なぜご自身の組織で確認すべきかServiceNowにおいて未認証で悪用可能なCVSS 10.0の致命的脆弱性が修正されたため、セルフホスト等の環境で速やかなパッチ適用が必要です。
出典：https://thehackernews.com/2026/08/three-cvss-100-servicenow-flaws-could-let.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 脅威動向
Adobe、Campaign Classic等7製品の脆弱性修正アドバイザリ公開
Adobeが複数の製品群を対象に、クリティカル評価を含む多数の脆弱性を修正するセキュリティアドバイザリを公開しました。特にAdobe Campaign Classicの脆弱性はCVSSスコア10.0と評価されており、早期の対応が求められています。
対象となる組織・利用者
Adobe Campaign Classicをはじめ、Substance 3Dシリーズ、Content Credentials SDK、Adobe XD、Adobe Illustratorなどの製品を社内で利用している組織。
推奨される防御アクション
Adobe Campaign Classicの脆弱性に対し、公開後72時間以内を目安に早急にアップデートを適用する
Substance 3D Designer、Sampler、Painterなどの対象製品について、提供されている修正版へアップデートを実施する
Content Credentials SDKやAdobe XD、Illustratorを含む全対象製品の適用優先度を確認し、順次修正を適用する
出典：https://www.security-next.com/189564
ZBT製ルーターに未認証ルート権限を与える2件の埋め込み
📰 過去報告：8/25
深圳Zhibotong Electronics（ZBT）製ハードウェアをベースにした複数のルーターファームウェアに、未認証のリモート攻撃者による任意のコマンド実行や監視を可能にする2件の工場出荷時インプラント（SPEAKINGSTONE / DARKLANTERN）が発見されました。
8/25 報告のルータ事例と同様、ネットワーク機器における認証不要のコマンド実行リスクが指摘されています。利用機器の確認を推奨します。
主要なTTP
UDPポート10000を介したハードコードされたC2サーバーへのビーコン送信（SPEAKINGSTONE）
PPPoEのユーザー名とパスワードの詐取
DNSハイジャックリストの読み書きおよびリバースSSHトンネルのオープン
ハードコードされたソルトと無効な認証ロジックを用いたUDPポート9992への未認証アクセス（DARKLANTERN）
対象となる組織・利用者
ZBT製ハードウェアを利用した各種OEM
サードパーティ製ルーター（WE826-T2等）をネットワーク機器として導入している組織
管理者。
推奨される防御アクション
該当するルーター機器の境界ファイアウォールでUDPポート9992などの不要な外部からのインバウンド通信をブロックする
ネットワークの出口およびリゾルバーで不審な通信（C2サーバーへのビーコン等）を監視・遮断する
脆弱性が内在するルーターのローカルLAN環境を信頼せず、ネットワークの分離を検討する
出典：https://thehackernews.com/2026/08/china-made-zbt-routers-ship-with-two.html
■ 注目事例
イエローハット、不正アクセスで最大約180万人分漏洩
イエローハットは、「イエローハットWEB作業予約システム」に対する不正プログラムによる攻撃を受け、会員の個人情報最大約180万人分が外部へ流出した可能性があると公表しました。クレジットカード情報やパスワード等は同システムで保持していないため影響はないとしています。
攻撃手法（確認済み）
公表文では「WEB作業予約システムに対する不正プログラムによる攻撃」とされていますが、具体的な侵入経路や脆弱性の詳細は明記されていません。
攻撃手法（推測）
Webアプリケーションや公開サーバーを標的とした不正プログラムによる攻撃であることから、予約システムに存在した未知または既知の脆弱性を悪用した不正アクセスや、Web Shell等のマルウェア設置が行われた可能性があります。
自組織チェックポイント
外部公開しているWebアプリケーションや予約システムに未修正の脆弱性がないか
Webサーバーや会員サーバーに対するWAF（Webアプリケーションファイアウォール）等の防御が有効に機能しているか
サーバー上のファイル改ざんや不審なプロセスの有無を検知するモニタリング体制が整っているか
外部接続経路において不要な通信や異常なトラフィックがないか定期的に確認しているか
出典：https://www.nikkei.com/nkd/disclosure/tdnr/20260828527904/
🔄 [続報] 日大法学部、教職員メルアカ乗っ取りでスパム送信
📰 過去報告：8/26, 8/28
日本大学法学部は、教職員のメールアカウントがフィッシング攻撃により乗っ取られ、スパムメールの送信に悪用されたと発表しました。情報流出のおそれがあり、関係機関へ報告が行われています。
8/26・8/28 報告分の続報です。教職員アカウント乗っ取り事案について、情報流出のおそれから関係機関への報告が行われています。
攻撃手法（確認済み）
教職員がフィッシング攻撃の被害に遭い、誘導されたリンク先でメールアカウントの情報を詐取されたことでアカウントが乗っ取られた。
攻撃手法（推測）
詐取された認証情報を悪用してクラウドメール環境へ不正ログインが行われ、連絡先アドレスへの一斉送信やメールボックス内の情報閲覧に悪用されたと考えられます。
自組織チェックポイント
組織内でフィッシング対策や多要素認証（MFA）が全アカウントに徹底されているか
メールの送信量や宛先数の異常を検知するアラートが設定されているか
不審なIPアドレスや国外からのログイン試行を監視しているか
クラウドメールのアクセスログを定期的に点検しているか
出典：https://www.security-next.com/189530
ownCloud脆弱性を悪用、比の研究機関から情報窃取
米CISAは、ownCloudの脆弱性（CVE-2023-49105）を既知の悪用脆弱性（KEV）カタログに追加しました。中国語話者とみられる攻撃者がこの脆弱性を悪用し、フィリピンの原子力研究機関などから研究記録や機密情報を窃取していたことが報じられています。
攻撃手法（確認済み）
ownCloudのWebDAV APIにおける認証バイパス脆弱性（CVE-2023-49105）が悪用され、署名シークレットが空の状態で生成された事前署名付きURLを用いた無認証でのファイル取得が行われました。
攻撃手法（推測）
攻撃者は事前に取得した有効なユーザー名を元にリクエストを構築し、クレデンシャルを提示せずに認証をバイパスしてサーバーから直接ファイルを不正にダウンロードしたと考えられます。
自組織チェックポイント
自社で運用している ownCloud のバージョンが脆弱性の影響を受ける範囲（10.6.0〜10.13.0）になっていないか
ownCloud の署名キー（signing-key）がデフォルトのまま（未設定）になっていないか
WebDAV APIへの不審なアクセスや大量のダウンロード履歴がないか
不要なアカウントや退職者のアカウントが有効なまま残っていないか
出典：https://thehackernews.com/2026/08/snowflake-github-actions-flaw-lets.html
チューリッヒ保険、データアップロードシステムに脆弱性
チューリッヒ保険会社は、ドライブレコーダーのデータアップロード用システム「Z-Dash」に脆弱性が判明し、不正アクセスを受けて顧客の個人情報が流出した可能性があると発表しました。最大1668人分の氏名やメールアドレスなどが対象とされています。
攻撃手法（確認済み）
データアップロード用システム「Z-Dash」に脆弱性が判明し、不正アクセスを受けたとの記載がありますが、具体的な侵入手法の詳細は非公開です。
攻撃手法（推測）
外部からアクセス可能なファイルアップロード機能の脆弱性（不適切な入力検証や認可制御の不備など）を悪用され、不正なファイルの配置やデータへのアクセスが行われた可能性があります。
自組織チェックポイント
外部公開しているファイルアップロード・データ受渡システムの脆弱性管理が徹底されているか
アップロードされたファイルの実行権限や保存先が適切に隔離されているか
社内システムや外部公開システムに対するアクセスログの定期的な監視を行っているか
不要となった一時的・業務用の公開システムが適切に停止・廃止されているか
出典：https://www.security-next.com/189532
ベルリン市、行政ネットワークへの脅迫攻撃に身代金拒否
ドイツ・ベルリン市の行政ネットワークが脅迫攻撃を受け、当局は身代金の支払いを拒否すると表明しました。環境関連部門などでデータの流出が確認されており、報道ではRhysidaによる犯行と伝えられています。
攻撃手法（確認済み）
公表文では行政ネットワークの不正アクセスおよびデータ流出が確認されているものの、具体的な侵入経路は公式には明らかにされていません。
攻撃手法（推測）
報道で指摘されているランサムウェアグループの過去の傾向や一般的な手口から、VPN等の外部向けリモートサービスにおける認証情報の不正利用、または既知の脆弱性が悪用された可能性があります。
自組織チェックポイント
外部公開しているVPNなどのリモートアクセスにMFAが強制されているか
外部公開サービスの認証情報が適切に管理・ローテーションされているか
内部ネットワークが適切にセグメント化され、ランサムウェアの横展開を防げるか
主要なサーバーやドメインコントローラーの脆弱性管理が徹底されているか
出典：https://thehackernews.com/2026/08/berlin-refuses-to-pay-hackers-who-stole.html
■ レポート・解説
Android 17、OS全域でECHをサポートし訪問先を隠蔽
Googleは、Android 17において接続プライバシーの強化やセルラーネットワークの脆弱性対策を含む新たなセキュリティ機能を発表しました。目玉機能として、OS全域でのEncrypted Client Hello（ECH）のサポートや、ローカルネットワーク保護、証明書透明性のデフォルト有効化、通信事業者による2Gネットワークの無効化機能などが導入されます。
出典：https://thehackernews.com/2026/08/android-17-adds-os-wide-ech-to-hide.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-08-29 に配信されました。